¿Cuál es la diferencia entre evidencia de cumplimiento y una certificación de cumplimiento?

Una certificación o atestación la emite una parte independiente de la organización y calificada para evaluarla. El evaluador define un alcance, prueba los controles contra una norma durante un periodo y emite un informe o un certificado. Solo ese evaluador puede decir que la organización cumple la norma, y solo para ese alcance y ese periodo.

Un proveedor de herramientas no está en esa posición. Un producto de monitoreo puede producir registros excelentes, pero no puede certificar a sus clientes, y un proveedor que afirma volver conformes a sus clientes está exagerando lo que vende.

La evidencia es útil para un auditor cuando es completa, fechada, atribuible y a prueba de alteraciones. Completa significa que las fallas se registran con la misma claridad que los éxitos. Fechada significa que cada registro lleva una marca de tiempo confiable. Atribuible significa que queda claro qué sistema la produjo. A prueba de alteraciones significa que cualquier cambio posterior se puede detectar.

Una firma digital sobre una forma canónica de cada registro es una forma práctica de cumplir el último requisito. Cualquiera que tenga la clave pública puede comprobar que el registro es exactamente lo que firmó el sistema, sin depender del panel del proveedor.

La evidencia también tiene que existir cuando se necesita. Un evaluador suele revisar un periodo, no un solo día, así que los registros deben conservarse al menos durante ese periodo y poder recuperarse sin huecos. En Compliance Evidence Pro, la retención del paquete de evidencia se define por contrato y no por un valor fijo.

Un resumen asistido por IA puede ahorrar tiempo a quienes revisan al agrupar incidentes, describir tendencias y sugerir acciones. Se vuelve un riesgo cuando produce cifras o presenta conclusiones como hechos. La regla segura es que cada cifra salga de datos deterministas y que cada afirmación se etiquete como hecho o como inferencia.

Compliance Evidence Pro es un complemento de Monitor OTP/SMS y no puede usarse solo. Empaqueta las corridas del producto base en un manifiesto de evidencia firmado (Ed25519 sobre JSON canónico, con un ID de clave), hashes verificables, un reporte mensual, un resumen de incidentes, tendencias y excepciones. El reporte lleva su firma y su ID de clave y puede comprobarse con el verificador público.

Un resumen ejecutivo asistido por IA clasifica incidentes y sugiere recomendaciones, marcando cada afirmación como HECHO o INFERENCIA. La IA nunca inventa métricas: cada cifra sale de los datos deterministas del producto base, y un resumen sin esa distinción no se publica.

Compliance Evidence Pro no reemplaza la asesoría legal ni una evaluación independiente, y Witnio no afirma volver a ningún cliente conforme con ninguna norma. Produce evidencia que puede apoyar los controles propios y el trabajo del auditor.