Evidencia para auditoría sanitaria

Una evidencia sirve si se puede verificar: tiene fecha dentro del periodo auditado, está ligada a un control concreto, dice de qué fuente sale y se puede reproducir (otra persona obtiene lo mismo ejecutando lo mismo). Una captura de pantalla preparada a mano cumple lo mínimo, pero depende de quien la hizo; una exportación que genera el pipeline cada mes es repetible y no depende de memoria.

Un documento aprobado, como una política, es evidencia de que el control está definido; no demuestra que se cumple. Para eso hace falta evidencia operativa.

La solicitud del auditor numera los controles; el repositorio de evidencias dice a cuál sirve cada pieza. Cruzar las dos listas es la forma más barata de encontrar un hueco antes de que lo encuentre el auditor.

El auditor revisa el periodo del 1 de julio al 30 de septiembre de 2026. Una evidencia de antes del periodo no demuestra qué ocurrió durante él. Cuenta las piezas del repositorio con fecha anterior al inicio del periodo.

Entre las piezas anteriores al periodo hay documentos aprobados, que mantienen su valor como definición, y evidencias operativas. Un control cuya única prueba es una evidencia manual y vieja es el más débil: depende de una persona y no cubre el periodo.

Faltan evidencias y hay controles apoyados en algo viejo. La tentación es completar el repositorio a última hora con documentos fechados hacia atrás o capturas que simulen el periodo. Eso convierte un hueco en una falsedad.