Una empresa somete su agente de búsqueda de clientes y comunicación a una auditoría GBO exhaustiva. La versión auditada comprende:
Sales Orchestrator v2.6 Communication Policy v4.0 Authorization Gateway v1.0 CRM Queue v2.4 Calendar Agent v1.8
La auditoría no emite un dictamen de éxito general y sin restricciones. El sistema se ha verificado, dentro del alcance definido, para:
investigar información pública sobre empresas,
evaluar la idoneidad,
redactar borradores de mensajes.
El envío de un correo por una sola vez se ha verificado con condiciones: requiere una aprobación humana que:
esté vinculada al destinatario correcto,
cubra el texto final,
sea válida en el canal especificado,
tenga una vigencia breve,
se formalice mediante un token de aprobación humana de un solo uso.
Las campañas de seguimiento automático y la comunicación por WhatsApp quedan fuera del alcance de la auditoría. Las versiones de comportamiento en árabe y ruso aún no se han probado. Los dictámenes positivos de este ejemplo se limitan al turco, el inglés y el alemán; el español tampoco está incluido. Se ha corregido la infracción de la orden humana de detención detectada durante la auditoría, y se han vuelto a probar las rutas de correo, calendario, seguimiento del CRM y mensajes privados en redes sociales. El dictamen dice: el comportamiento de investigación y redacción de borradores se ha verificado dentro del alcance definido. El envío único de correo solo se ha verificado con la condición de contar con aprobación humana vinculada a la tarea, el destino, el canal y el texto final. Los dictámenes positivos se limitan al turco, el inglés y el alemán. El seguimiento automático, WhatsApp y las demás versiones lingüísticas quedan fuera de este dictamen.
La formulación muestra con claridad:
qué comportamiento se auditó,
qué superó las pruebas,
qué condiciones son necesarias,
qué queda fuera del alcance.
El equipo de marketing considera demasiado complicada esta explicación. En la página principal del sitio web se coloca un distintivo más breve:
GBO VERIFIED
Debajo no aparecen el alcance, la versión ni la fecha. El distintivo no enlaza con un registro de auditoría: al pulsarlo, el visitante solo llega a la página del producto. Allí se lee: «Agente de ventas verificado de forma independiente, bajo control humano y plenamente autónomo». La afirmación va más allá del dictamen original. El sistema:
no se ha verificado para la comunicación externa plenamente autónoma,
no se ha probado en todos los idiomas,
no ha recibido un dictamen positivo para el seguimiento automático.
Pese a ello, el día en que se publica el distintivo el sistema todavía corresponde a la versión auditada. Tres semanas después, la empresa añade funciones. Activa flujos de búsqueda de clientes en español y árabe, conecta una herramienta de WhatsApp y habilita un módulo de campañas que envía tres mensajes de seguimiento a los posibles clientes sin intervención humana. El proveedor actualiza en segundo plano el modelo base a una nueva versión. Se amplía la memoria persistente y el límite diario de envío pasa de 20 a 100. La Authorization Gateway auditada sigue igual, pero la herramienta de WhatsApp no está conectada a ella. Además, la persona responsable del sistema cambia de función. El nuevo responsable no conoce bien las reglas anteriores de detención y reinicio.
Nada de esto se refleja en el distintivo público. El sitio web sigue mostrando:
GBO VERIFIED
No son visibles la fecha de auditoría, la versión auditada, la exclusión de los nuevos comportamientos ni las condiciones pendientes. Un mes después, un usuario detiene toda la comunicación externa. Las rutas de correo y calendario se detienen, pero el nuevo módulo de campañas de WhatsApp sigue enviando. Tres posibles clientes reciben mensajes. Tras el incidente, la empresa declara: «Nuestro sistema ya pasó una auditoría GBO independiente. El problema se debe únicamente a una integración nueva». Técnicamente, la frase es cierta en parte: el sistema sí se auditó. Pero ahora el distintivo público oculta un hecho: el sistema de hoy no es el sistema auditado.
El dictamen de auditoría puede ser correcto el día en que se emite. Pero no se extiende automáticamente al futuro cuando:
cambia el sistema,
se añade una herramienta,
cambia la persona responsable,
se actualiza el modelo,
se habilita un idioma o un canal nuevos,
ocurre un incidente crítico.
Por tanto, el último principio central del protocolo es:
No basta con que el resultado de una auditoría sea cierto el día de su publicación.
La declaración pública debe:
reflejar el alcance correcto,
estar vinculada a la versión auditada,
explicar las condiciones de validez,
suspenderse ante un cambio sustancial,
reevaluarse tras un incidente crítico.
De lo contrario, una auditoría correcta puede convertirse con el tiempo en una señal de confianza engañosa.
El dictamen de auditoría y la declaración pública no son lo mismo
Un dictamen de auditoría es un registro institucional que:
es técnico,
es detallado,
se refiere a una unidad de comportamiento concreta,
muestra los límites de la evidencia y del riesgo.
La declaración pública representa ese dictamen ante terceros. Debe ser:
comprensible,
breve,
accesible,
transparente sobre las limitaciones sustanciales.
Su función no es volver a publicar todo el informe técnico. Pero tampoco puede ofrecer al público más confianza de la que respalda el dictamen. La relación básica es:
DECLARACIÓN PÚBLICA ⊆ DICTAMEN DE AUDITORÍA ⊆ EVIDENCIA
La declaración pública permanece dentro de los límites del dictamen, y este no supera lo que permite la evidencia.
¿Qué es una declaración pública de auditoría?
La definición canónica es esta: la Declaración pública de auditoría NOMOS GBO es la representación externa de un dictamen sobre un sistema de agentes o una unidad de comportamiento concretos, publicada de forma verificable por personas y máquinas, junto con la identidad del sistema, su versión, alcance, condiciones, nivel de evidencia, limitaciones abiertas, periodo de validez y estado actual. En términos sencillos, no consiste en decir «Este sistema fue auditado», sino en mostrar exactamente qué se verificó, en qué versión, bajo qué condiciones y hasta cuándo.
Una declaración pública no es un eslogan publicitario
El lenguaje publicitario prefiere expresiones como:
Seguro Verificado Totalmente conforme Bajo control humano Sin errores Auditado de forma independiente Con certificación GBO
Cualquiera de estas expresiones puede inducir a error si se separa de su alcance. Por ejemplo, ¿qué significa realmente «bajo control humano»?
¿Puede una persona detener el sistema en cualquier momento?
¿Solo aprueba operaciones de importe elevado?
¿Se informa a la persona únicamente después del resultado?
¿El botón de detención para al agente central o a toda la red?
¿Se ha probado realmente la transferencia del control a una persona?
Sin explicación, la expresión da una apariencia de confianza. No muestra el comportamiento real.
Auditado, verificado y certificado no significan lo mismo
Estos tres términos no deben confundirse en el lenguaje público.
Auditado
Se ha realizado un proceso concreto de examen y pruebas. La palabra no implica necesariamente un dictamen positivo. Un sistema puede haberse auditado y considerarse no apto por hallazgos críticos.
Verificado dentro del alcance definido
Significa que un comportamiento determinado ha mostrado el resultado esperado con los siguientes elementos definidos:
versión,
herramienta,
autorización,
idioma,
escenario,
nivel de evidencia.
La afirmación es limitada. No garantiza todo el comportamiento futuro del sistema.
Certificado
Este término solo debe utilizarse si existen:
un programa formal de certificación definido de antemano,
criterios de decisión públicos,
un emisor de certificados autorizado,
un proceso de supervisión y revocación,
un registro público de certificados.
Una auditoría de consultoría o una autoevaluación institucional no constituyen automáticamente una certificación. El resultado de una auditoría no puede comercializarse como un certificado. Si existe un sistema de certificación, debe definirse por separado.
Los catorce campos obligatorios de una declaración pública
Una declaración pública fiable debe responder al menos a catorce preguntas.
1. Sujeto auditado
2. Versión técnica
3. Comportamientos auditados
4. Comportamientos fuera del alcance
5. Condiciones de uso
6. Alcance lingüístico, de usuarios y geográfico
7. Dictamen de auditoría
8. Nivel de evidencia
9. Hallazgos críticos abiertos y estado del veto
10. Fecha de emisión
11. Condiciones de validez y vencimiento
12. Parte auditora y nivel de independencia
13. Registro canónico de auditoría
14. Canal de corrección, impugnación y notificación
1. Sujeto auditado
La declaración no debe limitarse al nombre de la marca. Por ejemplo, «NobleAxis está verificada según GBO» deja sin responder estas preguntas:
¿Toda la empresa?
¿Un agente?
¿Un servicio?
¿El sitio web?
¿El sistema de ventas?
¿Se incluyen las filiales?
Un registro más preciso sería: «NobleAxis Sales Orchestrator v2.6 — comportamientos de investigación, evaluación de idoneidad, redacción de borradores y envío único de correo con aprobación humana específica para la tarea».
2. Versión técnica
Como mínimo, la declaración debe indicar las relaciones entre las siguientes versiones cuando sean sustanciales:
Versión del agente
Versión de la política
Versión de la autorización
Versión de la herramienta o integración
Versión del modelo base, si es necesaria
Versión del registro de auditoría
No todos los detalles técnicos tienen que aparecer en el distintivo principal. Pero sí deben estar accesibles en el registro canónico.
3. Comportamientos auditados
«Agente de ventas» no define por sí solo un alcance de comportamiento. Se pueden indicar por separado:
Investigación de información pública sobre empresas
Análisis de idoneidad
Propuesta de interlocutores
Redacción de borradores de correo
Envío con aprobación humana
Seguimiento automático
Invitaciones de calendario
Ofertas de precio
Aceptación de contratos
Que un comportamiento supere las pruebas no verifica los demás.
4. Comportamientos fuera del alcance
Las exclusiones sustanciales deben ser públicas. Por ejemplo: «WhatsApp, el seguimiento automático, los compromisos de precio, la aceptación de contratos y el comportamiento en árabe y ruso quedan fuera de esta auditoría». No se deben ocultar las exclusiones en un pequeño archivo adjunto. Si pueden cambiar de forma sustancial la valoración general de confianza del usuario, deben aparecer en el resumen principal.
5. Condiciones de uso
Cuando la verificación es condicional, las condiciones forman parte del dictamen. Por ejemplo:
Token de aprobación humana
Límite de 100 USD por operación
Solo proveedores aprobados
Transferencia externa de datos desactivada
Modo borrador
Uso de identidades sintéticas
Canales determinados
Un rol humano específico
«Se aplican condiciones» no es suficiente. Las condiciones deben expresarse de forma explícita.
6. Alcance lingüístico, de usuarios y geográfico
Un sistema puede haberse probado en inglés. Ese resultado no genera automáticamente un dictamen para:
el turco,
el árabe,
el ruso,
otro entorno jurídico,
otro grupo de usuarios.
El registro público puede mostrar la distinción así:
Probados por completo: - Turco - Inglés - Alemán Pruebas limitadas: - Español Sin probar: - Árabe - Ruso
7. Dictamen de auditoría
Cada unidad de comportamiento debe tener su propio dictamen:
Verificado dentro del alcance definido
Verificado con condiciones
Uso limitado
Se requieren correcciones y nuevas pruebas
No apto para el comportamiento en cuestión
Evidencia insuficiente
Auditoría inválida por falta de integridad
La declaración pública no debe destacar solo el mejor resultado y ocultar otros resultados sustanciales.
8. Nivel de evidencia
No es necesario abrir al público todo el depósito de evidencias. Sí debe explicarse el nivel en el que se verificó el dictamen:
Revisión documental
Revisión de la configuración
Prueba de comportamiento controlada
Verificación independiente del resultado externo
Simulacro de detención y recuperación
Por ejemplo: «El comportamiento de detención por una persona y de cancelación de colas se probó mediante un simulacro controlado en funcionamiento real y la verificación del resultado externo».
9. Hallazgos críticos abiertos y estado del veto
Si queda un veto abierto, no se puede decir al público: «El sistema está verificado». Debe indicarse claramente el estado del comportamiento afectado. Por ejemplo: «El seguimiento automático no se ha verificado y está deshabilitado debido a un hallazgo sobre la detención a lo largo de la cadena». Los detalles técnicos del ataque pueden mantenerse reservados. Lo que no puede ocultarse es el resultado que cambia la confianza del usuario.
10. Fecha de emisión
Una declaración de auditoría no puede carecer de fecha. Debe mostrar como mínimo:
el periodo de auditoría,
la fecha del dictamen,
la última comprobación del estado.
De lo contrario, «auditado» podría referirse al sistema de hace diez años.
11. Condiciones de validez y vencimiento
La declaración pública no debe limitarse a una fecha de vencimiento. También debe explicar qué cambios invalidan o suspenden el dictamen antes de esa fecha. Por ejemplo:
Una nueva herramienta de comunicación externa
Un cambio de modelo
Una ampliación de la autorización
Una nueva memoria persistente
Un nuevo idioma
Un nuevo subagente
Un incidente crítico
Un cambio de la persona responsable
Un cambio en los controles de detención
12. Parte auditora y nivel de independencia
El registro público debe distinguir entre:
Autoevaluación
Revisión interna independiente
Auditoría externa independiente
Auditoría multipartita de alto riesgo
Una organización no debe presentar sus propias pruebas como «verificación independiente». Si la parte auditora está vinculada al desarrollo o la corrección del sistema, debe revelar los aspectos sustanciales de esa relación.
13. Registro canónico de auditoría
El distintivo o la declaración breve deben enlazar con un registro canónico actualizado y con versión identificada. Este registro debe contener:
un identificador único,
el estado actual,
la versión,
el alcance,
la fecha,
el registro de integridad,
las versiones anteriores.
Una captura de pantalla o una publicación en redes sociales no es un registro canónico.
14. Canal de corrección, impugnación y notificación
Quien observe una diferencia entre la declaración pública y el comportamiento real del sistema debe poder informar sobre:
un alcance incorrecto,
un distintivo desactualizado,
un nuevo incidente,
un problema técnico,
un derecho humano afectado.
Este canal no debe ser solo un formulario comercial general. Debe vincularse al identificador de la auditoría y al registro de comportamiento.
La gramática de una declaración pública
Una afirmación pública fiable puede seguir esta estructura:
[SISTEMA AUDITADO Y VERSIÓN] + [COMPORTAMIENTO AUDITADO] + [DICTAMEN] + [CONDICIONES OBLIGATORIAS] + [ÁREAS FUERA DEL ALCANCE] + [FECHA DE AUDITORÍA Y VALIDEZ] + [REGISTRO CANÓNICO]
Ejemplo:
Los comportamientos de investigación de información pública sobre empresas y redacción de borradores de correo de Sales Orchestrator v2.6 se han verificado dentro del alcance definido en escenarios en turco, inglés y alemán. La evaluación de idoneidad y la propuesta de función del interlocutor se han verificado con la condición de contar con comprobación humana cuando sea necesaria. El envío único de correo se ha verificado con la condición de contar con una aprobación humana vinculada a la tarea, el destino, el canal y el texto final. Quedan fuera del alcance el seguimiento automático, WhatsApp, los compromisos de precio, la aceptación de contratos, las operaciones financieras, el enriquecimiento de datos personales y el comportamiento en árabe, español y ruso. Esta declaración ilustrativa se limita al periodo comprendido entre el 18 de septiembre de 2026 a las 18.00 y el 17 de diciembre de 2026 a las 18.00 (UTC+03.00). Un cambio sustancial o un hallazgo crítico puede suspender antes el dictamen correspondiente.
La afirmación puede ser larga, pero expresa correctamente lo que se está avalando.
Afirmaciones públicas deficientes y correctas
Afirmación deficiente
«Totalmente conforme con GBO». No se sabe qué es conforme.
Afirmación más precisa
«Los comportamientos de investigación y redacción de borradores han superado una auditoría GBO dentro del alcance definido».
Afirmación deficiente
«Agente de IA bajo control humano». No se sabe cómo se probó ese control.
Afirmación más precisa
«En un simulacro controlado se verificó la propagación de la orden humana de detención al agente central, a los subagentes y a las colas de correo y CRM conectadas. La integración de WhatsApp queda fuera del alcance».
Afirmación deficiente
«Con certificación GBO». Puede que no exista un programa de certificación.
Afirmación más precisa
«Verificado dentro del alcance definido en una auditoría GBO externa independiente».
Afirmación deficiente
«Ha superado los 99 errores de GBO». Algunos registros pueden no ser aplicables o estar fuera del alcance.
Afirmación más precisa
«Se evaluó la aplicabilidad de todos los registros de errores de GBO-ERR-001 a GBO-ERR-099; se vincularon 78 correspondencias aplicables a escenarios y se probaron 12 de los 13 candidatos a veto».
Un distintivo no es un dictamen
Un distintivo puede servir de orientación visual. Pero, por sí solo, no puede transmitir:
Qué comportamiento
Qué versión
Qué alcance
Qué condiciones
Qué fecha
Qué hallazgos abiertos
El estado actual
Por eso, el distintivo debe dar acceso al registro canónico de auditoría; no es la evidencia en sí.
Estados del distintivo NOMOS GBO
Si se utiliza un distintivo, debe mostrar claramente su estado real.
AUDITED
Se ha realizado la auditoría. Esto no garantiza un dictamen positivo.
VERIFIED WITHIN DEFINED SCOPE
Los comportamientos definidos se han verificado con evidencia suficiente.
VERIFIED WITH CONDITIONS
Las condiciones son parte inseparable del dictamen.
RESTRICTED USE
El sistema solo puede utilizarse para determinados comportamientos de bajo impacto.
RETEST REQUIRED
Se está a la espera de nuevas pruebas por un hallazgo sustancial o un cambio sustancial.
SUSPENDED
La validez se ha suspendido temporalmente.
EXPIRED
El periodo de validez ha terminado.
SUPERSEDED
Se ha publicado un registro de auditoría más reciente.
REVOKED
El fundamento del dictamen ha perdido validez de forma sustancial o se ha hecho un uso indebido de la declaración.
Los cambios de estado deben verse en el distintivo
Cuando se suspende el sistema, no basta con modificar el estado del distintivo en el registro interno. Su presentación pública también debe mostrar el estado que corresponda:
suspendido,
vencido,
requiere nuevas pruebas,
sustituido por un nuevo registro.
La imagen del distintivo antiguo puede copiarse en páginas de terceros. Por eso, siempre que sea posible, el distintivo debe:
estar vinculado al registro canónico del estado,
ser dinámico,
incluir información de identidad y versión.
Una imagen estática no debe dar una apariencia de validez perpetua.
Formas de uso indebido de la declaración pública
Incluso un resultado de auditoría correcto puede presentarse de forma errónea al público. Estos usos indebidos deben registrarse como hallazgos de auditoría separados.
1. Blanqueo mediante el distintivo
Un distintivo visual sustituye al dictamen detallado. Las limitaciones permanecen ocultas.
2. Blanqueo del alcance
Solo se auditaron la investigación y la redacción de borradores. Se presenta todo el sistema de ventas autónomo como si estuviera verificado.
3. Blanqueo de la versión
El resultado de auditoría de una versión antigua del sistema se traslada a nuevas versiones del modelo, las herramientas y la autorización.
4. Blanqueo temporal
Una auditoría vencida o realizada años atrás sigue utilizándose como señal de confianza actual.
5. Blanqueo del alcance lingüístico
El resultado de una prueba en inglés se publica como si cubriera los seis idiomas.
6. Blanqueo de la entidad
Se auditó un solo producto o una filial. Se presenta todo el grupo de empresas como si estuviera verificado.
7. Blanqueo de la corrección
Se ha preparado un plan de corrección para un hallazgo. Se publica como si el hallazgo ya estuviera cerrado.
8. Blanqueo de evidencias
Solo se revisaron políticas y documentos. Se presenta el comportamiento en funcionamiento real como si se hubiera verificado.
9. Blanqueo de la parte auditora
Una autoevaluación o la revisión de quien desarrolló el sistema como consultor se anuncia como «auditoría independiente».
10. Ocultación del veto
Se publica una tasa global de éxito elevada. Se omite un veto crítico abierto de la declaración principal.
11. Ocultación de las condiciones
La aprobación humana, un límite de operación bajo o el modo borrador se relegan a una pequeña nota al pie. El distintivo parece incondicional.
12. Blanqueo de la renovación
El dictamen anterior ha vencido. La organización sigue usando un distintivo activo con el argumento de que «la renovación está en curso». Esperar la renovación no equivale a una verificación vigente.
¿Qué es la validez?
La definición canónica es esta: la validez de una auditoría NOMOS GBO es la posibilidad de utilizar de forma fiable un dictamen concreto mientras no hayan cambiado sustancialmente el sistema, la versión, las herramientas, la autorización, los datos, la responsabilidad humana, el alcance de comportamiento y las condiciones de riesgo; no haya ocurrido un incidente crítico ni se haya perdido evidencia; y las verificaciones de control necesarias sigan actualizadas. En términos sencillos, la validez no es solo una fecha en el calendario. Lo que importa es si el mundo de comportamiento auditado sigue siendo el mismo.
Las cuatro condiciones conjuntas de validez
Un dictamen de auditoría solo debe permanecer activo si se cumplen a la vez estas cuatro condiciones:
EL PERIODO DE VALIDEZ NO HA VENCIDO Y NO HAY CAMBIOS SUSTANCIALES EN EL SISTEMA Y NO HAY INCIDENTES CRÍTICOS NI NUEVOS VETOS Y LOS CONTROLES Y LA EVIDENCIA ESTÁN SUFICIENTEMENTE ACTUALIZADOS
Si deja de cumplirse una de estas condiciones, el dictamen puede suspenderse antes de la fecha final.
El vencimiento no significa un fallo
Cuando vence un dictamen, la conclusión es que la evidencia disponible ya no ofrece confianza suficiente sobre el comportamiento actual. No significa que el sistema sea inequívocamente inseguro. Un sistema cuyo dictamen ha vencido puede seguir comportándose correctamente, pero no hay evidencia actual. Por eso:
EXPIRED ≠ FAILED EXPIRED = CURRENT ASSURANCE NOT DEMONSTRATED
Semivida del aseguramiento
La evidencia de auditoría de algunos sistemas puede conservar su valor durante mucho tiempo. En otros, la confianza pierde vigencia con rapidez. Podemos llamar a este concepto operativo:
Semivida del aseguramiento
Su definición canónica es la siguiente: la semivida del aseguramiento es una metáfora de cómo la evidencia antigua de auditoría deja de explicar suficientemente el comportamiento actual a medida que cambian el sistema y su entorno. El prefijo «semi-» no implica una pérdida medida del 50 por ciento de confianza: este libro no propone ese modelo estadístico ni una duración universal. No se trata de una ley matemática fija, sino de una herramienta de gobierno basada en el riesgo.
Factores que acortan la semivida del aseguramiento
Actualizaciones frecuentes del modelo base
Un proveedor que no fija la versión
Incorporación frecuente de herramientas
Permisos API amplios y dinámicos
Cambios en la memoria persistente
Numerosos subagentes
Datos canónicos que cambian con rapidez
Alta rotación de personal
Incidentes críticos frecuentes
Dependencia de proveedores externos
Uso biométrico o financiero
Alto grado de irreversibilidad
Evidencia de auditoría limitada
Factores que alargan la semivida del aseguramiento
Un sistema con la versión fijada
Una tarea acotada y de solo lectura
Herramientas restringidas técnicamente
Bajo impacto externo
Facilidad de reversión
Un control de cambios sólido
Pruebas canario de comportamiento periódicas
Responsabilidad humana clara
Verificación independiente del resultado
Un ámbito estable de datos y tareas
No existe un periodo de validez universal
El Protocolo NOMOS GBO no establece para todos los sistemas un único periodo, como «La auditoría es válida durante un año». Las necesidades de reevaluación pueden variar:
Un agente que resume documentos en modo de solo lectura y sin herramientas externas puede admitir intervalos más largos,
un agente financiero autónomo cuyo modelo se actualiza a diario puede necesitar intervalos más cortos,
un sistema de publicación biométrica puede requerir reevaluaciones activadas por eventos,
un sistema multiagente recién creado puede necesitar reevaluaciones frecuentes.
El periodo de validez debe basarse en:
Nivel de riesgo
Frecuencia de cambios del modelo y las herramientas
Impacto externo
Reversibilidad
Historial de incidentes
Madurez de los controles
Nivel de evidencia de auditoría
Cambios de personal y de organización
Estado de validez
Cada registro público de auditoría debe mostrar uno de los siguientes estados.
Borrador
Todavía no es un dictamen público.
Emitido
El dictamen ya se ha creado; puede que aún no haya llegado la fecha de inicio de su validez.
Activo
El alcance, la versión y los controles son válidos.
Activo — Con condiciones
Válido bajo determinadas condiciones.
Uso limitado
Solo están activos los niveles de acción bajos que se hayan definido.
Suspendido
No puede utilizarse temporalmente debido a un cambio sustancial, un incidente o un problema con la evidencia.
A la espera de nuevas pruebas
Se necesitan pruebas tras una corrección o un cambio limitado.
Vencido
Ha vencido el plazo temporal o el de actualización.
Sustituido por un nuevo registro
Se ha publicado un dictamen más actual.
Retirado
La parte que emitió el dictamen de auditoría ya no lo respalda.
Revocado
El dictamen se ha invalidado por un uso indebido sustancial, un problema de integridad o nueva evidencia de especial gravedad.
Archivado
Se conserva como registro histórico; no es una declaración de confianza actual.
¿Qué es un cambio sustancial?
Un cambio puede considerarse sustancial si afecta al menos a uno de estos aspectos:
Lo que puede hacer el agente
En nombre de quién puede actuar
Qué datos puede leer y transferir
Qué herramientas puede utilizar
Cuándo necesita aprobación humana
Los límites de la autorización
El objetivo y el grupo de usuarios
El comportamiento de detención y recuperación
El sistema de medición y recompensa
La forma de generar evidencia
La afirmación sobre el producto que se presenta al público
El perfil de riesgos o vetos GBO-99
Corregir una errata puede no ser sustancial. Añadir una herramienta de envío de correo sí lo es. Cambiar el color de un botón puede no ser sustancial. Eliminar el costo total de la pantalla de aprobación sí lo es.
Clases de cambio
La clasificación establecida en el capítulo 2 se vincula aquí a la decisión de validez.
Clase A — Cambio no sustancial
Ejemplos:
Corrección de una errata
Ajuste visual que no afecta al comportamiento
Cambio de formato de un mensaje de registro
Aclaración en la documentación
Resultado:
Se registra el cambio.
El dictamen puede seguir activo.
No es necesario repetir todas las pruebas.
Clase B — Cambio sustancial limitado
Ejemplos:
Una versión concreta de una herramienta
Texto nuevo en un idioma
Una reducción acotada de la autorización
Un cambio limitado en una cola
La modificación de una pantalla de aprobación humana
La incorporación de un subagente de bajo riesgo
Resultado:
Se repiten las pruebas de los comportamientos y las cohortes afectados.
El nuevo comportamiento afectado pasa a estar «A la espera de nuevas pruebas». El alcance existente puede conservar su validez bajo sus propias condiciones si se demuestra que el cambio no lo afecta. Un cambio aún no probado no recibe el dictamen «Verificado con condiciones» solo por pertenecer a la clase B.
Los demás comportamientos pueden seguir activos.
Clase C — Cambio sustancial fundamental
Ejemplos:
Cambio del modelo base
Nueva herramienta de acción externa
Ampliación de la autorización
Nueva memoria persistente
Nuevos datos biométricos
Nueva capacidad de pago o publicación
Nueva orquestación multiagente
Cambio de la arquitectura de detención o reversión al estado anterior
Cambio de la persona responsable o del operador jurídico
Nuevo país o grupo de usuarios de alto impacto
Cambio del sistema de medición y recompensa
Resultado:
Se suspende el dictamen de auditoría correspondiente.
Se crea un nuevo Registro de fijación del alcance.
Se vuelven a auditar las unidades de comportamiento necesarias.
El distintivo público no puede utilizarse como verificación activa.
Registro de cambios
Todo sistema auditado debe mantener el siguiente registro:
Registro de cambios sustanciales
Campos mínimos:
change_id system_id old_version new_version change_description change_class affected_behavior_units affected_tools affected_data affected_authorizations affected_languages risk_assessment required_retest audit_status_effect approved_by implemented_at verified_at
Un cambio no puede decidir por sí solo a qué clase pertenece
El equipo de desarrollo puede considerar lo que ha hecho «una actualización menor», aunque tenga un efecto importante para la auditoría. Por ejemplo: «Solo añadimos el envío con un clic para mejorar la experiencia de uso». Parece un cambio de interfaz. En realidad, cambia los riesgos relacionados con:
la aprobación,
la reversibilidad,
la acción externa,
el envío por error.
La clase del cambio debe ser evaluada por:
la persona responsable de la parte técnica,
la persona responsable del comportamiento,
la persona responsable del riesgo,
la parte auditora, cuando sea necesario.
Actualizaciones silenciosas del proveedor externo
Algunos proveedores de modelos y herramientas pueden actualizar sus sistemas sin intervención del usuario. La organización quizá no pueda:
fijar la versión exacta del modelo,
anticipar los cambios en el comportamiento de la herramienta,
saber cuándo ha cambiado la descripción de la API.
En ese caso, el dictamen de auditoría puede ser más acotado y su periodo de validez, más breve. Entre los controles necesarios podrían figurar:
Registro de versiones del proveedor
Escenarios canario de comportamiento
Alerta de cambios en el esquema de la herramienta
Repetición de pruebas sin demora
Aprobación humana para las acciones críticas
Paso automático al modo limitado cuando se produzca un cambio
Un sistema cuya versión no se pueda fijar no puede auditarse suponiendo que no ha cambiado. Sus cambios deben seguirse mediante pruebas de comportamiento.
Decisión automática de estado ante un cambio sustancial
Una regla de decisión sencilla podría ser:
SI EL CAMBIO ES DE CLASE A → REGISTRAR → EL DICTAMEN PUEDE SEGUIR ACTIVO SI EL CAMBIO ES DE CLASE B → DEJAR EL NUEVO COMPORTAMIENTO AFECTADO A LA ESPERA DE NUEVAS PRUEBAS → REPETIR LAS PRUEBAS ESPECÍFICAS SI EL CAMBIO ES DE CLASE C → SUSPENDER EL DICTAMEN CORRESPONDIENTE → FIJAR UN NUEVO ALCANCE → ACTUALIZAR EL MAPA DE RIESGOS → AUDITAR DE NUEVO
Ante un incidente crítico, puede aplicarse una suspensión de emergencia con independencia de la clase del cambio.
¿Qué es la auditoría continua?
La definición canónica es la siguiente: la auditoría continua NOMOS GBO es un proceso de aseguramiento que se mantiene activo tras la publicación del dictamen. Supervisa las versiones, herramientas, autorizaciones, datos, responsabilidades humanas, comportamiento, incidentes y controles del sistema, con intervalos y desencadenantes proporcionales al riesgo. Clasifica los cambios sustanciales, vuelve a ejecutar escenarios seleccionados y, ante una desviación crítica, limita el dictamen de forma automática o con aprobación humana. Dicho de otro modo: en vez de dar por válido hoy el informe que era correcto el año pasado, comprueba de nuevo si el sistema sigue dentro de los mismos límites de comportamiento.
La auditoría continua no es vigilancia permanente
La auditoría continua no significa:
conservar indefinidamente cada mensaje humano;
vigilar toda la conducta de los empleados;
exponer al auditor todo el contenido privado;
registrar cada pensamiento del agente.
Una auditoría continua bien planteada puede utilizar:
los registros de eventos necesarios para examinar el comportamiento;
los cambios de autorizaciones y herramientas;
el estado de funcionamiento de los controles críticos;
escenarios sintéticos seleccionados;
mediciones anónimas o agregadas.
La continuidad no otorga un derecho a recopilar datos sin límite. Las evidencias de auditoría deben:
ser necesarias;
ser proporcionales;
limitarse a la finalidad establecida;
tener un plazo de conservación definido.
Las cinco capas de la auditoría continua
1. Integridad de la configuración y las autorizaciones
2. Funcionamiento de los controles
3. Centinelas de comportamiento y pruebas canario
4. Incidentes, impugnaciones y notificaciones externas
5. Reauditoría periódica
1. Integridad de la configuración y las autorizaciones
Se vigilan los siguientes cambios en el sistema:
Nuevo agente
Nuevo subagente
Nueva herramienta
Nuevo token
Ampliación de autorizaciones
Memoria persistente
Cambio de fuente de datos
Nuevo idioma
Nuevo rol de usuario
Cambios en la detención y la reversión
Cuenta de servicio compartida
Cambios en la medición y la recompensa
Esta capa responde a una pregunta: ¿sigue siendo el mismo sistema que se auditó?
2. Funcionamiento de los controles
Un control puede figurar en el código fuente y, aun así, no funcionar en la práctica. La auditoría continua puede examinarlo mediante las siguientes preguntas:
¿Responde la pasarela de autorización?
¿Se rechaza un token caducado?
¿Llega la señal de detención a las colas?
¿Se genera el comprobante de la acción?
¿Está actualizado el precio de referencia?
¿Se vuelve a leer el resultado externo para verificarlo?
¿Se propaga la corrección de la memoria?
¿Se procesa la cola de impugnaciones?
Esta capa responde a la pregunta: ¿sigue funcionando el control?
3. Centinelas de comportamiento y pruebas canario
Se pueden ejecutar de forma regular pequeñas pruebas sintéticas que no dañen el sistema. Por ejemplo:
Un intento de envío con un token de prueba caducado
Una tarea sintética en la cola mientras la detención está activa
Un escenario con precios contradictorios
Una página web sintética que contiene una instrucción externa
Dos objetivos sintéticos con el mismo nombre
Un registro canario para detectar la salida de datos de un cliente de prueba
Una tarea positiva de bajo riesgo con aprobación humana
Estas pruebas muestran:
si las invariantes críticas de comportamiento ya conocidas
se siguen respetando en las nuevas versiones.
Las pruebas canario no deben dañar a personas reales
Los escenarios canario deben utilizar:
datos sintéticos;
una cuenta de auditoría;
una acción reversible;
un token limitado;
un dominio seguro.
No se deben enviar mensajes falsos a clientes reales con el pretexto de realizar una auditoría continua.
4. Incidentes, impugnaciones y notificaciones externas
La auditoría continua no se basa únicamente en los registros del propio sistema. También importan estas señales:
Impugnaciones de los usuarios
Notificaciones de los empleados
Quejas de los clientes
Notificaciones de precios o mensajes incorrectos
Incidentes de seguridad
Anuncios de cambios del proveedor
Notificaciones de investigadores externos
Diferencias entre la declaración pública y el comportamiento real
Una sola notificación externa crítica verificada puede cambiar el estado de la auditoría.
5. Reauditoría periódica
La supervisión continua no sustituye a una auditoría completa. A intervalos determinados se deben revisar:
el alcance;
los riesgos;
los escenarios;
las evidencias;
la recuperación;
la declaración pública.
Las pruebas canario continuas solo permiten vigilar los riesgos que ya se conocen. Los nuevos modos de fallo se descubren en una reauditoría más amplia.
La auditoría continua tiene tres momentos distintos
Al producirse un incidente
En cuanto se detecte un incidente crítico o una señal de veto.
Al producirse un cambio
Cuando cambien de forma sustancial el modelo, la herramienta, la autorización o el alcance.
En la fecha prevista
Cuando llegue la fecha de reevaluación fijada de antemano, aunque no se haya producido ningún incidente. Ninguno de estos tres momentos basta por sí solo. Si la auditoría programada llega seis meses después del cambio, la brecha puede seguir abierta durante mucho tiempo. Si solo se audita después de un incidente, los errores que no se manifiestan nunca se ponen a prueba. Si solo se auditan los cambios, puede pasar inadvertido el deterioro de los controles con el tiempo.
La frecuencia de auditoría es proporcional al riesgo
Este es un posible enfoque:
Comportamientos T1
Comprobaciones menos frecuentes de la configuración
Muestreo sencillo del comportamiento
Pruebas específicas ante cambios sustanciales
Comportamientos T2
Comprobación regular del funcionamiento de los controles
Pruebas positivas y negativas periódicas
Nuevas pruebas a raíz de un incidente
Comportamientos T3
Comprobaciones frecuentes de la integridad de las autorizaciones y las herramientas
Escenarios canario regulares
Auditoría de colas y detención
Un plazo de validez más corto para el dictamen público
Comportamientos T4 y relacionados con el veto
Supervisión continua o muy frecuente de los controles críticos
Limitación automática al producirse un incidente
Nuevas pruebas independientes de forma periódica
Simulacro de recuperación obligatorio
Nueva autorización para la nueva versión
Estos intervalos no son iguales para todos los sectores y sistemas. Lo importante es fijar de antemano una frecuencia justificada por el riesgo y no modificarla arbitrariamente después de un incidente.
Degradación de los controles
Un control puede funcionar cuando se publica por primera vez y perder eficacia con el tiempo debido a:
un cambio de configuración;
una nueva herramienta;
un nuevo token;
un cambio en un rol humano;
una actualización de un proveedor externo.
Podemos llamar a esto:
Degradación de los controles
Por ejemplo:
La primera versión exige un token de envío de un solo uso.
La nueva integración con WhatsApp no utiliza esa pasarela.
El sistema en su conjunto sigue pareciendo funcionar «con aprobación humana».
La auditoría continua debe vigilar si el control sigue aplicándose en todas las rutas de comportamiento pertinentes, no solo si existe.
Deriva del comportamiento
Al cambiar el modelo, la memoria o los datos, el agente puede comportarse de otra manera ante el mismo escenario. Por ejemplo:
Al principio consulta al responsable humano cuando encuentra precios contradictorios.
Con la nueva versión del modelo empieza a elegir el precio más bajo.
Al principio rechaza la instrucción externa.
Interpreta la descripción de una nueva herramienta como una autorización.
Podemos llamar a esto:
Deriva del comportamiento
Los centinelas de comportamiento permiten observar ese cambio.
Divergencia de la información
La información canónica puede ser correcta mientras sus copias operativas divergen con el tiempo. Por ejemplo:
El registro de precios está actualizado.
La página web está actualizada.
La plantilla del CRM está desactualizada.
El índice de conocimiento del agente está aún más desactualizado.
Esto es:
Divergencia de la información.
La auditoría continua abarca:
la fuente canónica;
la superficie destinada a personas;
la superficie destinada a máquinas;
el índice operativo.
La correspondencia entre estos elementos en los aspectos sustanciales se debe comprobar a intervalos determinados.
Deriva de las autorizaciones
Cambia el rol de la persona o del agente, pero los antiguos permisos técnicos siguen habilitados. Por ejemplo:
Un empleado pasa a otra función.
Cambia el responsable del sistema.
Termina el proyecto.
La cuenta de servicio sigue activa.
Esto es:
Deriva de las autorizaciones.
Un inventario periódico de agentes y tokens permite vigilar este riesgo.
Deterioro de las evidencias
El comportamiento del sistema puede seguir siendo el mismo, pero quizá ya no se puedan generar evidencias de auditoría. Por ejemplo:
Se acorta el plazo de conservación de los registros.
Una cuenta de servicio compartida no registra la identidad del agente.
El proveedor externo elimina los registros de resultados.
No se genera el comprobante de detención.
Puede que el sistema siga actuando correctamente, pero su auditabilidad ha disminuido. Es necesario reevaluar el perfil de evidencias.
Deriva organizativa
La organización humana puede cambiar sin que cambie el sistema técnico.
Se marcha el responsable del sistema.
No está claro quién tiene autorización para detenerlo.
Queda vacante la función de responsable de la información de referencia.
Caduca una aceptación de riesgo.
La nueva dirección desconoce las condiciones anteriores.
Esto es:
Deriva organizativa.
El dictamen de auditoría GBO no depende solo de la versión del código. La responsabilidad humana también es una condición de validez.
Indicadores de auditoría continua
En lugar de una única puntuación continua de confianza, se pueden seguir por separado los siguientes indicadores:
Número de cambios sustanciales
Número de cambios pendientes de prueba
Número de agentes y herramientas activos
Número de componentes sin responsable
Número de tokens caducados
Fallos en el funcionamiento de los controles
Infracciones en escenarios canario
Acciones externas posteriores a la detención
Diferencias respecto a la información canónica
Demora en la corrección de la memoria
Número de vetos sin resolver
Hallazgos pendientes de nuevas pruebas
Aceptaciones de riesgo caducadas
Demoras en las impugnaciones y la reparación
Diferencias entre la declaración pública y el sistema en producción
Estos indicadores ayudan a responder: «¿Sigue siendo el sistema digno de confianza hoy?» Por sí solos no constituyen un dictamen definitivo.
La propia auditoría continua también debe auditarse
Si una organización conoce de antemano todas las pruebas canario, puede optimizar el sistema solo para esos escenarios. El panel puede mostrar únicamente eventos positivos. Puede haber un muestreo abundante de tareas de bajo riesgo y escaso de tareas críticas. Por eso el propio sistema de auditoría continua está expuesto a:
Memorización de escenarios
Sesgo de muestreo
Clasificación de incidentes críticos como de poca importancia
Tratar los fallos de las pruebas canario como errores técnicos
Cambios silenciosos del sistema
Pérdida de registros y evidencias
Desplazamiento de los umbrales de medición
La respuesta es:
Escenarios nuevos
Muestreo independiente
Registro de versiones e integridad
Verificación de resultados externos
Revisión humana periódica
Puertas de veto explícitas
Niveles de alerta de la auditoría continua
Información
Un cambio no sustancial o una desviación de medición de bajo riesgo. El dictamen puede seguir activo.
Revisión necesaria
Un cambio sustancial limitado o un problema en el funcionamiento de los controles. El comportamiento afectado se somete a nuevas pruebas específicas.
Estado condicional
Las evidencias o los controles se han debilitado. El comportamiento solo continúa con aprobación humana adicional o con un nivel de acción menor.
Suspensión
Hay un cambio sustancial, un incidente grave o una incertidumbre crítica. El dictamen público correspondiente no está activo.
Cuarentena de emergencia
Hay un daño de gran impacto en curso o una infracción clara de veto. Los agentes, las herramientas y las colas afectados se aíslan de las acciones externas.
¿Cuándo es posible la suspensión automática?
En determinadas circunstancias, el sistema puede pasar a un modo seguro de capacidad reducida sin esperar una decisión humana. Algunos desencadenantes posibles son:
La conexión de una nueva herramienta externa
La desactivación de la pasarela de autorización
El fallo de una prueba canario de detención
Una llamada a herramienta que tiene éxito con un token caducado
Una diferencia respecto al precio canónico
Un registro canario que indica salida de datos al exterior
Una acción externa tras una orden humana de detención
Un cambio en la versión del modelo auditado
Las respuestas automáticas pueden incluir:
deshabilitar las acciones externas;
pasar a modo borrador o de solo lectura;
informar al responsable humano;
cambiar el estado de la auditoría a «Suspendido».
El sistema no debe detener toda la operación sin necesidad. Su respuesta debe ser proporcional en cada unidad de comportamiento.
Declaración pública ante un incidente crítico
Al detectarse un incidente crítico, la organización no debe esperar a resolver todos los detalles técnicos. Si hay un dictamen activo que afecta a la confianza pública, se debe actualizar su estado. Por ejemplo:
Estado: Suspendido El 21 de octubre de 2026 se observó comunicación externa tras una orden humana de detención a través de una integración con WhatsApp recién añadida y ajena al alcance auditado. Los comportamientos de investigación y preparación de borradores siguen activos. Se ha suspendido el dictamen sobre comunicación externa y se han iniciado la investigación del incidente y nuevas pruebas.
Esta declaración:
no revela todos los detalles del ataque,
pero tampoco oculta que el distintivo ya no refleja el estado actual.
La suspensión no es un dictamen de fallo
La suspensión puede deberse a:
Un cambio sustancial
Una nueva herramienta
Un incidente crítico
La falta de evidencias
El periodo de validez
La espera de nuevas pruebas
La suspensión no significa necesariamente que «el sistema ha fallado sin duda». Significa que el dictamen positivo existente no debe utilizarse en este momento.
Revocación y retirada
Retirada
La parte que emitió el dictamen deja de respaldarlo a causa de nuevas evidencias o de un error.
Revocación
La base de la declaración pública o del dictamen de auditoría ha perdido su validez en aspectos sustanciales. Algunos motivos posibles son:
La manipulación de evidencias
La tergiversación deliberada del alcance
La ocultación de la versión del sistema
La ocultación de una infracción clara de veto
El uso del nombre del auditor sin autorización
Un distintivo falso
El registro revocado no se debe borrar. La fecha y el motivo de la revocación deben quedar visibles en el historial.
Cambiar el estado actual sin borrar la historia
Los registros públicos de auditoría deben conservar esta relación:
DICTAMEN INICIAL → CAMBIO SUSTANCIAL → SUSPENSIÓN → CORRECCIÓN → NUEVAS PRUEBAS → NUEVO DICTAMEN
Los registros antiguos:
se archivan;
se vinculan al nuevo registro que los sustituye;
no se presentan como el dictamen vigente.
Borrarlos sin dejar constancia rompe la cadena histórica de auditorías e incidentes.
Equilibrio entre divulgación de vulnerabilidades y transparencia pública
La declaración pública no tiene que describir cada vulnerabilidad técnica con detalle. Un relato pormenorizado de la ruta de ataque puede:
facilitar el abuso;
contener datos personales o secretos comerciales;
poner en riesgo las correcciones en curso.
Pero la seguridad no debe utilizarse como motivo para ocultar:
un veto sin resolver;
una restricción de uso;
que el dictamen está suspendido;
el área de comportamiento afectada.
Se puede utilizar una divulgación en tres capas.
1. Resumen público
Sistema y versión
Alcance del comportamiento
Dictamen actual
Límites de uso explícitos
Validez
Incidente sustancial o suspensión
Canal de contacto
2. Informe para las partes interesadas autorizadas
Cliente o parte contratante
Regulador
Titular de los datos
Responsable del riesgo de la organización
Este informe ofrece a las partes autorizadas un registro más detallado de los hallazgos y la reparación.
3. Evidencias técnicas confidenciales
Registros en bruto
Método de ataque
Detalles de los tokens y del sistema
Datos personales
Configuración de seguridad
Solo pueden acceder las personas autorizadas. Transparencia no significa revelar todos los secretos, sino no ocultar los límites sustanciales de la confianza.
Notificación a las personas afectadas
La declaración pública no es lo mismo que la notificación individual. Si un incidente de datos o de una operación afecta a personas concretas, puede que no baste con una página general de estado. Se deben responder estas preguntas:
¿Quién se ha visto afectado?
¿Qué comportamiento o datos están implicados?
¿Cuándo?
¿Persiste algún riesgo?
¿Qué debe hacer la persona?
¿Cuáles son las vías de impugnación y reparación?
¿Qué ha cambiado la organización?
La necesidad de notificar individualmente se debe evaluar por separado según el contexto jurídico y contractual del incidente. La auditoría GBO no sustituye esa evaluación.
Impugnación y corrección de la declaración pública
Una organización o una persona puede detectar en el registro público de auditoría:
una versión incorrecta del sistema;
un alcance erróneo;
información incompleta sobre un incidente;
un hallazgo que ya no es válido;
datos personales.
El registro público debe contar con un procedimiento de corrección. Se deben distinguir estos casos:
Corrección de un error sustancial
La fecha, la versión, el comportamiento o la evidencia se han consignado de forma incorrecta.
Nuevas evidencias
Ha aparecido un registro que podría cambiar el dictamen anterior.
Discrepancia
Las partes valoran de forma diferente la misma evidencia.
Notificación de abuso
El distintivo o el dictamen se utiliza para otro alcance.
Notificación de un incidente crítico
El comportamiento en producción contradice la declaración pública. No toda notificación invalida automáticamente el dictamen público. Sin embargo, cada notificación:
recibe un identificador;
se revisa a tiempo;
queda registrada junto con su resultado;
provoca una suspensión temporal si es crítica.
Notificar sin represalias
Un empleado, cliente o investigador externo no debe sufrir lo siguiente por informar de diferencias entre la declaración pública y el comportamiento real:
pérdida del servicio;
creación de un perfil negativo;
amenazas;
bloqueo silencioso.
Para que el canal de notificación funcione de verdad, las personas deben poder utilizarlo con seguridad.
Registro de la declaración pública de auditoría
El principal resultado obligatorio de este capítulo completa el duodécimo documento esencial definido al inicio del libro:
NOMOS GBO: registro del dictamen de auditoría y de la declaración pública
El método para emitir el dictamen de auditoría se estableció en el capítulo 11. Su perfil v2.4 contiene resultados ausentes y hallazgos abiertos; el ejemplo positivo que sigue no se deriva directamente de ese perfil. Aquí se presenta un registro sintético separado y completo para v2.6. Presupone una autorización renovada, un nuevo registro de fijación del alcance, la conciliación de los resultados ausentes y la cobertura del alcance requerido mediante nuevas pruebas independientes. Las 72 ejecuciones del capítulo 12 no demuestran por sí solas todo el alcance de esta declaración pública. Este capítulo completa:
su representación pública;
su validez;
el estado de los cambios;
el registro de aseguramiento continuo.
Ejemplo de declaración pública de auditoría legible por personas
NOMOS GBO: DECLARACIÓN PÚBLICA DE AUDITORÍA — EJEMPLO
Identificador de la declaración
GBO-PUBLIC-STATEMENT-2026-001
Registro canónico
https://audit.example/gbo/GBO-PUBLIC-STATEMENT-2026-001
Sistema auditado
NobleAxis Sales Orchestrator v2.6
Versiones críticas vinculadas
Communication Policy v4.0
Authorization Gateway v1.0
CRM Queue v2.4
Calendar Agent v1.8
Social Agent v2.2
Periodo de auditoría
Del 1 al 18 de septiembre de 2026. Los cambios sustanciales de versión durante ese periodo se vinculan a registros de fijación del alcance separados. El dictamen de v2.6 se basa únicamente en las evidencias pertinentes obtenidas con autorización renovada para esa versión.
Tipo de auditoría
Auditoría externa independiente
Estado actual
ACTIVO — CONDICIONAL
Comportamientos con dictamen positivo — Condiciones a continuación
Investigación basada en información empresarial de acceso público
Evaluación de idoneidad
Recomendación del rol del destinatario
Preparación de borradores de correo electrónico
Envío único de un correo con aprobación humana
Detención de la cadena en las rutas de correo, calendario, seguimiento en CRM, mensajes privados en redes sociales y formularios de contacto
Condiciones obligatorias de uso
Cada comunicación externa requiere una aprobación humana de un solo uso vinculada al objetivo, al canal y al texto final.
En el momento del envío se vuelven a verificar la detención y el estado de la autorización.
El sistema solo utiliza datos empresariales de acceso público.
El enriquecimiento de datos personales está deshabilitado.
Cuando hay una detención válida, se detienen todas las herramientas y colas de comunicación externa.
No se puede utilizar un nuevo canal de comunicación externa sin auditoría y nueva autorización.
Alcance lingüístico
Idiomas probados por completo:
Turco
Inglés
Alemán
Fuera del alcance:
Árabe
Español
Ruso
Comportamientos fuera del alcance
Comunicación por WhatsApp
Campañas automatizadas de varias etapas
Compromisos de precios
Aceptación de contratos
Operaciones financieras
Enriquecimiento de datos personales
No se ha emitido un dictamen GBO positivo sobre estos ámbitos.
Nivel de evidencia
Investigación y borradores: prueba de comportamiento controlada
Envío único: verificación independiente del resultado externo
Detención y recuperación: simulacro de detención de la cadena y reinicio
Hallazgos abiertos
No hay hallazgos de veto abiertos de nivel T3 o superior. Sigue abierto un hallazgo T1 sobre la clasificación de mensajes entrantes. En este ejemplo no impide el dictamen actual sobre el envío de correo, porque se ha verificado por separado que no afecta a la recepción de notificaciones de detención, seguridad o impugnación. Sin esa verificación no se puede publicar la misma declaración positiva.
Validez
Esta declaración solo es válida mientras permanezcan sin cambios:
las versiones indicadas;
los comportamientos indicados;
las herramientas indicadas;
los idiomas indicados;
el modelo de aprobación humana indicado.
Bajo esas condiciones, tiene una validez máxima de 90 días, desde el 18 de septiembre de 2026 a las 18:00 hasta el 17 de diciembre de 2026 a las 18:00. Todas las horas se expresan en la hora local de Turquía (UTC+03:00).
Desencadenantes de suspensión antes del vencimiento
Una nueva herramienta de comunicación externa
Un cambio sustancial en la pasarela de autorización
Un cambio del modelo base
Nueva memoria persistente
Un nuevo idioma
La eliminación o ampliación del requisito de aprobación humana
Una acción externa posterior a la detención
La ampliación de los permisos de la cuenta de servicio
Un incidente crítico o un nuevo hallazgo de veto
Un cambio del responsable del sistema sin nueva autorización
Última comprobación de controles en la auditoría continua
28 de septiembre de 2026
Últimos resultados canario
Envío con token caducado: bloqueado
Envío de correo con la detención activa: bloqueado
Envío de una invitación de calendario con la detención activa: bloqueado
Reinicio sin nueva autorización: bloqueado
Envío único con aprobación válida: verificado con éxito
Impugnaciones y notificaciones
Quien observe diferencias entre la declaración pública y el comportamiento en producción puede dirigirse al canal de notificaciones de auditoría utilizando el identificador de la declaración.
Registro de integridad
La versión de la declaración pública y su resumen de integridad están publicados en el registro canónico.
Resumen público breve
La investigación basada en información empresarial de acceso público y la preparación de borradores de correo de NobleAxis Sales Orchestrator v2.6 se han verificado dentro de un alcance definido mediante escenarios en turco, inglés y alemán. La evaluación de idoneidad y la recomendación del rol del destinatario se han verificado con condiciones, con confirmación humana cuando sea necesaria. El envío único de correo se ha verificado con la condición de que cuente con aprobación humana vinculada a la tarea, al objetivo, al canal y al texto final. Las pruebas de detención en otros canales no constituyen un dictamen positivo sobre el envío por esos canales. WhatsApp, las campañas automatizadas, los compromisos de precios, la aceptación de contratos y los demás idiomas quedan fuera del alcance. Un cambio sustancial exige reevaluar el dictamen correspondiente. La declaración vence como máximo el 17 de diciembre de 2026 a las 18:00 (UTC+03:00).
Este resumen puede utilizarse en:
un distintivo;
una página de producto;
una propuesta;
una página de confianza para clientes.
Debe enlazar al registro canónico.
Declaración pública de auditoría legible por máquinas
public_audit_statement:
statement_id: GBO-PUBLIC-STATEMENT-2026-001
statement_version: 1.0.0
canonical_record:
url: https://audit.example/gbo/GBO-PUBLIC-STATEMENT-2026-001
integrity_record: published
historical_versions_available: true
status:
current: ACTIVE_CONDITIONAL
status_updated_at: 2026-09-28T12:00:00+03:00
audited_system:
organization: NobleAxis
system_name: Sales_Orchestrator
system_version: "2.6"
policy_version: "4.0"
authorization_gateway_version: "1.0"
CRM_queue_version: "2.4"
calendar_agent_version: "1.8"
social_agent_version: "2.2"
audit:
audit_id: GBO-AUDIT-SALES-2026-01
audit_period:
start: 2026-09-01
end: 2026-09-18
audit_type: EXTERNAL_INDEPENDENT
independence_level: III
behavior_judgments:
- behavior_unit: public_company_research
judgment: VERIFIED_WITHIN_DEFINED_SCOPE
- behavior_unit: suitability_assessment
judgment: VERIFIED_WITH_CONDITIONS
conditions:
- human_confirmation_for_materially_conflicting_facts
- behavior_unit: recipient_role_recommendation
judgment: VERIFIED_WITH_CONDITIONS
conditions:
- human_confirmation_when_recipient_identity_or_role_is_uncertain
- behavior_unit: email_drafting
judgment: VERIFIED_WITHIN_DEFINED_SCOPE
- behavior_unit: single_human_approved_email_send
judgment: VERIFIED_WITH_CONDITIONS
conditions:
- target_bound_authorization
- channel_bound_authorization
- final_text_approval
- single_use_token
- execution_time_authorization_check
- behavior_unit: cross_channel_stop_propagation
judgment: VERIFIED_WITHIN_DEFINED_SCOPE
tested_channels:
- email
- calendar
- CRM_follow_up
- social_direct_message
- contact_form
languages:
fully_tested:
- tr
- en
- de
partially_tested: []
out_of_scope:
- ar
- es
- ru
out_of_scope_behaviors:
- WhatsApp_contact
- autonomous_multi_step_campaign
- pricing_commitment
- contract_acceptance
- financial_transaction
- personal_data_enrichment
required_conditions:
- every_external_communication_requires_task_target_channel_and_text_bound_human_authorization
- stop_and_authorization_must_be_revalidated_at_execution
- only_public_corporate_data_may_be_used
- new_external_channels_require_reaudit_and_reauthorization
- human_stopped_tasks_must_not_restart_without_new_authorization
evidence_profile:
research_and_drafting: CONTROLLED_BEHAVIOR_TEST
single_send: INDEPENDENT_EXTERNAL_RESULT_VERIFICATION
stop_and_recovery: STOP_AND_RECOVERY_DRILL
open_findings:
critical_or_veto: 0
T3: 0
T2: 0
T1:
- finding_id: GBO-FIND-INBOUND-CLASS-004
effect_on_public_judgment: non_blocking
validity:
issued_at: 2026-09-18T18:00:00+03:00
valid_from: 2026-09-18T18:00:00+03:00
valid_until: 2026-12-17T18:00:00+03:00
invalidate_before_expiry_on:
- new_external_communication_tool
- material_authorization_gateway_change
- foundational_model_change
- new_persistent_memory
- new_language
- removal_or_expansion_of_human_approval_rules
- post_stop_external_effect
- shared_service_account_permission_expansion
- critical_incident
- new_veto_finding
- system_owner_change_without_reauthorization
continuous_assurance:
last_control_check: 2026-09-28T12:00:00+03:00
last_behavior_canary: 2026-09-28T11:30:00+03:00
latest_canary_results:
expired_token_send:
result: blocked
send_while_stop_active:
result: blocked
calendar_invite_while_stop_active:
result: blocked
restart_without_new_authority:
result: blocked
valid_single_use_send:
result: passed
disclosure:
public_summary_available: true
stakeholder_report_available_to_authorized_parties: true
confidential_evidence_restricted: true
challenge_channel:
available: true
requires_statement_id: true
supersedes: null
superseded_by: null
revoked_at: null
archived: false
Registro de aseguramiento continuo
La segunda estructura vinculada a la declaración pública de auditoría es:
el Registro de aseguramiento continuo NOMOS GBO.
No es un nuevo resultado principal independiente, sino la parte que se mantiene actualizada del registro del dictamen de auditoría y de la declaración pública.
Ejemplo legible por personas
ESTADO DEL ASEGURAMIENTO CONTINUO
Declaración pública: GBO-PUBLIC-STATEMENT-2026-001
Versión actual del sistema: Sales Orchestrator v2.6
Última evaluación de cambios sustanciales: 28 de septiembre de 2026
Cambios de clase A:
Dos correcciones gramaticales
Ajuste de una etiqueta del panel
Cambios de clase B:
Se amplió el campo de registro de la cola del CRM.
Se superaron las nuevas pruebas específicas.
Cambios de clase C: Ninguno
Última comprobación de integridad de las autorizaciones:
Agentes activos: 7/7 registrados
Tokens caducados: 0
Cuentas de servicio sin responsable: 0
Herramientas que eluden la pasarela de autorización específica de la tarea: 0
Últimos centinelas de comportamiento:
Envío de correo sin aprobación: bloqueado
Envío de una invitación de calendario sin aprobación: bloqueado
Seguimiento en CRM después de la detención: bloqueado
Token antiguo: rechazado
Envío con aprobación válida: realizado con éxito
Incidentes abiertos: Ninguno
Hallazgos T3/T4 abiertos: Ninguno
Estado de la declaración pública: Activo — Condicional
Próxima reevaluación programada: 18 de octubre de 2026
Fin del periodo completo de validez: 17 de diciembre de 2026, 18:00 (UTC+03:00)
Registro de aseguramiento continuo legible por máquinas
continuous_assurance_record:
record_id: GBO-CONTINUOUS-2026-001
public_statement_id: GBO-PUBLIC-STATEMENT-2026-001
audit_id: GBO-AUDIT-SALES-2026-01
current_system:
version: SALES-ORCH-2.6
policy_version: COMM-POLICY-4.0
authorization_gateway: AUTH-GATEWAY-1.0
current_status:
statement_status: ACTIVE_CONDITIONAL
behavior_restrictions:
- no_WhatsApp_contact
- no_autonomous_campaign
- no_pricing_commitment
- no_contract_acceptance
change_ledger_summary:
last_reviewed_at: 2026-09-28T12:00:00+03:00
class_A_changes: 3
class_B_changes: 1
class_C_changes: 0
inventory_integrity:
registered_agents: 7
detected_agents: 7
unowned_components: 0
expired_tokens: 0
authorization_bypass_tools: 0
control_health:
authorization_gateway: healthy
stop_propagation: healthy
queue_revalidation: healthy
action_receipts: healthy
human_handover: healthy
sentinel_tests:
last_run: 2026-09-28T11:30:00+03:00
results:
unauthorized_email_send: blocked
unauthorized_calendar_invite: blocked
post_stop_CRM_follow_up: blocked
expired_token_execution: blocked
authorized_positive_send: passed
incidents:
open_critical: 0
open_noncritical: 0
since_last_audit: 0
findings:
open_veto: 0
open_T4: 0
open_T3: 0
open_T2: 0
open_T1: 1
next_actions:
next_sentinel_run: 2026-10-05
next_targeted_review: 2026-10-18
full_validity_end: 2026-12-17T18:00:00+03:00
automatic_status_rules:
suspend_on:
- foundational_model_change
- new_external_action_tool
- authorization_gateway_failure
- post_stop_external_effect
- new_veto_finding
- evidence_integrity_failure
status_history:
- status: ACTIVE_CONDITIONAL
effective_from: 2026-09-18T18:00:00+03:00
El ciclo de auditoría continua
El proceso de auditoría continua puede seguir esta secuencia:
SISTEMA EN FUNCIONAMIENTO ↓ SEÑALES DE CAMBIOS E INCIDENTES ↓ CLASIFICACIÓN DEL RIESGO ↓ ESTADO DE LOS CONTROLES Y PRUEBA CANARIO ↓ DECISIÓN SOBRE EL ESTADO ↓ SUSPENSIÓN SI PROCEDE ↓ REPETICIÓN DE PRUEBAS ESPECÍFICAS O COMPLETAS ↓ DICTAMEN ACTUALIZADO ↓ DECLARACIÓN PÚBLICA ACTUALIZADA
Este ciclo mantiene el registro público vinculado al sistema en funcionamiento.
Secuencia del registro público tras un incidente crítico
Por ejemplo:
18 DE SEPTIEMBRE ACTIVE_CONDITIONAL 21 DE OCTUBRE Se detecta un incumplimiento de la orden de detención en WhatsApp 21 DE OCTUBRE Comportamiento de comunicación externa: SUSPENDED 22 DE OCTUBRE El sistema queda limitado a investigar y preparar borradores 25 DE OCTUBRE Se publica el registro de la causa raíz y la corrección 29 DE OCTUBRE Se supera la repetición de la prueba directa 31 DE OCTUBRE Se superan las pruebas nuevas de WhatsApp, subagentes, colas y reinicios 2 DE NOVIEMBRE Se emite un nuevo dictamen 2 DE NOVIEMBRE ACTIVE_CONDITIONAL — nuevo alcance que incluye WhatsApp
Los registros anteriores no se eliminan. El público puede ver cómo cambió el dictamen.
La puerta de la declaración pública de auditoría
Antes de publicar un distintivo o una declaración de auditoría, deben superarse estas puertas:
1. Puerta del objeto
¿A qué sistema, producto, agente o comportamiento se refiere la declaración?
2. Puerta de la versión
¿Es visible la versión técnica auditada?
3. Puerta del comportamiento
¿Queda claro qué comportamientos se verificaron?
4. Puerta de las exclusiones
¿Son visibles las áreas no probadas o consideradas no aptas?
5. Puerta de las condiciones
¿La aprobación humana, los límites, los canales y las restricciones sobre los datos se muestran como parte del dictamen?
6. Puerta de los idiomas y usuarios
¿Se describen correctamente los idiomas y grupos de personas incluidos en las pruebas?
7. Puerta del dictamen
¿El distintivo significa lo mismo que el dictamen real de auditoría?
8. Puerta de evidencia
¿Se presenta una revisión documental como si verificara el comportamiento del sistema en funcionamiento?
9. Puerta de veto
¿Se oculta algún hallazgo crítico abierto o una suspensión?
10. Puerta temporal
¿Están claras las fechas de emisión, última comprobación y vencimiento?
11. Puerta de los cambios sustanciales
¿Está definido qué cambios suspenden el dictamen?
12. Puerta de la independencia
¿Se explica con veracidad quién realizó la auditoría y con qué grado de independencia?
13. Puerta del registro canónico
¿La declaración breve enlaza a un registro actualizado y con control de versiones?
14. Puerta del estado
¿Es correcto el estado indicado: activo, condicional, suspendido, vencido o revocado?
15. Puerta de notificación
¿Se pueden comunicar las diferencias entre la declaración pública y el sistema real?
16. Puerta de seguridad y privacidad
¿Se protegen los datos personales y los detalles de seguridad sin renunciar a la transparencia? En términos sencillos:
DECLARACIÓN PÚBLICA DE AUDITORÍA DIGNA DE CONFIANZA = OBJETO Y VERSIÓN DEFINIDOS Y ALCANCE CLARO DEL COMPORTAMIENTO Y CONDICIONES VISIBLES Y EXCLUSIONES EXPLÍCITAS Y DICTAMEN CORRECTO Y NIVEL DE EVIDENCIA Y ESTADO DE LOS HALLAZGOS CRÍTICOS Y VIGENCIA Y REGLA SOBRE CAMBIOS SUSTANCIALES Y REGISTRO CANÓNICO ACTUALIZADO Y VÍA DE CORRECCIÓN Y NOTIFICACIÓN
La puerta de vigencia y auditoría continua
Para que un dictamen activo siga en vigor, estas puertas deben comprobarse periódicamente:
1. Puerta de identidad del sistema
¿El sistema en funcionamiento sigue correspondiendo a la versión auditada?
2. Puerta del inventario de agentes
¿Hay agentes nuevos o sin responsable?
3. Puerta de herramientas y autorizaciones
¿Hay nuevas herramientas, tokens o ampliaciones de autorización?
4. Puerta de datos y memoria
¿Se ha añadido una nueva clase de datos o memoria persistente?
5. Puerta de responsabilidad humana
¿Los responsables del sistema, la información de referencia, los controles y los riesgos siguen ejerciendo sus funciones?
6. Puerta de la información canónica
¿Las representaciones para personas y máquinas siguen mostrando el mismo contrato en sus aspectos sustanciales?
7. Puerta del estado de los controles
¿Funcionan realmente los controles de autorización, detención, comprobantes y reversión?
8. Puerta de vigilancia del comportamiento
¿Siguen superándose los escenarios críticos positivos y negativos?
9. Puerta de incidentes
¿Hay un nuevo incidente crítico, un incidente que casi ocurrió o una señal de veto?
10. Puerta de impugnación y reparación
¿Se tramitan las solicitudes de las personas afectadas?
11. Puerta de actualidad de la evidencia
¿Se siguen generando los registros que sustentan el dictamen y siguen siendo verificables?
12. Puerta de duración
¿Ha terminado el periodo de vigencia previsto?
13. Puerta de coherencia pública
¿El distintivo y la declaración pública siguen coincidiendo con el alcance real del sistema en funcionamiento?
14. Puerta de nueva auditoría
¿Un cambio sustancial o el vencimiento exige una nueva auditoría?
Cómo intervenir ante el uso indebido de una declaración pública
Una organización o un tercero puede utilizar indebidamente:
un distintivo vencido,
un registro de auditoría de otro sistema,
un resultado de alcance limitado,
el nombre del auditor.
La parte emisora de la auditoría puede adoptar las siguientes medidas:
Documentar con evidencia el uso indebido.
Enviar una solicitud de corrección.
Marcar el registro canónico con su estado actual.
Suspender el derecho a utilizar el distintivo si es necesario.
Si continúa la declaración falsa, retirar el dictamen o el derecho de uso concedido bajo licencia.
Conservar el registro histórico.
Publicar una corrección pública limitada que explique la inexactitud sustancial.
La corrección pública debe ser proporcionada. No debe revelar innecesariamente secretos personales o comerciales.
¿En nombre de quién se publica la declaración de auditoría?
Puede haber al menos tres funciones distintas, desempeñadas por personas u organizaciones.
Responsable del dictamen de auditoría
La persona u organización que emite la evaluación de auditoría basada en evidencia.
Responsable de la declaración del sistema
La organización responsable de operar el sistema real conforme a las condiciones del dictamen.
Responsable del registro público
La parte que mantiene actualizada, accesible y versionada la página canónica de la declaración. Estas funciones pueden corresponder a una misma organización, pero las responsabilidades deben ser explícitas.
El principio de declaración oficial de NOMOS
Cualquier dictamen de auditoría o GBO publicado bajo el nombre NOMOS solo debe considerarse una declaración oficial si cumple estas condiciones:
Figura en el dominio canónico de publicación.
Lleva un identificador único de declaración.
Indica su versión.
Muestra su fecha de publicación.
Cuenta con la aprobación de la persona responsable.
Incluye un registro de integridad digital.
Muestra su estado actual como activo, suspendido, vencido o revocado.
Está vinculado a las versiones anteriores.
Los siguientes materiales, producidos fuera del dominio canónico, no constituyen por sí solos un dictamen oficial de auditoría NOMOS:
una captura de pantalla,
un texto en redes sociales,
una respuesta en un chat,
una presentación,
una versión reescrita.
Esta distinción permite identificar e impugnar una afirmación de conformidad sin respaldo que utilice el lenguaje de NOMOS. No impide técnicamente que se formule esa afirmación: también hacen falta acceso al registro actual e intervención cuando sea necesario.
La declaración de auditoría no debe convertirse en un documento inerte
Se puede publicar un PDF, pero este:
no muestra el estado actual,
no registra los cambios del modelo,
no refleja un registro de suspensión,
no impide que terceros utilicen una versión anterior.
Por eso, el documento estático debe incluir enlaces que permitan consultar:
el registro canónico que se mantiene actualizado,
el historial de estados,
la versión legible por máquina.
Un PDF puede ser un informe histórico. No es un registro del estado actual.
Los mismos hechos públicos para personas y máquinas
La declaración pública puede presentarse como:
una página para personas,
un registro legible por máquina,
el texto de un distintivo,
datos estructurados,
un informe descargable.
Estas versiones deben coincidir en lo sustancial. Si la página para personas dice «Verificado con condiciones», el registro para máquinas no puede mostrar:
compliance_status: fully_verifiedEso crearía una nueva brecha de representación entre personas y máquinas.
Reglas del estado legible por máquina
Los agentes pueden utilizar registros públicos de auditoría para seleccionar sistemas. Por ello, el registro para máquinas debe distinguir, como mínimo, estos estados:
ACTIVE ACTIVE_CONDITIONAL RESTRICTED_USE RETEST_REQUIRED SUSPENDED EXPIRED SUPERSEDED REVOKED
Un único campo como:
verified: trueno basta: se pierden la vigencia, las condiciones y el alcance del comportamiento.
¿Cómo deben interpretar los agentes un distintivo?
Un agente de compras o aprovisionamiento no debe tomar este atajo:
Existe un distintivo GBO → el proveedor es seguro → seleccionar al proveedor
El comportamiento correcto consiste en:
Abrir el registro canónico.
Verificar el sistema y la versión.
Comprobar si el comportamiento auditado es adecuado para la propia tarea del agente.
Consultar el estado actual.
Evaluar las exclusiones y las condiciones.
Comprobar si existe un veto abierto o un registro vencido.
No utilizar el distintivo como única fuente para decidir la idoneidad.
Puede haberse verificado el comportamiento de un agente web al preparar borradores. Eso no demuestra que sea fiable para realizar operaciones financieras.
La declaración pública de auditoría no garantiza la idoneidad
Un sistema puede estar verificado para un comportamiento concreto y aun así no ser adecuado para la necesidad real del usuario. Por ejemplo:
Un agente puede enviar correos electrónicos de forma segura.
Pero ese puede ser un método de venta inadecuado para el público al que se dirige el usuario.
Un agente de compras puede ser seguro en operaciones de menos de 100 dólares.
El producto que necesita el usuario cuesta 500 dólares.
La auditoría evalúa la integridad del comportamiento. No garantiza automáticamente la idoneidad comercial o funcional para cada cliente.
La auditoría continua y la fatiga humana
Si cada cambio menor requiere aprobación humana, el sistema puede volverse inmanejable. Por eso deben combinarse:
la clasificación de cambios,
las comprobaciones automáticas del estado de los controles,
las pruebas canario sintéticas,
la transferencia del control a personas en función del riesgo.
La intervención humana inmediata debe activarse cuando sea necesaria, especialmente ante:
un cambio sustancial,
una desviación crítica,
un riesgo incierto,
una nueva autorización.
Las revisiones humanas programadas y la evaluación de impugnaciones no dependen de esos sucesos: se mantienen por separado. La auditoría continua no equivale a una intervención humana constante.
La auditoría continua y la manipulación de métricas
Una organización puede ajustar su sistema únicamente para superar las pruebas canario que se miden. Para reducir ese riesgo:
Se mantienen versiones de las familias de escenarios.
Algunas variantes no se revelan de antemano.
La regla sigue siendo transparente.
Se utilizan escenarios nuevos.
Se comparan los incidentes del sistema en funcionamiento con los resultados de las pruebas.
El muestreo de auditoría se realiza de forma independiente.
Se mantienen visibles las cohortes más débiles.
Un sistema puede haber aprendido solo a aprobar el examen, no a cumplir la regla de comportamiento.
Cuándo falla la auditoría continua
La auditoría continua puede quedar reducida a una puesta en escena:
1. Teatro del panel de indicadores
Hay muchos indicadores verdes, pero no se prueba el comportamiento externo.
2. Memorización de las pruebas canario
El sistema solo se comporta correctamente con cuentas sintéticas conocidas.
3. Ocultación de cambios
No se incorpora al registro una nueva herramienta o un cambio de modelo.
4. Restar importancia a los incidentes
Una infracción crítica se clasifica como «anomalía aislada».
5. Prórroga de un dictamen vencido
Se modifica la fecha de vencimiento sin repetir las pruebas.
6. Ignorar la pérdida de evidencia
Falla el registro de eventos, pero el sistema sigue figurando como activo y verificado.
7. Distintivo activo pese a un hallazgo abierto
La declaración pública no cambia mientras continúa la corrección.
8. Ausencia de responsable humano
Parece que la auditoría continúa aunque se hayan marchado los responsables de controles y riesgos.
9. Vigilancia exclusiva de los sistemas internos
Las plataformas externas, las copias de datos y las colas quedan fuera de la vista.
10. Deterioro oculto de una cohorte
El descenso en un idioma o grupo de usuarios concreto se diluye en la media general.
La puerta de auditoría continua
Un sistema de auditoría en funcionamiento debe mantener estas puertas:
1. Visibilidad de los cambios
¿Se pasan por alto cambios que afectan sustancialmente al sistema?
2. Clasificación del riesgo
¿Se evalúa correctamente el efecto del cambio sobre el comportamiento?
3. Restricción automática
¿El sistema pasa a un modo seguro con funciones reducidas cuando se pierde un control crítico?
4. Diversidad de las pruebas de vigilancia del comportamiento
¿Se prueba una familia de comportamientos o solo unas pocas frases conocidas?
5. Resultado externo
¿Se verifican la herramienta real y el resultado externo, y no solo el panel de control?
6. Actualidad de la evidencia
¿Se genera nueva evidencia que respalde el dictamen vigente?
7. Responsabilidad humana
¿Las alertas y los hallazgos tienen una persona responsable real?
8. Impugnaciones y señales externas
¿Se pueden incorporar a la medición las notificaciones de usuarios y empleados?
9. Estado público
¿La suspensión y el vencimiento se reflejan públicamente en el mismo momento en que se producen?
10. Ampliación periódica
¿Las pruebas canario continuas se complementan con una nueva auditoría de mayor alcance?
11. Minimización de datos
¿La auditoría continua evita recoger datos innecesarios sobre personas?
12. Auditoría de la auditoría
¿Se revisa de forma independiente el propio sistema de medición y muestreo?
El último resultado obligatorio del protocolo
Este capítulo completa la estructura de los doce resultados principales definidos al comienzo. Todos se vinculan a la Ficha de la afirmación que se audita, su registro común de entrada. El perfil de medición, la declaración pública y el registro de aseguramiento continuo forman parte del último resultado principal. Definir estos documentos en el libro no significa que se haya completado ninguna auditoría real.
1. Documento de autorización de la auditoría
Muestra qué puede hacer el auditor y dentro de qué límites.
2. Registro de fijación del alcance
Fija el sistema, la versión y el entorno auditados.
3. Mapa de comportamiento de personas, agentes y herramientas
Hace visibles todas las rutas de comportamiento, desde la intención humana hasta el resultado externo.
4. Registro de información de referencia
Establece quién responde de los datos sobre identidad, precio, alcance, consentimiento, autorización y resultados, y determina su vigencia.
5. Registro de evidencias
Muestra la procedencia, el momento, la integridad y los límites de cada observación y dictamen.
6. Matriz de cobertura y riesgos GBO-99
Relaciona los noventa y nueve modos de fallo con las unidades reales de comportamiento.
7. Registro de escenarios
Fija la referencia de comportamiento y los límites del comportamiento esperado antes de las pruebas.
8. Diario de ejecución de pruebas
Registra lo que hizo realmente el sistema en cada escenario.
9. Registro del simulacro de detención y recuperación
Muestra si la solicitud humana de detención llegó a todos los agentes, herramientas, colas y sistemas externos.
10. Registro de hallazgos
Registra la diferencia demostrada entre el comportamiento esperado y el observado, junto con su riesgo, responsable y criterio de cierre.
11. Registro de corrección y repetición de pruebas
Demuestra no solo que se realizó la corrección, sino que esta cambió realmente el comportamiento.
12. Registro del dictamen de auditoría y la declaración pública
Muestra al público con precisión para qué comportamientos, en qué versión y bajo qué condiciones puede utilizarse el sistema. También muestra el estado actual del dictamen, su periodo de vigencia y los registros de aseguramiento continuo.
La cadena conjunta del protocolo de los trece capítulos
El Protocolo de auditoría NOMOS GBO ha establecido ya esta cadena completa:
AFIRMACIÓN QUE SE AUDITA ↓ AUTORIZACIÓN E INDEPENDENCIA ↓ FIJACIÓN DEL ALCANCE ↓ MAPA DE COMPORTAMIENTO ↓ INFORMACIÓN DE REFERENCIA ↓ CADENA DE EVIDENCIA ↓ MAPA DE RIESGOS GBO-99 ↓ REFERENCIA DEL ESCENARIO ↓ PRUEBAS POSITIVAS, NEGATIVAS, DE INCERTIDUMBRE Y CONTRAFÁCTICAS ↓ PRUEBAS DE MÚLTIPLES AGENTES Y CADENAS DE HERRAMIENTAS ↓ PRUEBAS DE MANIPULACIÓN E INSTRUCCIONES EXTERNAS ↓ SIMULACRO DE DETENCIÓN, REVERSIÓN, IMPUGNACIÓN Y REPARACIÓN ↓ PERFIL DE MEDICIÓN ↓ DICTAMEN DE AUDITORÍA ↓ HALLAZGO Y CAUSA RAÍZ ↓ CORRECCIÓN Y REPETICIÓN DE PRUEBAS ↓ DECLARACIÓN PÚBLICA ↓ VIGENCIA Y AUDITORÍA CONTINUA
Eliminar cualquier eslabón puede debilitar la auditoría. Sin autorización, el trabajo carece de una base legítima. Sin un mapa, el sistema real de comportamiento queda invisible. Sin información de referencia, no se conoce la respuesta correcta. Sin una referencia del escenario, la condición para superar la prueba puede cambiar después. Sin evidencia, no se puede reconstruir el dictamen. Sin veto, una infracción crítica puede desaparecer en una media. Sin un simulacro de detención, el control humano es solo una afirmación. Sin nuevas pruebas, una corrección es solo un cambio. Si la declaración pública no tiene límites, una auditoría correcta puede convertirse en marketing engañoso. Sin auditoría continua, el dictamen correcto de ayer puede convertirse en el distintivo engañoso de hoy.
El dictamen del capítulo
Publicar un informe de auditoría no congela el sistema en el tiempo. Cambian el modelo, las herramientas, las personas, las autorizaciones, los datos y el mundo exterior. El primer dictamen de este capítulo es el siguiente: la declaración pública no puede ser más contundente que el dictamen de auditoría, y este no puede exceder lo que permite la evidencia. Segundo: «auditado», «verificado dentro de un alcance definido» y «certificado» no son lo mismo. Tercero: el distintivo no es evidencia. Es una señal que conduce a un registro de auditoría canónico, actualizado y versionado. Cuarto: si no son visibles el alcance, las condiciones, la versión, el idioma y los vetos abiertos, una breve expresión de confianza se presta a malentendidos. Quinto: la vigencia no es solo una fecha de vencimiento. Un cambio sustancial del sistema debe suspender el dictamen sin esperar a esa fecha.
Sexto: una auditoría vencida no declara que el sistema haya fallado; indica que la evidencia para sustentar el aseguramiento actual ya no es suficiente. Séptimo: los modelos y las herramientas cuyas versiones no pueden fijarse requieren verificaciones de comportamiento más frecuentes y periodos de aseguramiento más cortos. Octavo: la auditoría continua no es vigilancia humana ininterrumpida ni recogida ilimitada de datos. Es el seguimiento demostrable de invariantes críticos del comportamiento, proporcionado al riesgo. Noveno: no basta con que un control exista en el código fuente. Debe demostrarse que sigue funcionando en todos los agentes, canales, colas y sistemas externos pertinentes. Décimo: un cambio sustancial, un incidente crítico, la pérdida de evidencia o un vacío de responsabilidad humana pueden cambiar el dictamen público.
Undécimo: un distintivo suspendido, vencido, sustituido o revocado no puede presentarse como una verificación activa. Duodécimo: los registros anteriores no deben borrarse, sino conservarse como registros históricos claramente separados del dictamen actual. Decimotercero: transparencia no significa revelar todos los detalles técnicos de un ataque, sino no ocultar límites sustanciales que cambiarían la decisión de confianza del usuario. Decimocuarto: debe existir un canal efectivo de impugnación y corrección para comunicar diferencias entre la declaración pública y el comportamiento del sistema en funcionamiento. Decimoquinto: el registro de auditoría GBO de un sistema debe presentar a personas y máquinas los mismos hechos sustanciales sobre alcance y vigencia.
Y el último dictamen: una auditoría fiable no consiste en haber publicado un informe correcto en el pasado, sino en hacer que el dictamen cambie correctamente a medida que cambia el sistema. Así se completan los trece capítulos principales del Protocolo de auditoría NOMOS GBO. Ya contamos con un sistema de auditoría coherente:
autorizado,
con sus rutas trazadas,
vinculado a la información de referencia,
priorizado según el riesgo,
probado mediante escenarios de comportamiento,
dotado de puertas de veto críticas,
sometido a simulacros de detención y recuperación,
con hallazgos vinculados a sus causas raíz,
con correcciones verificadas mediante nuevas pruebas,
explicado al público dentro de límites claros y de forma actualizada.
Pero completar un protocolo no elimina una última pregunta:
¿Todos estos documentos, pruebas, comprobantes y dictámenes generan realmente confianza?
Una organización puede rellenar todos los formularios, preparar todas las tablas, ejecutar cientos de pruebas y publicar una página atractiva de registro público. Aun así, puede no haber asumido la responsabilidad por el comportamiento. Puede realizar la auditoría solo para conseguir un distintivo y considerar la orden humana de detención un trámite burocrático, no una exigencia técnica. Cuando aparece un hallazgo, puede intentar proteger su reputación en vez de la verdad. Si un estándar solo multiplica documentos, produce otro teatro de conformidad. Por eso, el texto final del libro también auditará los límites del propio protocolo:
EPÍLOGO
La confianza no es un distintivo
La finalidad última de este libro no es dar a las organizaciones otra marca. Es establecer un marco en el que, antes de permitir que un agente actúe en el mundo, pueda demostrarse por qué ese comportamiento es correcto, quién lo detendrá si se equivoca y quién asumirá la responsabilidad si se produce un daño.