Que un control figure como «implementado» en un registro indica qué se anotó en algún momento, no que esa anotación siga describiendo la situación actual. Esa diferencia puede hacerse visible cuando alguien pregunta cuándo se revisó por última vez el estado de un control y la respuesta no está a la vista.
El estado de un control sigue siendo útil cuando se sabe cuándo se revisó por última vez y se vuelve a revisar si ocurre un cambio relevante para ese control. Si no se sabe cuándo se revisó, el estado registrado conviene tratarlo como una anotación pendiente de revisar.
Qué dice y qué no dice un estado registrado
Un estado como «implementado», «parcial» o «pendiente» resume lo que alguien consideró en el momento de anotarlo. Un ejemplo ilustrativo: un control marcado como implementado en marzo prueba que en marzo quedó marcado así; no prueba que la marca fuera correcta en ese momento ni que describa cómo funciona el control en septiembre. Es un ejemplo inventado para explicar la idea, no un caso real.
Por eso conviene separar dos preguntas: qué estado tiene registrado el control y cuándo se revisó ese estado por última vez.
Cuándo conviene volver a revisar el estado de un control
Este es un criterio operativo propio de TECDEX, no un requisito de ninguna norma. El disparador no es «cualquier cambio», sino un cambio relevante para el control. Algunos ejemplos de cambios que pueden ser relevantes, según el caso:
- cambia la persona, el rol o el equipo responsable del control;
- cambia el proceso, la herramienta o el alcance al que el control se aplica;
- se detecta una diferencia entre lo registrado y lo que ocurre en la práctica;
- se aproxima una revisión importante en la que se va a depender de ese estado.
Qué cuenta como «relevante» lo decide cada organización para cada control. La lista anterior no es exhaustiva ni obligatoria.
Cómo revisar el estado de un control, paso a paso
La revisión no requiere herramientas especiales:
- Elige un control con un estado registrado.
- Busca la fecha de la última revisión de ese estado. Si no existe, anótalo: ya es un dato.
- Pregunta a quien responde por el control cómo está hoy, con sus palabras, y qué ha cambiado desde la última revisión.
- Compara la respuesta con el estado registrado, los cambios relevantes conocidos y, cuando corresponda, la información o evidencia disponible sobre el control. Anota las diferencias y lo que queda pendiente de aclarar.
- Actualiza el registro o aclara la diferencia y anota la fecha de esta revisión.
La fecha de revisión no demuestra que el estado sea correcto: solo indica cuándo quedó documentada su última revisión. Una fecha reciente, por sí sola, tampoco confirma que el estado describa la situación actual.
Señales de que un estado puede estar desactualizado
- No se puede identificar cuándo se revisó por última vez el estado.
- Desde la última revisión se produjo un cambio en la persona, el proceso o la herramienta que podría afectar la situación del control.
- Quien responde por el control describe una situación distinta a la registrada.
- El estado se anotó antes de un cambio relevante para el control y no consta una revisión posterior.
Estas señales indican dónde mirar. No prueban por sí solas que el control no funcione; el diagnóstico exige revisar cada caso.
Qué conclusiones no sacar de esta revisión
Que un estado haya sido revisado recientemente no demuestra que el control funcione ni que sea eficaz, y no equivale a conformidad con una norma ni a un resultado en una auditoría. El procedimiento contrasta el estado registrado con información sobre la situación actual del control y permite identificar diferencias que requieren aclaración. Por sí solo, no garantiza que la clasificación sea correcta.
Si el siguiente paso es comprobar quién responde por el control, el artículo Responsable de un control: cómo comprobar que la asignación se entiende propone un método simple. Y para confirmar que lo que respalda un control se puede encontrar, está Evidencias de auditoría: cómo saber si se pueden localizar. Para ver cómo se relacionan riesgos, controles y responsables en un registro operativo, puedes revisar Matriz de riesgos y controles que sí se gestiona.
Dónde encaja TECDEX Compliance
TECDEX Compliance administra controles, responsables, estados y evidencias.
Preguntas frecuentes
¿Cómo saber si el estado de un control sigue vigente? Mirando cuándo se revisó por última vez y comparándolo con lo que describe hoy quien responde por el control. Si no hay fecha de revisión, el estado conviene tratarlo como pendiente de revisar.
¿Cuándo hay que volver a revisar el estado de un control? Como práctica operativa, cuando ocurra un cambio relevante para ese control. Qué cuenta como relevante lo decide cada organización.
¿Es un requisito de ISO revisar el estado así? No. Es un criterio operativo de TECDEX, no una exigencia de una norma. Qué exige cada norma o esquema de certificación debe consultarse en su texto oficial y con el organismo de certificación que corresponda.
¿Un control marcado como implementado está implementado? El registro prueba que quedó marcado así, no que la marca fuera correcta ni que siga describiendo la situación actual.