Hallazgos sustentados y no conformidades
¿Cómo redactamos un hallazgo que otra persona pueda verificar?
El hallazgo debe permitir al lector entender la regla, localizar los hechos y reconocer la diferencia observada. Esa estructura facilita corregir y revisar. Un calificativo amplio como «mala gobernanza» aporta menos que una contradicción concreta entre fórmula y conjunto de referencia.
En esta lección redactarás H-01 y H-02. Conservarás EX-05 como un pendiente permitido en la escena. La disciplina consiste en afirmar lo que la evidencia sostiene, registrar lo que falta y evitar añadir causas, intenciones o consecuencias que todavía no se han investigado.
Construir la cadena del hallazgo
Comienza por el criterio aplicable y su condición. Añade evidencia concreta y localizable. Describe la diferencia observada y delimita copia, conjunto, versión o periodo. La redacción debe poder verificarse sin conocer la conversación entre auditor y auditado. Si una frase carece de fuente o excede el alcance, revísala.
Un hallazgo no necesita ser extenso para ser sólido. «El proceso es ineficaz» no explica qué se incumple. «La copia declara cierre completo aunque faltan las dos actuaciones exigidas por la regla 02, según EX-03 y EX-04» sí identifica una contradicción. Después puede evaluarse su alcance organizativo con evidencia adicional, sin presuponerlo en la primera redacción.
Diferenciar resultados de la evaluación
La conformidad expresa cumplimiento de un criterio en el alcance examinado. La no conformidad expresa incumplimiento sustentado. Una oportunidad de mejora propone una ventaja sin utilizarla para ocultar una desviación demostrada. Una cuestión pendiente indica que falta contraste o que una actuación sigue correctamente abierta.
No uses «observación» como cajón donde desaparecen problemas incómodos. Si la organización utiliza categorías propias, explica su significado y relación con los criterios. Un resultado favorable en una muestra tampoco autoriza a afirmar que todo el SGIA cumple: conserva el alcance y las limitaciones de la evaluación.
Abrir la infografía de 11.4 a tamaño completo (nueva pestaña)
Ausencia de evidencia y evidencia de ausencia
Si un criterio exige conservar un registro y se comprueba que no existe tras una búsqueda adecuada, esa ausencia puede sustentar una no conformidad. Si un archivo no se ha entregado todavía, quizá solo tengas una limitación temporal. Debes explicar qué se pidió, dónde se buscó, quién respondió y qué obligación se contrasta.
H-02 no depende únicamente de un documento faltante. EX-03 muestra eficacia pendiente y decisión no registrada; EX-04 confirma que no se realizó la verificación ni se emitió la decisión. Esta confirmación específica permite concluir sobre ambos actos en la escena. No generalices ese razonamiento a cualquier campo vacío de cualquier expediente.
H-01: el denominador alterado
M11-EX-CRIT-01 exige incluir todos los críticos de referencia. EX-01 contiene diez, E01–E10, y nueve son detectados. EX-02 utiliza 9/9 = 100 % y excluye E10 porque no fue detectado. La diferencia frente al criterio está demostrada: el denominador elimina el falso negativo del mismo alcance y el resultado correcto es 90 %.
El hallazgo se refiere a MON-001-M11-EX y al subconjunto examinado. No afirma que los originales del curso estén mal, que todos los indicadores fallen o que el proveedor cause el error. El posible efecto sobre decisiones explica relevancia, pero no acredita un daño ocurrido. La causa de la exclusión requiere investigación posterior.
H-02: cierre completo sin condiciones cumplidas
M11-EX-CRIT-02 condiciona el estado a verificación de eficacia requerida y decisión de autoridad. EX-03 declara cierre completo mientras conserva eficacia pendiente y decisión sin registrar. EX-04, respuestas 1 y 2, confirma que ninguna de las dos actuaciones se realizó. La declaración incumple la regla interna del ejercicio.
La derivación con prioridad humana de T10-014 a las 09:20 no sustituye una prueba de eficacia posterior ni una decisión de cierre. Tampoco permite concluir contención global, causa raíz o consecuencias. H-02 identifica una declaración de estado incoherente con condiciones expresas; no reescribe el registro INC-001 original ni la historia del curso.
EX-05: un pendiente que respeta sus límites
La regla 03 permite evaluación abierta con responsable, revisión y límites de decisión. EX-05 identifica compras TI, revisión cinco días hábiles desde apertura todavía no vencidos y prohibición de contratar o cargar datos corporativos. La escena aporta que ninguna de esas dos actuaciones ocurrió.
Con estos hechos no aparece una desviación respecto de la regla 03. Registra el pendiente y su seguimiento. Si una auditoría real detectara contratación prematura, necesitaría localizar el acto y la obligación previa vulnerada antes de formular otro hallazgo. Mantener la evaluación abierta no equivale a autorizar el uso, ni la falta de incumplimiento demostrado elimina la comprobación de retención.
No atribuir una causa antes de investigarla
«El analista manipuló el indicador para engañar» añade intención que no está probada. «El proveedor cerró el incidente por error» añade una causa y un actor sin respaldo. Redacta primero la diferencia observable; la investigación evaluará hipótesis con datos y podrá identificar más de un factor.
Separar causa de hallazgo no reduce su importancia. Permite que la organización investigue selección de población, revisión de fórmulas, permisos, interfaz y responsabilidades sin quedar atrapada en una acusación temprana. En AUD-002 utiliza campos distintos para evidencia, conclusión, causa por investigar y plan de acción propuesto.
Valorar gravedad con una metodología explícita
La organización puede utilizar categorías como mayor o menor si las define y justifica. No las impongas automáticamente a toda auditoría interna. La valoración puede considerar alcance, recurrencia, fallo sistémico, capacidad de respuesta y consecuencias potenciales o confirmadas, de acuerdo con el método adoptado.
Un porcentaje incorrecto puede ser muy relevante para decisiones críticas, pero la etiqueta no se deduce solo de que sea un error aritmético. Un cierre sin eficacia puede revelar un problema de flujo, pero hace falta contrastar extensión. En el ejercicio puedes dejar la clasificación como pendiente de metodología y conservar los dos incumplimientos demostrados sin inventar gravedad.
Contrastar con el auditado sin negociar los hechos
Presenta criterio, localizadores y redacción preliminar. Pregunta si existe evidencia pertinente que no se haya considerado. Corrige errores del auditor y completa contexto cuando corresponda. Si la persona discrepa, registra su argumento y cómo afecta a la conclusión. El desacuerdo no elimina una desviación suficientemente demostrada.
La reunión de cierre confirma comprensión, límites y siguientes pasos. No exige que el auditado redacte la conclusión ni que acepte una causa aún no investigada. Utiliza lenguaje preciso y respetuoso, sin convertir el informe en una evaluación personal. Los responsables de actuar necesitan saber qué condición debe restablecerse y qué evidencia se espera para verificarla.
Hallazgos jurídicos con aplicabilidad demostrada
No califiques H-01 o H-02 como infracciones del AI Act por asociación temática con IA. Para una conclusión jurídica identifica disposición, versión, rol, supuesto y aplicación temporal, además de los hechos. La Oficina Europea de IA y las plataformas oficiales orientan la localización; no reemplazan el análisis competente.
Si la aplicabilidad sigue abierta, conserva la cuestión en la matriz y asigna revisión. Un contrato puede imponer un compromiso incluso cuando la obligación legal concreta sea distinta, por lo que conviene mantener ambas fuentes separadas. Esa precisión permite comunicar una desviación interna demostrada sin exagerar su fundamento ni ocultar una posible cuestión que requiere estudio.
Actividad de la lección
Redacta H-01 y H-02 con criterio, evidencia, diferencia y alcance. Añade localizadores exactos y una frase de límite. Después registra EX-05 por separado con estado, responsable, revisión y límites. Escribe qué información adicional necesitarías para valorar gravedad o causa, sin presentarla como recibida.
Revisa cada verbo: «declara», «contiene» o «confirma» deben remitir a una fuente; «se propone» debe mantener una actuación futura como propuesta. Elimina referencias a producción, daño o notificación que no se sostengan en el expediente.
Revisa tu respuesta
Completa primero la actividad. Después compara tu razonamiento con la respuesta desarrollada y revisa qué queda por comprobar.
Consultar la respuesta desarrollada
H-01 es una no conformidad frente a M11-EX-CRIT-01: EX-01/E01–E10 aporta diez críticos, nueve detectados y E10 no; EX-02/SEN-EX elimina E10 y declara 100 %, donde corresponde 90 %. H-02 es una no conformidad frente a la regla 02: EX-03 declara cierre completo y EX-04/1–2 confirma que faltan eficacia y decisión. Redáctalas después del contraste y antes del cierre de auditoría, en AUD-002 y su síntesis AUD-001, utilizando reglas y fuentes identificadas.
La finalidad es comunicar diferencias verificables para que puedan tratarse. Limita ambas a las copias M11-EX. EX-05 permanece abierto conforme a la regla 03, con revisión futura y límites de contratación y carga. Conserva desacuerdos y metodología de gravedad si existe. Causa y eficacia todavía requieren actuaciones y evidencia; el informe no debe anticiparlas.
Comprueba lo aprendido
¿Toda actuación pendiente es una no conformidad?
No. Contrasta requisito, vencimiento, límites y hechos; EX-05 permanece permitido en la escena y requiere seguimiento.
¿H-02 se basa solo en falta de entrega documental?
No. EX-04 confirma expresamente que no se realizaron eficacia ni decisión de cierre, además de lo que muestra EX-03.
¿Puede afirmarse ya una causa raíz?
No. El hallazgo describe la diferencia demostrada; la investigación posterior contrastará hipótesis con evidencia.
033. Auditoría de IA: evidencias, muestreo y hallazgos
Clase de apoyo para las lecciones 11.3 y 11.4. Revisa también las precisiones del audio en el apartado desplegable.
Escuchar el audio B en iVoox (nueva pestaña)
Precisiones para interpretar el audio B
Ejercicio, métrica y criterio
M11-EX utiliza copias y datos sintéticos, separados de los originales del curso. Los diez casos críticos pertenecen a la prueba de v1, no a una serie histórica de producción. La regla exige incluir los diez en el denominador, también el falso negativo; no establece que el modelo deba detectar obligatoriamente el cien por ciento. La sensibilidad correcta es 9/10 = 90 %, frente al 9/9 = 100 % de la copia defectuosa. Detectar un crítico tampoco equivale a neutralizar un riesgo.
Redacción y límites
La exclusión incorrecta está acreditada. La identidad de quien la introdujo, su causa y una posible intención de ocultación necesitan investigación. Una no conformidad no es automáticamente grave ni paraliza por sí misma un despliegue: gravedad y decisiones se evalúan con la metodología, el riesgo y las competencias de la organización. La escena introductoria es hipotética; en M11-EX no se acredita una orden de paralización. v2 sigue fuera de producción. El hallazgo documenta el resultado de una evaluación dentro de su alcance; no constituye una certificación ni una prueba irrefutable de todo el sistema.
Cierre y entrevista
EX-03 muestra eficacia pendiente y decisión no registrada. EX-04 confirma que la verificación no se realizó y que la autoridad designada no emitió la decisión de cierre. No confirma que una dirección técnica concreta nunca revisara el caso, ni impone una firma como único formato admisible. A las 09:20 consta derivación con prioridad a atención humana. Ese dato no acredita que alguien descolgara un teléfono o atendiera efectivamente el caso, ni que se demostrara contención, eficacia o cierre.
Pendiente del proveedor
EX-05 respeta responsable, revisión todavía no vencida y límites de contratación y carga de datos corporativos. El plazo didáctico es cinco días hábiles desde la apertura, no una regla universal. La escena indica que no se contrató ni se cargaron datos corporativos; no se amplía esa evidencia a cualquier comunicación o transferencia de cualquier dato.
Muestra, ponderación y riesgo
El ejemplo de cuarenta mil tickets es ficticio e independiente de M11-EX. Supone marco completo, referencia independiente para los estratos y selección aleatoria equiprobable dentro de cada grupo. Cien por grupo es un tamaño didáctico, no una recomendación. Con esos supuestos, 22/200 = 11 % describe la muestra reunida y 0,9 × 0,02 + 0,1 × 0,20 = 0,038 estima un 3,8 % para la población. La ponderación por sí sola no convierte una selección dirigida o sesgada en representativa; la estimación requiere justificar el diseño y la incertidumbre. El 20 % de error observado en la muestra crítica conserva su importancia. La cifra global no acredita aceptabilidad ni convierte una preocupación en una crisis injustificada: cada resultado se contrasta con riesgos y criterios.
Localizadores y apoyo de IA
El localizador debe permitir recuperar la evidencia autorizada con contexto, periodo y versión. Según la fuente puede ser una celda, un identificador o una consulta documentada. No exige copiar ni grabar todo. El uso de IA de terceros depende de autorización, finalidad, datos permitidos, confidencialidad, retención y condiciones del servicio. Se evita cargar evidencias en herramientas no autorizadas; no se establece una prohibición universal de cualquier apoyo externo. El auditor conserva el juicio y verifica las respuestas contra las fuentes.
Las reglas y hechos M11-EX proceden del expediente didáctico del curso.
Fuentes de consulta
Recursos para la actividad
Utiliza una copia de trabajo y consulta el ejemplo didáctico. Los estados declarados y las actuaciones propuestas necesitan su evidencia correspondiente.