Auditorías repetidas y control de ejecución

1) Objetivo y función de las auditorías repetidas

• confirma el cierre de las infracciones y la reducción del riesgo residual al nivel de Appetite;
• protege contra la repetición (repeat findings) mediante medidas preventivas;
• forma una base probatoria legalmente significativa («audit-ready on the botón»).

2) Cuándo asignar re-audit (desencadenantes)

Cierre de CAPA por Critical/High (obligatorio), por Medium por muestreo/riesgo.
Incidente de alta gravedad o prescripción reglamentaria.
Derivación de controles según CCM/observabilidad.
Cambios en la arquitectura/proceso (versiones, migraciones, proveedores).
Ventanas de calendario trimestrales/semestrales para dominios de alto riesgo.

3) Alcance y métodos (scope & methods)

Prueba de diseño: política/estándar/SOP actualizado, control formalizado.
Prueba de eficacia operativa: el control funciona de manera estable en el período (muestreo en 30-90 días).
Muestreo: risk-based (aumentar n para high/critical), mix casos aleatorios y dirigidos.
Réperforme: si es posible, repita el procedimiento/solicitud para confirmar el resultado.
Pruebas: registros, confiscaciones, descargas, capturas de pantalla, informes de herramientas - con recibos hash y WORM.

4) Roles y RACI

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

5) Ciclo de vida re-audit (SOP)

1. Iniciación: tarjeta re-audit (findings, CAPA, riesgo, período de muestreo, deadline).
2. Preparación: lista de verificación de pruebas, criterios de aceptación, lista de artefactos, accesos «por caso».
3. Recopilación de datos: auto-descarga, muestreo, fijación hash, colocación en WORM.
4. Pruebas: diseño (disponibilidad/corrección) → eficiencia (muestreos, réperformes).
5. Evaluación: riesgo residual, sostenibilidad, presencia de deriva.
6. Solución: Cerrar/Extensión CAPA/Escalate (comité, regulador).
7. Fijación: protocolo, actualización de dashboards, «audit pack» re-audit.
8. Supervisión: observación de 30-90 días; a la deriva - re-abrir con el nuevo CAPA.

6) Criterios de aceptación (Definición de Don)

Medidas correctivas implementadas y confirmadas.
Las medidas preventivas reducen el riesgo de repetición (entrenamiento, gates, detección).
Evidence es completo e invariable (WORM, recibos hash).
Las reglas de CCM están actualizadas, las alertas son normales, no hay deriva.
Las políticas/SOP/gráficos están sincronizadas con los cambios reales.
Los vendedores realizaron acciones espejadas (retén/eliminación/certificados).

7) Ligamento re-audit ↔ CAPA

En la tarjeta CAPA almacenar Re-audit Plan (período, métrica de éxito, owner).
Con el «éxito parcial» → la extensión del CAPA con controles compensatorios y fecha de caducidad.
Para los problemas del sistema, los épicos de prevención (cambio de arquitectura, revisión de procesos).

8) Métricas y KRI

Re-audit On-time:% realizado a tiempo (objetivo ≥ 95%).
First-Pass Close:% de cierres sin extensión CAPA (cuanto más alto - mejor).
Repeat Findings (12 meses): porcentaje de repeticiones por dominio/propietario (tendencia ↓).
Residual Risk Δ: reducción de riesgo-score después de re-audit.
Evidence Completeness:% re-audit con un conjunto completo de artefactos (objetivo 100%).
Drift After Fix: casos de control a la deriva en 30-90 días (objetivo 0 crítico).
Vendor Mirror SLA: confirmaciones de los contratistas (objetivo del 100% para los críticos).

9) Dashboards (mínimo)

Re-audit Pipeline: Planned → In Progress → Close/Extend → Observe.
Repeticiones heatmap: por dominios (IAM, datos, DevSecOps, VRM, DR/BCP).
CAPA & Re-audit Link: estado de ligamentos, atrasos, zonas vulnerables.
Evidence Readiness: disponibilidad de WORM/hash, frescura de las muestras.
Drift & CCM: infracciones post-fix, frecuencia de alertas.
Vendor Assurance: retén/eliminación espejada, certificados, SLA.

10) Técnicas de muestreo y pruebas

Estratificación por riesgo: más casos para controles/jurisdicciones críticas.
Pruebas combinadas: comprobación documental + réperformes reales (por ejemplo, exportación DSAR, revocación de acceso, eliminación por TTL).
Escenarios negativos: intento de eludir el control (ABAC/SoD, rate limits, secret-scan).
Prueba de estabilidad: repetición en 30 días en la subelección (sanity check).

11) Automatización y «assurance-as-code»

Casos de prueba para controles como código (Rego/SQL/YAML), ejecución automática programada.
Autogeneración «audit pack re-audit» del escaparate de la videncia con recibo.
Escalaciones automáticas por SLA (caducidad CAPA/re-audit).
Integración con CI/CD: los gates bloquean la liberación bajo controles «rojos».

12) Vendedores y cadena de suministro

En los contratos, el derecho de re-auditar y los plazos de entrega de los artefactos.
Retén espejado y confirmación de destrucción/corrección.
En caso de irregularidades: créditos/SLA-shtrafs, plan off-ramp y migración.
Certificados externos (SOC/ISO/PCI) - en estado fresco; con «opinion qualified» - re-audit se amplifica.

13) Patrones de artefactos

13. 1 Tarjeta re-audit

ID findings/CAPA, riesgo/jurisdicción, período de muestreo

Pruebas de diseño/eficacia, criterios de aceptación

Lista de artefactos (fuente, formato, hash)

Resultados, riesgo residual, recomendaciones

Solución (Close/Extend/Escalate), owner/due, referencias a evidence

13. 2 Informe re-audit (tabla de contenido)

1. Resumen y contexto

2. Metodología y alcance

3. Resultados de las pruebas (tablas de selección)

4. Riesgo residual y conclusiones

5. Soluciones y desafíos (CAPA/waivers)

6. Aplicaciones: recibos hash, capturas de pantalla, descargas

13. 3 Lista de aceptación

• Políticas/SOP/controles actualizados
• Evidence recopilado y WORM/hash confirmado
• Reglas CCM incluidas, alertas válidas
• Formación/comunicación completada (LMS, lectura-recepción)
• Confirmaciones de Vendor recibidas
• No se requiere Re-Open/hay un plan de expansión

14) Gestión de excepciones (waivers)

Sólo se permiten con restricciones objetivas; la fecha de caducidad y los controles compensatorios son obligatorios.
Publicidad en el dashboard, recordatorios 14/7/1 día, escalada en el Comité.

15) Antipattern

«Cierre de papel» sin prueba de rendimiento.
Evidence sin WORM/hashes - controversia en la auditoría.
No hay comunicación CAPA ↔ re-audit ↔ CCM - los controles no se fijan.
Scope restringido (no está cubierto por jurisdicciones/vendedores/roles críticos).
Controles únicos sin observación de 30-90 días → repeticiones.
Extensiones de CAPA sin un plan de medidas compensatorias y desactivación.

16) Modelo de madurez (M0-M4)

M0 Ad-hoc: raras comprobaciones «puntuales», sin criterios de aceptación.
M1 Planificado: calendario re-audit, plantillas básicas e informes.
M2 Controlado: ligamento con CAPA, dashboards/métricas, evidencia WORM.
M3 Integrado: assurance-as-code, réperformes, «audit pack» automático.
M4 Continuous Assurance: KRI predictivo, auto-replaning, monitoreo de estabilidad post-fix.

17) Artículos relacionados wiki

Planes de reparación de infracciones (CAPA)

Auditoría orientada al riesgo (RBA)

Monitoreo continuo de cumplimiento (CCM)

Mantenimiento de registros y Audit Trail

Almacenamiento de pruebas y documentación

Administrar cambios en la política de cumplimiento

Due Diligence y riesgos de externalización

Comité de Gestión de Riesgos y Cumplimiento

Resultado

Las auditorías repetidas son una verificación de la sostenibilidad, no una formalidad: una prueba de diseño y eficiencia, una base de pruebas sólida, soluciones transparentes (Close/Extend/Escalate) y observación de la deriva. Con este sistema, el riesgo no se «devuelve», y el cumplimiento sigue siendo medible y predecible.