Registrar a una persona, rol o equipo como responsable de un control no equivale a confirmar que la asignación fue comunicada y comprendida. La diferencia puede hacerse visible cuando se pregunta quién responde por el control y la respuesta de quien ejerce esa responsabilidad no coincide con el registro.
Una asignación está comprobada cuando quien ejerce la responsabilidad reconoce el control y comprende su alcance, y las diferencias entre esa explicación y el registro han sido aclaradas. Si quedan diferencias pendientes, la asignación aún no está confirmada.
Por qué un nombre en el registro no basta
Un registro muestra quién fue designado, no si la designación se comunicó, se entendió o sigue vigente. Puede haber diferencias entre el registro y la operación: quien figura como responsable cambió de función y la asignación no se actualizó; una designación no se comunicó a quien debía asumirla; o las personas involucradas interpretan su alcance de manera distinta.
Ninguna de estas situaciones demuestra por sí sola que el sistema de gestión esté mal o que el control no se ejecute. Indican que conviene revisar quién tiene la responsabilidad y cómo se ha comunicado, antes de dar por confirmada la asignación.
Qué puede ser «responsable» de un control
El responsable no tiene que ser una persona con nombre y apellido. Según cómo se organice la empresa, puede ser una persona, un rol o un equipo. Lo importante es que quede claro quién responde, y que quien responde lo sepa. Si se asigna a un rol o a un equipo, conviene poder indicar quién lo ocupa en este momento.
Cómo comprobar una asignación, paso a paso
Este es un criterio operativo propio de TECDEX, no un requisito de ninguna norma. La comprobación no requiere herramientas especiales:
- Elige un control con un responsable registrado.
- Contrasta el registro con quien ejerce la responsabilidad. Explica que se revisará la claridad de la asignación, no el desempeño personal. Invita a la persona que ocupa el rol o a un representante del equipo a describir con sus palabras los controles y responsabilidades que reconoce; después comparen esa descripción con el registro.
- Confirma que reconoce la responsabilidad sobre ese control y qué entiende que le corresponde: qué debe hacer, con qué frecuencia o en qué momento, y qué resultado, acción o evidencia deja, cuando aplique.
- Compara su respuesta con el registro y anota cualquier diferencia.
- Revisa cada diferencia antes de depender de esa asignación: corrige el registro, aclara el alcance con la persona o reasigna el control.
No todos los controles dejan evidencia periódica: algunos se manifiestan en una acción puntual o en una decisión. Por eso la pregunta es qué deja cada uno, cuando deja algo, y no si «tiene evidencia todos los meses».
Señales de que una asignación no está comprobada
- La persona registrada no sabe que figura como responsable.
- Dos personas se atribuyen responsabilidad exclusiva sobre el mismo control sin que esté definido cómo se distribuye, o ninguna reconoce la responsabilidad registrada.
- El registro nombra a alguien que ya no cumple esa función.
- La persona sabe que es responsable, pero describe un alcance distinto al registrado.
Cualquiera de estas señales indica dónde mirar. No prueba por sí sola que el control no se ejecute; el diagnóstico exige revisar cada caso.
Qué conclusiones no sacar de esta comprobación
Que una persona reconozca su asignación no demuestra que el control funcione ni que sea eficaz. Esta comprobación evalúa si la asignación es clara y está asumida, no la conformidad del sistema de gestión ni su resultado en una auditoría.
Cómo mantener las asignaciones al día
- Confirma la asignación en el momento de hacerla, con quien la recibe, y no meses después.
- Revisa las asignaciones cuando cambie una persona o un rol y antes de cada revisión importante.
- Registra el alcance junto al nombre, de forma que dos personas lean lo mismo.
- Repite la comprobación sobre una muestra de controles de forma periódica.
Si el siguiente paso es confirmar que lo que respalda cada control se puede encontrar, el artículo Evidencias de auditoría: cómo saber si se pueden localizar propone una prueba simple. Y para ver cómo se relacionan riesgos, controles y responsables en un registro operativo, puedes revisar Matriz de riesgos y controles que sí se gestiona.
Dónde encaja TECDEX Compliance
TECDEX Compliance administra controles, responsables, estados y evidencias.
Preguntas frecuentes
¿Cómo se comprueba que una asignación de control está entendida? Contrastando el registro con quien figura como responsable: confirmando que reconoce la responsabilidad, que entiende su alcance y revisando cualquier diferencia antes de depender de esa asignación.
¿El responsable de un control debe ser una persona con nombre? No necesariamente. Puede ser una persona, un rol o un equipo; lo importante es que quede claro quién responde y que lo sepa.
¿Es un requisito de ISO hacer esta comprobación? No. Es un criterio operativo de TECDEX, no una exigencia de una norma. Qué exige cada norma o esquema de certificación debe consultarse en su texto oficial y con el organismo de certificación que corresponda.
¿Cada control debe dejar evidencia todos los meses? No necesariamente. Depende del control: algunos dejan un resultado, una acción o una evidencia, y otros no de forma periódica. La comprobación pregunta qué deja cada uno, cuando aplique.