Pruebas de remediación

El auditor concluye sobre el control a una fecha, el corte de evaluación. Un control corregido el día siguiente al corte puede estar perfecto, pero a la fecha del corte no operaba. La corrección tardía no se ignora: se anota y se prueba en el periodo siguiente.

Hay una razón de fondo: si cualquier corrección posterior borrara los hallazgos, bastaría arreglar todo la víspera de la entrega del informe.

Lee el plan de remediación con las fechas de corrección y compáralas con el corte. Es un cruce simple, pero se escapa si solo se mira la columna de ejecuciones, que en estos casos aparece en cero o muy baja.

Para un control que opera «cada evento», la muestra mínima es grande: hay que ver varias decenas de eventos para creer que el control funciona. Cada frecuencia tiene su mínimo en la tabla. La diferencia entre lo exigido y lo acumulado dice cuánto tiempo le falta al control para quedar demostrado.

Una corrección queda remediada y demostrada cuando estaba operando antes del corte y acumuló al menos las ejecuciones de la tabla. Falla si le faltan ejecuciones o si se hizo después del corte. Aplica la regla a las cinco filas del plan, una por una.

Cuando la empresa muestra un procedimiento nuevo, un cambio de configuración o una política firmada, tiene un diseño corregido. Es un avance real, pero no demuestra que el control opere en el tiempo. Para el auditor, el diseño corregido es el comienzo de la prueba, no su final.