Hallazgos, excepciones y plan de acción

Un hallazgo bien escrito tiene cuatro partes: la condición (lo que se encontró), el criterio (lo que se esperaba y de qué requisito sale), la causa (por qué ocurrió) y el efecto (qué riesgo deja). Le añade la evidencia que lo respalda y una recomendación. Sin criterio, es una opinión; sin evidencia, una acusación.

Una excepción es un permiso temporal con fecha de vencimiento. Cuando vence sin que el hallazgo se haya cerrado, ya no hay aprobación: o se renueva con una nueva decisión, o el hallazgo vuelve a ser un incumplimiento sin cobertura.

Consulta excepciones y compara cada fecha de vencimiento con la del informe, el 15 de junio de 2028.

Los hallazgos de severidad alta son los que primero se priorizan. Que uno no tenga responsable significa que nadie lo va a cerrar por iniciativa propia, y que el plan de acción no es todavía un plan.

Consulta hallazgos filtrando por severidad alta y busca el que no tiene dueño.

Cada hallazgo abierto lleva la fecha en que su dueño se comprometió a cerrarlo. Si esa fecha ya pasó y el hallazgo sigue abierto, el compromiso falló y hay que decidir: reprogramar con una razón, escalar o aprobar una excepción.

Consulta hallazgos y cuenta los hallazgos abiertos cuya fecha de compromiso es anterior al 15 de junio de 2028.

Una excepción no es un olvido con otro nombre. Para que sea defendible ante un auditor debe tener justificación, riesgo reconocido, aprobación de quien tiene autoridad para aceptarlo, controles compensatorios que reduzcan el riesgo mientras dura y una fecha de vencimiento.