Qué es una evidencia útil
Una evidencia demuestra, a alguien que no estuvo delante, que un control se hizo: cuándo, quién y con qué resultado. Si hace falta que alguien la explique, no es una buena evidencia.
Una evidencia útil cumple cinco condiciones:
- Tiene fecha: la del control, no la del día en que alguien guardó el archivo.
- Dice quién: la persona que hizo el control y, si aplica, quién lo revisó.
- Está ligada a su control: se sabe a qué control y a qué periodo corresponde, sin deducirlo del nombre del archivo.
- Enseña el resultado: correcto, con incidencias o no aplicable, y qué se hizo con cada incidencia.
- No se puede cambiar sin dejar rastro: si se modifica, queda constancia de qué cambió, quién lo cambió y cuándo.
Ejemplos de controles y su evidencia
| Control | Evidencia débil | Evidencia útil |
|---|---|---|
| Revisión trimestral de accesos a los sistemas | «Revisado» en una hoja de cálculo | El listado de usuarios exportado ese día, con las bajas marcadas y la firma de quien revisó |
| Prueba del plan de contingencia | Un correo que dice «todo bien» | El acta de la prueba: qué se probó, cuánto tardó la recuperación y qué falló |
| Evaluación anual de proveedores | Una lista de proveedores «aprobados» | Una ficha por proveedor con los criterios, la nota, la fecha y quién la hizo |
| Ronda de seguridad en un almacén | Una firma en un cuadrante de papel | La checklist con foto y hora de cada punto, y las incidencias abiertas |
| Lectura de una política interna | El correo con el que se envió | La firma de cada persona, con su fecha, y la lista de quién falta |
La diferencia se repite: la evidencia débil dice que alguien lo hizo. La útil lo enseña.
Quién firma
Conviene separar dos papeles:
- Quien ejecuta el control firma lo que hizo y lo que encontró.
- Quien lo revisa firma que el control se hizo como estaba previsto. En los controles sensibles, no debería ser la misma persona.
El tipo de firma también depende del control. Para muchos controles internos basta un registro fiable de quién y cuándo. Para otros, una norma o un contrato pueden pedir más.
Los niveles de firma electrónica, y lo que refuerza una firma simple, están en qué validez tiene la firma del cliente en el móvil.
Vencimientos: que el control llegue solo
Un control que depende de que alguien se acuerde se hace tarde o no se hace. Cada control periódico necesita cuatro cosas:
- Una periodicidad escrita: mensual, trimestral, anual o cuando ocurra algo.
- Un responsable con nombre, no un departamento.
- Un aviso antes del vencimiento, con margen para hacerlo bien.
- Un escalado si vence: a quién se avisa si no se ha hecho.
Lo que caduca fuera de la empresa cuenta igual: seguros, licencias, autorizaciones y contratos. Tratarlos como controles con fecha evita enterarse el día después.
Cuánto tiempo conservar la evidencia
No hay una respuesta única. El plazo depende de la normativa que te aplique, de tus contratos y de tu política interna, y puede cambiar de un control a otro.
Lo que sí vale en todos los casos:
- Decide el plazo por tipo de control, por escrito y con tu asesoría.
- Guarda la evidencia junto al control, no en la carpeta de quien lo hizo. Cuando esa persona se va, su carpeta suele irse con ella.
- Haz que se encuentre años después sin saber el nombre del archivo: por control, por fecha y por responsable.
- Prevé cómo borrarla al terminar el plazo, sobre todo si contiene datos personales.
Una auditoría preparada en una tarde
Si las evidencias se guardan así, preparar una auditoría es sacar un listado:
- Los controles del periodo, con su responsable y su fecha prevista.
- Para cada uno, la fecha en que se hizo y su evidencia.
- Los que se hicieron tarde o no se hicieron, con el motivo.
- Las incidencias que salieron y en qué estado están.
Igual que con el SLA, enseñar los fallos con su explicación genera más confianza que un listado perfecto que nadie se cree.
Un control sin evidencia es, a efectos prácticos, un control que no se hizo. Y una evidencia útil cuesta casi lo mismo que una débil, si se recoge en el momento.
Última actualización: