Leer la matriz de cobertura

Cada fila de la matriz lleva uno de cuatro estados. «Cumple» quiere decir que se probó el control y la app lo satisface. «No cumple» quiere decir que se probó y la app lo incumple, y normalmente enlaza con un hallazgo. «No probado» quiere decir que el control está dentro del alcance y no se llegó a evaluar: faltó una cuenta, una versión o tiempo. «No aplica» quiere decir que el control no tiene sentido para esta app, y debe llevar la razón escrita.

La diferencia que más cuesta es la tercera. Un control no probado no es un control cumplido: es un hueco. Si la matriz lo muestra como «cumple», o si el resumen lo cuenta entre lo revisado, el cliente se lleva una garantía que nadie dio. Lo honesto es dejarlo como «no probado» con el motivo, y que la cobertura lo refleje.

Un estado de «cumple» es una afirmación y la evidencia es lo que la sostiene. La matriz de Zaguán tiene una columna que cita la evidencia de cada fila, y el registro de evidencia dice qué es cada una. Una fila que afirma «cumple» sin citar ninguna evidencia no es todavía un error, pero sí una afirmación que nadie puede comprobar: el auditor pedirá el archivo, la captura o la lista que la respalda, y si no existe, el estado baja a «no probado».

Filtra la matriz por las filas que dicen «cumple» y mira la columna de evidencia de cada una. Solo una dice que no hay ninguna.

La evidencia también tiene procedencia. El registro dice sobre qué versión de la app se tomó cada una, y eso importa por lo que se vio en la sala anterior: la versión de depuración tiene controles desactivados a propósito. Una evidencia tomada en depuración sirve para entender cómo está hecha la app; no sirve para afirmar que un control funciona en la versión que se publica, porque justo ese control puede ser el que está desactivado.

Cruza las filas «cumple» con el registro de evidencia y busca la que se apoya en una evidencia de depuración. No es necesariamente falsa, pero esa fila no está demostrada para la versión de publicación.

«No aplica» es el estado más cómodo y por eso el más vigilado. Vale cuando el control no tiene sentido para esta app, y la razón debe ser verificable: un documento del cliente, una característica de la distribución, una función que la app no tiene. Una nota vaga como «no relevante» es una forma de no probar. El auditor lee esa fila contrastando la razón con lo que se sabe de la app.

La matriz de Zaguán marca un control como no aplicable. La razón es que la app se distribuye solo por la tienda corporativa gestionada, que impone la versión, y cita el acta del cliente. Es una razón concreta, con documento. Lo que no se admitiría es el mismo estado sin razón o con una razón que otra parte del expediente contradice.

Una matriz se resume en un número: cuántos de los controles dentro del alcance se probaron de verdad. Se cuentan como probados los que están en «cumple» y en «no cumple», porque en ambos casos hubo prueba. No cuentan los «no probado», que son el hueco, ni los «no aplica», que no se estaban buscando.

Cuenta en la matriz los controles probados. Es un número que va en el resumen ejecutivo, y por eso hay que darlo bien: un cliente que lee «dieciséis controles» cuando se probaron menos está leyendo otro informe.