Evidencia de aprobación y de revisión

El control de altas dice que una cuenta se crea porque alguien autorizado la aprobó. Si la aprobación llega después de crear la cuenta, el control no previno nada: la cuenta ya existía y la aprobación se obtuvo a posteriori, quizá para que el papel cuadre. El auditor compara dos fechas por cada alta de la muestra.

La regla de esta auditoría es explícita sobre el mismo día: aprobar y crear el mismo día cumple.

Cada alta de la muestra se prueba contra las tres reglas: aprobó el dueño del dato, no aprobó quien solicitó y la fecha de aprobación no es posterior a la de creación. Basta con que falle una para que la alta incumpla. Una alta que cumple con el mismo día es un caso límite que conviene leer con calma.

Revisa los ocho tickets de muestra-de-altas.txt contra A1, A2 y A3.

Que alguien con un cargo alto firme no basta: el dueño del dato es quien responde por esa información y por quién la ve. Un jefe de otra área aprobando el acceso a datos contables puede ser el más amable del mundo y, aun así, no tener la autoridad que el control exige.

La revisión semestral de usuarios y roles vale si cubre todo el padrón de esa fecha. Cuando el dueño del dato revisa solo una parte, los usuarios no revisados siguen sin haber sido evaluados. El auditor calcula el porcentaje cubierto con los dos números que da la propia evidencia, usuarios del padrón y usuarios revisados.

Una revisión que decide retirar accesos solo sirve si los retiros se ejecutan. El auditor cruza la lista de decisiones con la evidencia de ejecución y mide el plazo desde la fecha de la decisión. Un retiro que sigue pendiente a la fecha del corte es un retiro fuera de plazo.

La regla V2 admite 30 días como máximo, y el día treinta cumple. Calcula primero la fecha límite.