Los controles de Trefilados Cumaral frente al marco

La evaluación de riesgos de la planta dice qué requisitos fundamentales debe cubrir cada zona, y la lista de controles dice qué se ha puesto en marcha en cada una. El hueco más importante es el requisito exigido que no tiene detrás nada que lo cubra, y se encuentra cruzando las dos fuentes zona por zona.

Un control declarado sin evidencia no se puede defender ante un auditor: lo mismo da que exista o que no, porque nada lo demuestra. En la lista de controles, la columna de evidencia es la que separa lo que funciona de lo que se cree que funciona.

Cada zona tiene un nivel de seguridad objetivo y cada componente declara el nivel que puede dar. Donde la capacidad queda por debajo del objetivo hay una brecha que debe cerrarse o compensarse y documentarse. La cifra que se lleva a la auditoría es cuántas hay en toda la planta, sumando todas las zonas.

Una copia de seguridad que nunca se restaura es una esperanza. La política de la planta exige probar la restauración con cierta frecuencia, y la auditoría preguntará cuánto hace de la última prueba. La respuesta es una cifra que sale de restar fechas, no de una impresión.

Los controles de acceso de terceros solo valen si cada tercero está cubierto por uno. Un acceso sin control detrás es, por definición, el hueco que un auditor señalará primero y por donde es más fácil que algo no previsto llegue a la planta.