Controles del anexo y declaración de aplicabilidad

5 tareas · 40 min · Principiante

La declaración de aplicabilidad es el documento que más se lee en una auditoría de un sistema de gestión de IA, y el que más se presta a contradicciones. En esta sala la auditas en Paletón Crédito, la empresa inventada de la sala anterior. No la lees sola: la cruzas con el registro de riesgos, con la lista de documentos y con la ficha de sus cuatro sistemas. Todo es evidencia ficticia de solo lectura.

0 de 5 · 0%

Objetivo de la sala

En el tratamiento de riesgos la organización decide qué controles necesita para tratar sus riesgos de IA, los compara con el Anexo A para comprobar que no se le escapa ninguno necesario y deja el resultado en la declaración de aplicabilidad. El anexo trae nueve objetivos de control, de A.2 a A.10, con controles de referencia; la empresa puede redactar los suyos y añadir otros que el anexo no recoja.

La declaración no es una lista de casillas: por cada control dice si se incluye o se excluye, por qué, y en la práctica también en qué estado está y qué evidencia lo respalda. Para el auditor, cada justificación es una afirmación que se puede comprobar.

Responde para continuar

¿Qué debe permitir comprobar una declaración de aplicabilidad bien hecha?

Qué controles exige la ley del país en el que opera la organización, con el artículo de cada uno Que la organización aplica todos los controles del Anexo A sin excepción, en el orden del anexo Qué proveedor implementó cada control y cuánto costó, para planificar el presupuesto del año Qué controles necesita la organización, por qué incluye o excluye cada uno y en qué estado está

Ver pista de ayuda

Ejecuta `SELECT * FROM declaracion_de_aplicabilidad` y mira qué columnas tiene cada fila.

Excluir un control es legítimo si la justificación es verdadera. El auditor no discute la decisión en abstracto: busca en el resto del sistema un dato que la desmienta. Los dos sitios donde suele aparecer son el registro de riesgos —un riesgo cuyo tratamiento cita justo el control excluido— y el inventario de sistemas.

Revisa las exclusiones y contrástalas con los riesgos y con la ficha de los sistemas.

Responde para continuar

¿Qué fila excluida de la declaración desmienten a la vez el registro de riesgos y la ficha de los sistemas?

Formato esperado: DA-__

Ver pista de ayuda

Ejecuta `SELECT * FROM declaracion_de_aplicabilidad WHERE aplica = 'no'`, después `SELECT * FROM riesgos` y `SELECT * FROM sistemas`.

La columna de evidencia cita documentos por su código. Un documento que respalda un control implementado tiene que estar vigente: aprobado por quien corresponde y controlado. Un borrador puede describir lo que se quiere hacer, pero no prueba que se haga ni que alguien con autoridad lo haya adoptado.

Cruza la columna de evidencia con la lista de documentos.

Responde para continuar

¿Qué fila de la declaración figura como implementada y se apoya en un documento que nunca se aprobó?

Formato esperado: DA-__

Ver pista de ayuda

Ejecuta `SELECT * FROM documentos` y busca el que no tiene aprobación; después búscalo en la columna `evidencia` de la declaración.

El registro de riesgos y la declaración tienen que cerrar en los dos sentidos. Un riesgo que se decide mitigar necesita al menos un control que lo trate; uno que se decide aceptar necesita la aceptación de quien tiene autoridad para hacerlo, pero no un control. Mezclar los dos casos hace contar mal.

Responde para continuar

¿Qué riesgo tiene decidido mitigarse y no cita ningún control que lo trate?

Formato esperado: R-__

Ver pista de ayuda

Ejecuta `SELECT * FROM riesgos WHERE tratamiento = 'mitigar'` y mira la columna `control_citado`.

Después de encontrar una exclusión falsa es fácil desconfiar de todas. Pero un auditor que marca como hallazgo una exclusión bien justificada pierde credibilidad y hace trabajar al área en algo que no lo necesita. Cada exclusión se juzga con su propia evidencia.

Mira la otra exclusión del mismo objetivo de control y la nota de la tabla de sistemas.

Responde para continuar

¿Se sostiene la exclusión DA-12, sobre las responsabilidades frente a clientes que integran sistemas de Paletón?

No, porque ninguna organización puede excluir un control de A.10 si ya aplica otro del mismo objetivo Sí: la nota de los sistemas confirma que ninguno se vende ni se integra en productos ajenos No, porque si cae una exclusión de un objetivo de control quedan invalidadas todas las demás Sí, porque las exclusiones no necesitan justificación cuando las aprueba la gerencia general

Ver pista de ayuda

Ejecuta `SELECT * FROM sistemas` y lee la nota bajo la tabla.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Qué es la declaración Lab

2 Una exclusión contra su propio registro Lab

3 Implementado sobre un papel sin firmar Lab

4 Un riesgo sin control Lab

5 No toda exclusión es un hallazgo Lab

Whoami-Labs Pro utiliza cookies