Hay un tramo del calendario en el que el equipo de compliance deja de avanzar y se dedica a mirar hacia atrás: reconstruir qué se hizo y quién lo registró. El resto del año, el control existe en teoría. En la práctica, existe cuando alguien se acuerda de él.
Ese pico no es mala suerte. Es la consecuencia de sostener el control en una hoja de cálculo y en la memoria de un equipo pequeño. Excel no falla: hace bien lo que Excel hace. Falla el conjunto, porque nadie audita continuamente una hoja de cálculo. Se actualiza a trompicones durante meses y se reconstruye entera cuando llega el auditor.
No es un problema de disciplina. Es un problema de diseño
Aquí conviene ser preciso: el fallo no está en que el equipo se despiste. Está en el diseño. Cuando el control depende de que una persona siga aquí y tenga tiempo esta semana en concreto, el sistema entero es tan frágil como ella. La evidencia de que se cumple vive dispersa en carpetas y en su cabeza; si falla ella, falla el control.
Cambiar de Excel a otro Excel más ordenado no resuelve nada. Lo que hay que cambiar es qué pasa entre una auditoría y la siguiente. Eso —y solo eso— es lo que llamamos auditoría continua.
Qué significa realmente “auditoría continua”
Auditoría continua no significa auditar más veces ni vivir permanentemente preparando una inspección.
Significa que cada control tenga asociada una planificación, un responsable, un estado y un registro que pueda consultarse cualquier día del año. En lugar de reconstruir una fotografía cuando llega el auditor, el sistema mantiene la información actualizada a medida que se genera.
En Ermine, cada control cuenta con una fecha de ejecución planificada —la Próxima ejecución— y con un estado que refleja el avance del Ciclo vigente.
Son dos preguntas distintas: cuándo corresponde ejecutar el control y cuánto se ha completado. Por eso, el ciclo se presenta como un contador —por ejemplo, “2/5 registradas”— y no como un simple visto bueno. Un control puede requerir varias evidencias diferentes y no debería aparecer como completado si alguna todavía está pendiente.
A partir de esa información, cada evaluación puede encontrarse en uno de estos estados:
- Urgente: quedan menos de siete días y todavía falta alguna evidencia.
- Pendiente: quedan más de siete días y todavía hay registros por completar.
- Preparada: ya existen registros nuevos para todas las evidencias.
- Vencida: la fecha planificada ha pasado y todavía falta información.
El estado se actualiza con cada nuevo registro. Así, el equipo puede saber qué necesita atención antes de que llegue la auditoría, no después.
Además, cada evidencia conserva su histórico: quién la registró, cuándo lo hizo y qué información incorporó. El auditor dispone de un acceso limitado a aquello que necesita revisar y las plantillas de cada norma permiten comenzar con una estructura ya definida de controles, reglas y evidencias.
¿Y si alguien registra una evidencia fuera de plazo? La fecha planificada no se desplaza. Representa el compromiso de la organización y debe conservarse para que el histórico refleje lo que realmente ocurrió.
No hace falta un caso de estudio. Hace falta el tuyo
Todo lo anterior es teoría hasta que se prueba con datos propios. La propuesta es concreta: tráenos un procedimiento que hoy gestiones en Excel —el que más quebraderos de cabeza te da— y en una reunión de 30 minutos te lo mostramos modelado y operativo, con tus datos, no con un ejemplo genérico de otra empresa.
Y si tú no eres quien firma la decisión, reenvíalo a quien la firme. Convencer dentro de casa suele costar más que evaluar la herramienta.
¿Hablamos?