Producir un registro convincente — un acta, un log, una captura de pantalla, un informe con membrete — cuesta minutos, y el costo baja cada trimestre. Establecer que ese registro es genuino cuesta cada vez más. Esa asimetría redefine el oficio, y la pregunta operativa que instala en cada auditoría es una sola · cómo llegó esta evidencia hasta mi mesa. El edificio entero de la confianza técnica descansa sobre el supuesto que esa pregunta examina · que la evidencia presentada es lo que dice ser.
Este criterio desarrolla el supuesto tácito del Criterio 02. Los cinco elementos de la evidencia verificable — actor, fecha, criterio, alcance, vigencia — pueden estar todos presentes y ser todos sintéticos · un PDF generado los trae impresos, un log fabricado los lista en orden, un acta producida ayer lleva la fecha del año pasado. Llamo integridad de la evidencia a la propiedad que falta, y se compone de tres condiciones del registro · procedencia — quién y qué sistema lo produjo —, inalterabilidad — nadie lo modificó desde su producción — y custodia — quién pudo tocarlo en el camino hasta la mesa del auditor. La evidencia también se audita. Donde la integridad del registro queda sin examinar, los cinco elementos flotan sobre nada.
Evidencia operativa y evidencia preparada
La evidencia operativa suele anteceder a la auditoría · es el rastro que deja la organización al trabajar. Sus fechas de generación siguen la actividad, con pausas y picos que pueden explicarse. Un lote creado poco antes de la visita no prueba falsedad; exige corroboración adicional. La fecha de generación es distinta de la fecha que el registro declara, y la distancia entre ambas se investiga antes de concluir.
Tres patologías del registro
Patología 01 · el registro provisto sin corroboración. La captura de pantalla que entrega el propio sujeto auditado o el extracto que el área imprime sin acceso del auditor a la fuente pueden ser evidencia útil, pero conservan una dependencia evidente de la parte interesada. Su peso aumenta cuando se corroboran contra una fuente independiente o contra el sistema de origen.
Patología 02 · el registro generado en bloque. La documentación atribuida a períodos distintos aparece creada en una misma semana. Fechas concentradas, un mismo autor para procesos diferentes o versiones nacidas como finales son señales de revisión. También pueden tener una explicación legítima, como una migración o consolidación; los metadatos orientan la corroboración, no sustituyen la conclusión.
Patología 03 · el registro sintético. Actas con firmas clonadas, comprobantes generados, audio o video capaces de sostener una identidad falsa en una videollamada. El AI Incident Database reúne incidentes de fraude con estos mecanismos. El registro permite comprobar que el riesgo existe; no ofrece, por sí solo, una tasa universal aplicable a toda organización.
El valor probatorio se mudó a la procedencia
La facilidad actual para generar documentos convincentes reduce el valor de aceptar el contenido por apariencia. Procedencia, protección contra alteración y custodia pasan a formar parte del análisis. Según el riesgo, la respuesta puede incluir corroboración contra otra fuente, revisión de metadatos, acceso al sistema de origen o mecanismos criptográficos de integridad y sellado de tiempo. Ningún mecanismo aislado autentica por sí solo el hecho documentado.
El estándar alcanza al propio auditor
La doctrina quedaría incompleta si terminara en el auditado. Los papeles de trabajo del auditor soportan la misma pregunta · de dónde salió cada evidencia, quién la tocó, qué protección tuvo. La versión pública de esta disciplina es la corrección · quien corrige en público un dato propio demuestra que su sistema de afirmaciones funciona — la auditoría continua aplicada a la propia firma. El auditor que exige procedencia ajena y descuida la propia pide un trato que su doctrina no autoriza.
Una declaración de límites, porque los límites son parte del argumento. Este criterio exige reconstruir la procedencia de la evidencia que carga peso en el hallazgo, y declarar con honestidad el grado de corroboración en el informe. La pericia forense caso por caso pertenece a otro oficio, y se convoca cuando el riesgo la justifica.
El test del criterio
Tome las tres evidencias que más peso cargan en su última auditoría — interna o externa — o en su última revisión por la dirección. Para cada una, tres preguntas. ¿Quién la produjo y en qué sistema? ¿La fecha de generación coincide con la fecha que el documento declara? ¿Qué protección tuvo contra alteración entre su producción y esta mesa? Respuesta esperada · las tres preguntas se responden con registro consultable, sin descansar en la palabra de quien la entregó, y la reconstrucción completa toma menos de una jornada de trabajo. La evidencia clave que solo se sostiene en la palabra del auditado cambia de categoría · deja de fundar el hallazgo y queda pendiente de corroboración — y el informe lo dice con esas palabras.