O mapa não é o território.
Princípio útil para auditar: o documento representa a operação, mas não a esgota. Auditar é observar a distância entre o que está escrito e o que acontece.
Definição autoral
A documentação de um sistema de gestão é o mapa. A operação real é o território. O trabalho do auditor é observar essa distância e dizer onde o sistema escrito deixou de se parecer com o sistema vivido.
Uma política de segurança da informação pode declarar revisão trimestral de acessos. O registro técnico real pode mostrar que as revisões ocorrem a cada nove meses. A política é o mapa. O registro técnico é o território.