Una organización puede conservar evidencias y, aun así, tener dificultades para encontrarlas cuando alguien las solicita. Son dos cosas distintas, y la diferencia se nota durante una auditoría, una revisión interna o ante la pregunta de un cliente: «muéstrame cómo se ejecutó este control».
Una evidencia localizable es una evidencia que puedes identificar, ubicar y relacionar con un control sin depender de la memoria de una persona. Existir en alguna carpeta no basta: tiene que poder recuperarse.
Por qué «tenemos las evidencias» no responde la pregunta
Un síntoma frecuente es que la evidencia existe, pero vive repartida: parte en correos, parte en carpetas compartidas, parte en el equipo de quien ejecutó la tarea. Otro síntoma es que nadie sabe con certeza qué controles tienen respaldo y cuáles están pendientes. Y un tercero: cuando la persona que lo sabía todo no está, el equipo pierde horas reconstruyendo qué se hizo, cuándo y dónde quedó.
Ninguno de estos síntomas demuestra por sí solo que el sistema de gestión esté mal. Pueden tener causas distintas. Pero los tres apuntan al mismo punto débil práctico: la evidencia no está organizada para recuperarse.
Tres datos que toda evidencia debería poder responder
Este es un criterio operativo propio, no un requisito de ninguna norma. Para que una evidencia sea localizable, conviene poder responder tres preguntas sobre ella:
- ¿A qué control corresponde? Sin esa relación, un archivo es un documento suelto.
- ¿De qué fecha o periodo es? Una evidencia sin fecha o periodo no permite saber si respalda lo que ocurrió cuando importa.
- ¿De dónde viene y dónde está? Origen y ubicación en la fuente permiten volver a ella y no depender de una copia.
Cómo comprobar si tus evidencias son localizables
La comprobación es simple y no requiere herramientas especiales:
- Elige una evidencia cuya existencia conoces con certeza.
- Pide a alguien del equipo que la localice, idealmente alguien que no la creó.
- Mide cuánto tarda y anota cómo la encontró.
- Comprueba que puede indicar el control asociado, la fecha o periodo y su origen y ubicación en la fuente.
Repite la prueba con varias evidencias de distintos controles. No hay un tiempo «correcto» universal: lo útil es comparar entre evidencias y ver cuáles se encuentran rápido y cuáles obligan a preguntar a una persona concreta.
Qué conclusiones no sacar de la prueba
Que una evidencia tarde en encontrarse no significa, por sí solo, que el control no se ejecutó, ni que el responsable falló. Puede deberse a la organización de las carpetas, a nombres de archivo poco claros, a falta de un lugar único o a varias causas a la vez. La prueba señala dónde mirar; el diagnóstico exige revisar cada caso.
Encontrar una evidencia con rapidez tampoco demuestra que sea suficiente, válida o pertinente para una auditoría. Esta prueba evalúa su localizabilidad, no la eficacia del control ni la conformidad del sistema de gestión.
Qué hacer con lo que encuentres
- Define un lugar de referencia por tipo de evidencia y quién lo mantiene.
- Registra los tres datos (control, fecha o periodo, origen y ubicación) en el momento de guardar la evidencia, no meses después.
- Identifica los controles sin responsable claro y asígnalos antes de la próxima revisión.
- Repite la prueba de forma periódica para ver si la situación mejora.
Si trabajas con ISO/IEC 27001, el artículo Gestión de evidencias ISO 27001 con trazabilidad desarrolla qué se considera evidencia, qué metadatos reducen tiempo de auditoría y cómo conectar evidencia, riesgo y mejora. Y si estás evaluando herramientas, Plataforma de gestión ISO: qué evaluar antes de elegir propone criterios para hacerlo.
Dónde encaja TECDEX Compliance
TECDEX Compliance administra controles, responsables, estados y evidencias.
Preguntas frecuentes
¿Qué significa que una evidencia sea localizable? Que puede identificarse, ubicarse y relacionarse con un control sin depender de la memoria de una persona concreta.
¿Es un requisito de ISO tener las evidencias organizadas de esta forma? Los tres datos que proponemos son un criterio operativo de TECDEX, no una exigencia de una norma. Qué evidencia exige cada norma o esquema de certificación debe consultarse en su texto oficial y con el organismo de certificación que corresponda.
¿Cuánto debería tardar en encontrarse una evidencia? No fijamos un tiempo objetivo. La prueba sirve para comparar evidencias entre sí y detectar cuáles dependen de una persona.
¿Una evidencia lenta de encontrar significa que el control falló? No necesariamente. Indica dónde revisar, pero la causa puede ser de organización y no de ejecución del control.