"Listo para auditoría" se usa con tanta ligereza que corre el riesgo de volverse decorativo. Así que aquí va una definición lo bastante estrecha como para ser falsable: un sistema está listo para auditoría si una persona externa competente puede verificar cómo funciona, quién accede a qué y qué cambió y cuándo, sin preguntar a nadie que lo construyera.

Esa última cláusula es toda la prueba. Si la respuesta a cualquier pregunta importante vive solo en la cabeza de alguien, no estás listo para auditoría: estás en dependencia.

Las ocho propiedades que se revisan

1. Puesta en marcha reproducible. Un ingeniero nuevo clona el repositorio y lo tiene funcionando en local en menos de una hora, solo con la documentación.
2. Cobertura de pruebas con sentido. No un porcentaje: cobertura concreta sobre movimientos de dinero, permisos y datos personales.
3. Control de acceso en la capa de datos. Autorización aplicada donde se leen los datos, no comprobada pantalla por pantalla en la interfaz.
4. Rastro de auditoría. Quién cambió qué y cuándo, para cualquier registro por el que pueda preguntar un regulador, un cliente o un juez.
5. Procedencia de dependencias. Inventario completo del código de terceros con sus licencias y un proceso documentado de actualización.
6. Recuperabilidad. Copias de seguridad restauradas al menos una vez, con un objetivo de tiempo de recuperación escrito que alguien haya medido.
7. Decisiones de arquitectura escritas. No diagramas de lo que existe: registros de qué se eligió, qué se descartó y por qué.
8. Sin puntos únicos de fallo humano. Nada en producción exige que una persona concreta esté localizable.

Por qué esto es comercial y no técnico

Cada una de esas ocho propiedades se convierte en dinero en un momento que tú no controlas:

• Un comprador corporativo envía un cuestionario de seguridad. Estar listo significa devolverlo en dos días en vez de dos semanas, y cerrar dentro del trimestre.
• Un inversor encarga una due diligence técnica. Estar listo significa que el informe diga "sin hallazgos materiales" en lugar de una lista que se convierte en un ajuste de valoración.
• Un ingeniero clave se va. Estar listo significa un traspaso en lugar de un proyecto de arqueología.
• Ocurre un incidente. Estar listo significa poder decir exactamente qué registros se vieron afectados, que suele ser la diferencia entre una notificación y una crisis.

Nada de esto se puede preparar bajo demanda. Cuando llega el cuestionario, el estado de tu sistema ya está decidido.

La autoevaluación

Hazla hoy. Lleva una tarde y no requiere más habilidad técnica que preguntar:

• Pide a un ingeniero que monte el proyecto en una máquina limpia usando solo la documentación, y cronométralo.
• Elige un registro de cliente y pregunta quién lo modificó por última vez, cuándo y desde dónde. Cronometra la respuesta.
• Pregunta cuándo se restauró por última vez una copia de seguridad; no cuándo se hizo, cuándo se restauró.
• Pregunta qué bibliotecas de terceros hay en el producto y bajo qué licencias. Si lleva más de cinco minutos, no está documentado.
• Pregunta qué se rompería si tu ingeniero más veterano estuviera ilocalizable dos semanas.

Las brechas que esto revela suelen ser pequeñas por separado y serias en conjunto. La mayoría de equipos las cierra en cuatro a seis semanas, pero solo mientras nadie esté esperando la respuesta.

Listo para auditoría no es un certificado que se obtiene. Es la capacidad de demostrar cosas sobre tu propio sistema en el calendario de otro.

Construimos todos nuestros sistemas con este estándar por defecto, porque incorporarlo después cuesta aproximadamente el triple que hacerlo sobre la marcha. Si quieres una lectura externa de tu situación actual, una auditoría breve te dará las ocho respuestas por escrito.