Sala 4 · la evidencia para el auditor

Una evidencia sirve para el periodo que cubre. Un informe que empieza dos meses después del inicio de la auditoría no demuestra cómo estaba el control en esos dos meses, por correcto que se vea el resto. El periodo exigido es el que definió el auditor, de su primer día al último.

La separación de funciones pide que quien produce una evidencia no sea quien la aprueba: si una sola persona hace las dos cosas, nadie más ha mirado lo que dice. El auditor lo trata como una debilidad aunque el contenido sea correcto.

Declarar un control como implementado no lo demuestra: hace falta al menos una evidencia asociada a él. Un control declarado como parcial que sí tiene evidencia es honesto; uno declarado como implementado que no tiene ninguna es una afirmación que el auditor no podrá comprobar.

Cuando hay demasiados cambios para revisarlos todos, el auditor pide una muestra. La regla acordada se aplica a cada tipo de cambio por separado: el porcentaje sobre sus cambios del periodo, redondeado como diga la regla, y nunca menos del mínimo por tipo. La muestra total es la suma de las de todos los tipos.

Una excepción deja un riesgo abierto con permiso, y ese permiso solo se sostiene si hay un control compensatorio y una fecha de vencimiento. Una excepción vencida ya no es excepción, es un incumplimiento que se trata aparte. La que sigue vigente y no tiene nada que la compense es la que hay que atender primero.