Después de leerlo, podrá elegir unos pocos indicadores que revelen un control que falla, y actuar sobre lo que muestran.
Definición
Se sitúa entre el control y la auditoría. Un control funciona en el día a día, la supervisión comprueba que se ejecutó y una auditoría evalúa el conjunto de forma independiente.
La cláusula 9.1 de la ISO/IEC 27001 pide decidir qué se supervisa y se mide, cómo, cuándo y quién lo hace, y quién analiza los resultados. COSO hace de las actividades de supervisión uno de sus cinco componentes.
Por qué importa
Un control que funcionaba el día de la auditoría puede haber dejado de hacerlo la semana siguiente, y sin supervisión nadie se entera hasta que algo falla.
También reparte a lo largo del año el trabajo de demostrar el cumplimiento, lo que deja mucho menos por reconstruir antes de una auditoría.
Cómo funciona
Elija qué comprobar, empezando por los controles y obligaciones cuyo fallo cuesta más. Dé a cada uno un indicador, un objetivo, una frecuencia y un responsable.
Recoja los resultados, de forma automática cuando pueda, y registre cada excepción con su causa.
Muestre la tendencia a la dirección. Convierta los fallos repetidos en acciones correctivas y ajuste el plan cuando cambien las obligaciones.
Un caso práctico
El indicador: personas que han dejado la empresa y cuyos accesos se retiraron en un día laborable. El objetivo es el 100 %, y RR. HH. e informática lo comprueban cada mes.
En marzo, 11 de 12 casos lo cumplen. La excepción es un contratista que faltaba en la lista de RR. HH., así que los contratistas se añaden a la lista, con un responsable y una fecha.
Buenas prácticas
- Mantenga pocos indicadores, cada uno ligado a una obligación real.
- Prefiera los datos de los sistemas a las declaraciones de las personas.
- Fije el objetivo antes de mirar los resultados.
- Haga que alguien distinto de quien ejecuta el control revise las cifras de vez en cuando.
Errores frecuentes
- Recoger cifras que nadie lee, normalmente porque ninguna decisión depende de ellas.
- Medir la actividad, como las sesiones de formación impartidas, en lugar del resultado buscado.
- Corregir cada excepción sin preguntarse por qué ocurrió, de modo que el mismo fallo vuelve el mes siguiente.
Preguntas
- ¿Qué diferencia hay entre supervisión del cumplimiento y auditoría?
- La supervisión es continua y la realizan los responsables del proceso. Una auditoría es periódica, independiente y sigue un programa definido.
- ¿Con qué frecuencia deben comprobarse los controles?
- En proporción al riesgo y a la frecuencia con que se ejecuta el control. Los controles diarios pueden muestrearse cada mes, y los anuales comprobarse cuando se producen.
- ¿Qué es la supervisión continua de controles?
- La recogida automatizada de los resultados de los controles desde sistemas como las plataformas de identidad o de nube, que reduce el muestreo manual.
- ¿Quién recibe los resultados de la supervisión?
- Primero el responsable del control, después el responsable de cumplimiento. La dirección recibe una visión breve.
- ¿Qué indicadores de cumplimiento funcionan mejor?
- Los ligados a un requisito, con un objetivo y un responsable claro, como las revisiones atrasadas o el tiempo que se tarda en retirar accesos.