Mapear un control a evidencia

La evidencia es más fuerte cuando la genera un sistema, sin intermediarios, y el auditor la obtiene por sí mismo; es más débil cuando la prepara quien está siendo evaluado, porque puede estar incompleta, filtrada o armada para mostrar lo mejor. Eso no la descarta: sirve como pista o contexto, pero no basta como prueba.

Para cada control se define una pregunta de prueba, una fuente y un periodo, antes de pedir nada. La evidencia que llega se compara contra esas tres cosas.

Cotopaxi definió el control, la regla y el periodo y recibió cuatro evidencias. Antes de usarlas, mira quién las generó.

Una evidencia puede ser buena y no servir. Un listado correcto de salidas del primer trimestre no prueba nada sobre el tercero, aunque tenga el mismo formato. La prueba exige que el periodo cubierto contenga al periodo auditado.

La regla interna de Cotopaxi es: desactivar como máximo 48 horas después de la salida efectiva. Se mide en horas, de la salida a la desactivación. Una baja que tarda exactamente el máximo cumple; incumple la que lo supera.

Mide las seis bajas del trimestre.

Cuando hay excepciones se informan con su cuenta, no solo con un porcentaje. La de mayor retraso va primero, porque es la que tuvo la cuenta abierta más tiempo sin que su titular estuviera en la empresa.