Alcance y petición de evidencias

Una auditoría empieza por el alcance: qué sistemas se miran y cuáles no. La carta de encargo lo fija por escrito, y todo lo que se pida o se entregue después se mide contra esa lista. Pero la carta la redactó alguien desde fuera con lo que le contaron, y el inventario de plataforma es lo que de verdad existe.

Contrastar los dos documentos es lo primero que hace el punto de contacto: no para discutir el alcance, sino para saber si coinciden. Lo que está en el inventario y no en la carta, o al revés, es una diferencia que alguien tendrá que explicar.

Cuando el inventario real y el alcance escrito no coinciden, hay tres reflejos posibles y solo uno es sano. Callarse deja que la diferencia aparezca más tarde, en boca de otro y en peor momento. Ampliar el alcance por cuenta propia decide por la auditora y por la dirección algo que no te toca decidir. Lo que sí te toca es que la diferencia quede visible.

El alcance de una auditoría lo cambian quienes la encargan, con un documento, no quien responde a las peticiones.

La lista de peticiones es un calendario de trabajo: cada fila tiene una fecha y detrás de cada una hay una persona que tiene que sacar un dato de un sistema. Antes de aceptar nada conviene saber cuánto cae en los primeros días, porque ahí se decide si el equipo llega o hay que hablar con la auditora.

Contar bien lo que vence en una ventana concreta es lo que permite repartir el trabajo con cifras y no con impresiones.

Algunas peticiones están escritas «para no dejar nada fuera»: piden todo, de todos los sistemas, de todo el tiempo. Entregarlas tal cual parece colaborar, pero mezcla evidencia que nadie ha pedido con datos que la empresa tiene obligación de proteger, y llena la auditoría de ruido. Negarse tampoco sirve: la auditora necesita lo que le corresponde.

La salida profesional es acotar por escrito: ofrecer lo que está dentro del alcance y del periodo, dejar constancia de lo acordado y entregarlo a tiempo.

Hay evidencia que la empresa no produce: la genera un tercero y solo ese tercero puede entregarla o autorizar que se entregue. Prometer ese plazo como propio es comprometerse a algo que no controlas. Lo honesto es identificar cuáles son, pedirlas pronto al tercero y decirle a la auditora desde el primer día que su fecha depende de otro.

La columna de origen de la lista de peticiones separa lo que sale de tus sistemas de lo que no.