Qué hace que una evidencia valga
- Fecha y autor registrados por el sistema, no escritos a mano después.
- Ligada a su control: el informe de accesos cuelga de la revisión trimestral de accesos, no de una carpeta.
- Íntegra: se puede demostrar que no ha cambiado desde que se guardó.
- Fácil de encontrar: aparece en minutos cuando la pide un auditor, meses después.
Un ejemplo
La revisión trimestral de accesos a sistemas. El control se abre el día 1 con su responsable y su checklist. El responsable revisa las cuentas, marca los puntos, adjunta el listado exportado y lo cierra. La evidencia es todo eso junto: la checklist, el adjunto y la línea de tiempo con fechas y autor.
Control periódico y evidencia
El control es la obligación que se repite: cada mes, cada trimestre o cada año. La evidencia es lo que queda cada vez que se hace. Un control sin evidencias es una intención; una evidencia sin control, un papel suelto.
El error habitual
Reunir las evidencias cuando llega la auditoría. Se buscan correos, se reconstruyen fechas y aparecen documentos creados después, algo que un auditor detecta enseguida. La evidencia se genera al hacer el control, no cuando alguien la pide.