Glosario
Excepción de control
Autorización formal, temporal y documentada para operar sin cumplir un control concreto, con motivo, responsable y fecha de caducidad.
- Desviación aceptada
- Riesgo aceptado
Las excepciones no son un síntoma de mal gobierno: un programa sin ninguna excepción registrada normalmente significa que las excepciones existen pero no se anotan. Lo que un auditor valora no es su ausencia, sino su gestión.
Una excepción completa tiene cinco campos y ninguno es opcional: qué control no se cumple, por qué, qué medidas compensatorias se aplican mientras tanto, quién la ha autorizado —con un cargo que tenga competencia para hacerlo— y hasta cuándo.
El quinto es el que falta casi siempre. Una excepción sin caducidad deja de ser una excepción y se convierte en una política informal que nadie aprobó. La práctica que mejor funciona es revisar todas las excepciones vigentes en la misma sesión periódica, de modo que renovar una exija volver a justificarla delante de la misma persona que la concedió.