Un control respaldado por una comprobación deja de ser una afirmación. Cada una ejecuta, de forma programada, una prueba determinista sobre datos obtenidos de los sistemas que ha conectado, y cada ejecución registra el resultado junto a la respuesta bruta de la API y el instante de lectura. Esa carga útil es la evidencia que recibe el auditor: una lectura fechada, no la palabra de un compañero.
- Ejecuciones programadas contra los sistemas conectados
- Resultado vinculado al control que evidencia
- Respuesta bruta conservada y fechada en cada ejecución
- Visibilidad del veredicto hasta la vista de estándares
- Herencia por los marcos mapeados: evidencie una vez, responda en ambos sentidos
Este es el mecanismo en torno al cual se reposicionaron las plataformas estadounidenses de gestión de confianza. La diferencia es dónde se ejecuta: en su propia infraestructura si así lo quiere, con sus credenciales de solo lectura, y con la evidencia dentro de su perímetro de confianza.