Declaración de aplicabilidad y excepciones

El requisito de la norma para el tratamiento del riesgo pide una declaración de aplicabilidad con: los controles necesarios, la justificación de por qué se incluyen, si están implementados, y la justificación de por qué se excluye cualquier control del Anexo A.

Un control no se excluye por comodidad: se excluye porque el riesgo no existe o porque otro control lo cubre, y se escribe por qué. Y un control incluido no se declara «implementado» por decir: debe poder enlazarse con evidencia.

Lee la declaración de Cotopaxi. Un control aparece excluido y su justificación está en blanco. Un auditor lo anotaría como no conformidad: el requisito es la razón de la exclusión, no solo la exclusión.

La declaración de Cotopaxi enlaza cada control con una referencia de evidencia. Un control declarado como implementado totalmente cuyo enlace de evidencia está en blanco no se puede probar: se afirma, pero no se puede mostrar.

Una excepción es un permiso temporal para no cumplir una regla, con dueño, motivo y fecha de vencimiento. Cuando vence y nadie la renueva ni la cierra, el incumplimiento vuelve a ser un incumplimiento. El registro de Cotopaxi dice que una excepción está vencida si su fecha es anterior al corte, 2026-09-30.

Una excepción la debe aprobar alguien distinto de quien la pide: es la misma idea de segregación de funciones, aplicada a las decisiones sobre el propio control.