Matriz de trazabilidad de controles

De control a servicio, la matriz responde: ¿con qué implementamos y probamos esto? De servicio a control, responde: ¿por qué pagamos este servicio, qué control sostiene? La segunda dirección es la que casi nadie mira, y es donde aparecen servicios en uso que no sostienen ningún control, o controles que se creían cubiertos por un servicio que nunca se contrató.

Una matriz que solo se lee en una dirección deja huecos en la otra sin que nadie los vea.

Un control sin evidencia no se puede defender ante un auditor. La columna de estado de la evidencia lo dice: vigente si la prueba está al día, vencida si su fecha de renovación pasó, sin evidencia si nunca se produjo. La diferencia pesa: lo vencido se renueva; lo que nunca existió hay que empezarlo.

Abre la matriz de Ladera y busca el control del que nunca se produjo la prueba.

Un control sin responsable no tiene quien renueve su evidencia ni quien responda cuando el auditor pregunta. Es, en la práctica, un control que va a caducar. La columna del dueño tiene un valor que no es un nombre.

Encuentra el control al que nadie ha asignado responsable.

La matriz permite sacar una cifra para la dirección: de los controles definidos, ¿cuántos tienen hoy su evidencia vigente? Es un indicador simple, y por eso conviene calcularlo con una regla clara: solo cuenta lo vigente; lo vencido y lo que no existe no suman.

Calcula el porcentaje de controles de Ladera con evidencia vigente.

Al contrastar el inventario de servicios en uso con las columnas de servicio de la matriz aparece un servicio que Ladera paga y que ninguna fila cita. Puede ser un olvido de la matriz, o un servicio que se contrató por una necesidad que ningún control recoge.

Cualquiera de las dos cosas merece una pregunta al dueño de la cuenta. Encuentra el servicio huérfano.