Redactar el hallazgo y seguirlo

Un hallazgo completo tiene cinco partes. La condición es lo que encontraste, con cifras y sin adjetivos. El criterio es la cláusula que se incumple. La causa explica por qué ocurrió. El efecto dice qué riesgo deja. Y la recomendación propone qué hacer, que es lo único que admite verbo en imperativo.

La condición se redacta de modo que otra persona pueda ir al listado y contar lo mismo. Quien lee «descuidado» o «deficiente» discute la palabra; quien lee «6 de 124» discute, a lo sumo, el número, y el número se puede comprobar.

Cada hallazgo apunta a la cláusula que mide. Sin ella, el responsable puede decir que «eso no está escrito en ningún sitio». Con ella, el hallazgo es una diferencia entre lo que la empresa dijo que haría y lo que hace.

El registro de hallazgos de esta auditoría trae el criterio de cada uno. El hallazgo H-03 trata de la revisión trimestral firmada por el administrador y que no cubrió todas las cuentas.

Hay hallazgos que se cuentan al final y hay otros que no esperan. La cuenta de una persona que ya salió y que tuvo un inicio de sesión posterior (el hallazgo H-02) es un acceso no autorizado que puede seguir ocurriendo. Se comunica ya, por el canal acordado, al dueño de la aplicación y a seguridad, con la evidencia que lo sostiene.

El auditor no corrige: no desactiva la cuenta ni cambia permisos. Su independencia depende de no operar los controles que audita. Informa; la organización corrige; y el hallazgo se documenta igual.

Un hallazgo no termina con el informe: termina cuando se corrige y puedes comprobarlo. Cada hallazgo genera acciones con un responsable y una fecha de compromiso. El seguimiento comienza comparando esa fecha con la del día del seguimiento, en parametros_de_seguimiento.

Entre las acciones que siguen abiertas, algunas ya vencieron. El atraso se cuenta en días calendario desde la fecha de compromiso.

Una acción se cierra con evidencia que el auditor puede abrir: el ticket, el registro del sistema, la captura con fecha. Si el responsable dice «ya está, confía en mí» y no hay nada que mirar, la acción queda abierta aunque su estado diga otra cosa.

En el plan de Cedrón, la regla de seguimiento lo dice sin vueltas. Una de las acciones aparece como cerrada y no trae nada que lo respalde.