Evaluación de la Efectividad de los Controles Implementados

Que un control esté documentado y formalmente implementado no garantiza que funcione como se espera en la operación diaria, por lo que evaluar su efectividad requiere ir más allá de confirmar su existencia y probar si realmente cumple el objetivo para el cual fue diseñado. Esto implica distinguir entre pruebas de diseño, que verifican si el control está bien concebido para mitigar el riesgo, y pruebas de operación, que confirman si se ejecuta de manera consistente durante el periodo evaluado, con evidencia real de su funcionamiento en distintos momentos y no solo en el día de la auditoría. Un ejemplo práctico frecuente es el control de revisión periódica de accesos, que puede existir como política y figurar como cumplido en un checklist, pero al revisar la evidencia real se descubre que la última revisión efectiva ocurrió hace más de un año. Evaluar la efectividad exige siempre pedir evidencia, nunca aceptar la afirmación del responsable del proceso como prueba suficiente.