La evidencia que pide un auditor

El auditor no revisa todo: pide evidencia por requisito y, cuando hay muchos eventos, una muestra. Una evidencia útil tiene cuatro rasgos: cubre el periodo auditado, indica de dónde viene, está completa y se puede volver a obtener. Una captura recortada, sin fecha ni fuente, no los cumple.

Para los cambios de reglas, la muestra se saca de una población conocida: si hubo 100 cambios y se revisan 10, la conclusión sobre los 100 depende de que la muestra no la elija quien se audita.

El encargo fija un periodo y un criterio: la evidencia debe cubrirlo. Un archivo correcto en forma pero que cubre otro periodo no demuestra lo que ocurrió en el auditado; ocurre mucho con las exportaciones que se sacan «de la última vez».

Consulta encargo y entregado y compara lo que cubre cada archivo con el periodo auditado.

Una imagen de pantalla sin fecha ni origen es fácil de rechazar: no se sabe cuándo se tomó ni de qué sistema. A veces es lo único que hay, pero conviene sustituirla por una exportación con sello de tiempo y fuente.

Consulta entregado y busca el archivo del que no se conoce ni el periodo ni la fuente.

La gestión de cambios sobre las reglas se prueba con tickets: quién pidió, quién aprobó, quién implementó. Una separación de funciones básica es que la misma persona no apruebe y aplique su propio cambio, porque así nadie lo revisa.

Consulta muestra_de_cambios y busca el ticket en que una sola persona aprobó e implementó.

Cuando la muestra revela cambios sin aprobación, el auditor no concluye solo sobre esos: pregunta qué pasa con el resto de la población. La cifra de la muestra es el primer dato, no el último.

Consulta muestra_de_cambios y cuenta los tickets cuya aprobación falta.