Cómo se redacta una matriz control-evidencia

Una fila bien redactada cumple cuatro cosas. Habla de un solo control y cita el marco con su número, por ejemplo ISO A.8.28 o SSDF PW.7, para que cualquiera pueda comprobar de dónde sale la exigencia. Dice, en una frase, qué se exige. Cita una evidencia que un tercero puede localizar sin llamar a nadie: el nombre del informe, de la exportación o del registro. Y nombra un responsable y la fecha de la última verificación.

La evidencia tiene tipos: política, configuración, registro e informe. Una política dice lo que se debe hacer; una configuración, cómo está ajustado un sistema; un registro o un informe, lo que se hizo. Cuando la exigencia es que algo se aplique, la política sola no basta.

Lee los criterios de la casa y el borrador. Una fila cita como evidencia una frase que no apunta a ningún documento concreto: quien la lea no sabe qué abrir ni qué versión es la vigente.

Una evidencia puede ser real, reciente y estar bien nombrada y aun así no probar lo que la fila afirma. La fila de integridad de los lanzamientos pide poder verificar que lo liberado no fue alterado; el informe que cita demuestra otra cosa.

Los criterios de la casa revisan la matriz a 90 días, con fecha de corte el 7 de octubre de 2026. Una fila cuya última verificación es anterior al límite no es falsa, pero hay que volver a comprobarla antes de mostrarla.

La fila M-02 exige que se aplique la guía de código seguro, pero su única evidencia es la propia guía. Hay una opción mejor que cambiar el nombre de la fila: mostrar que la guía se aplica.