Agente de Certificación de Controles
Encuentra los controles que existen sobre el papel y en ningún otro sitio
- 8reglas estrictas
- Cosas que nunca debe hacer, aplicadas en cada ejecución
- 5reglas de traspaso
- Condiciones en las que se detiene y entrega el trabajo a una persona
- 11campos de salida
- Un resultado estructurado, no un párrafo que tengas que releer
- ≤7pasos por ejecución
- Trabajo acotado: como máximo 5 llamadas a herramientas, impuesto por el entorno de ejecución
Solo lectura por diseño. Este agente no tiene ninguna vía para enviar, gastar, publicar ni confirmar nada. Cuando ese límite es el producto, quitarlo eliminaría la razón para confiar en el resultado.
Resumen
Los programas de cumplimiento acumulan controles. Cada uno se creó por un motivo real, se escribió en una política, se le asignó un responsable y una frecuencia, y ahí se quedó. Nadie retira ninguno, porque retirar un control obliga a explicar por qué es innecesario, algo más difícil que dejarlo estar. El registro crece cada año y la capacidad para ejecutarlos no.
Lo que viene después es previsible. Controles cuyo responsable ya no está en la empresa. Controles ejecutados pero nunca evidenciados, lo cual es indistinguible de no haberlos ejecutado cuando un auditor pregunta. Controles trimestrales ejecutados dos veces al año. Controles que exigen un revisor independiente donde el revisor es quien hizo el trabajo: el fallo de segregación que convierte un control en papeleo. Y certificaciones firmadas en bloque el día del plazo, que son una firma y no una comprobación.
La versión peligrosa es el control documentado que nadie ejecuta, porque la organización cree que un riesgo está cubierto cuando no lo está. Un hueco no documentado al menos se conoce.
Este agente lee el registro frente a lo que se hizo realmente e informa de qué riesgos están cubiertos solo sobre el papel. Nunca afirma que un control fuera eficaz: ese juicio exige evidencia y una responsabilidad que corresponde a una persona que firma con su nombre.
Beneficios
Sabes qué riesgos están cubiertos de verdad
En lugar de cuáles tienen una política que habla de ellos.
Los hallazgos antes que el auditor
Y un registro que puedes defender.
Argumentos para retirar controles
Los que nadie ejecuta y nadie echa de menos.
Qué hace
Encuentra los controles que solo existen sobre el papel
Los peligrosos. La organización cree que un riesgo está cubierto cuando no lo está, y un hueco no documentado al menos se conoce.
Separa ejecutado de evidenciado
Un control ejecutado y nunca evidenciado es indistinguible de uno que nunca se ejecutó, cuando te preguntan.
Detecta la autorrevisión
Una comprobación independiente hecha por quien hizo el trabajo. El control existe y no hace nada.
Detecta la certificación en bloque
Cuarenta firmas en un minuto el día del plazo son una firma, no una comprobación.
Encuentra controles huérfanos
A cargo de alguien que ya se fue. Nadie lo nota, porque un control sin responsable no genera quejas.
No afirma nada sobre la eficacia
Si un control funcionó es un juicio que alguien firma con su nombre. Esto informa de lo que se hizo.
Qué cambia
Qué cambia en tu semana
- Se encarga de
- Comprobar si los controles documentados se ejecutan y se evidencian de verdad.
- Hoy lo hace
- La certificación, que es una firma y no una comprobación.
- Con qué frecuencia
- Cada trimestre, contra el plazo.
- Esfuerzo manual habitual
- Cada control cotejado con los registros de ejecución, los responsables y la independencia.
Por qué Cumplimiento y riesgo en concreto. Un control documentado que nadie ejecuta es peor que no tener control, porque la organización cree que un riesgo está cubierto. Un hueco no documentado al menos se conoce.
Funciona sin supervisión
Lo inicias tú o lo inicia un evento, y termina solo. Nada espera a que alguien esté en su mesa.
El mismo criterio siempre
El elemento doscientos se mide con el listón del primero. La constancia es la parte que las personas no pueden sostener.
No puede actuar por su cuenta
Agente de Certificación de Controles no tiene ninguna vía para enviar, gastar ni comprometer nada. Ese límite es justo lo que hace seguro actuar sobre su resultado.
Cómo funciona
Este agente se ejecuta en el servidor a través del entorno de ejecución de PROMIVO. Cada ejecución se registra paso a paso y cada llamada a una herramienta se comprueba contra los permisos antes de ejecutarse.
- 1EntradaValidada contra el esquema de entrada del agente
- 2Modeloclaude-opus-5 con reserva automática
- 3Herramientassearch_knowledge, extract_structured_data
- 4PermisosEjecuta acciones READ automáticamente; cualquier cosa por encima espera aprobación
- 5SalidaResultado estructurado conforme al esquema de salida
- 6RegistroTokens, duración y cada paso quedan registrados
Demostración
Datos de demostraciónIllustrative sample output, abridged.
Entrada
{
"period": "H1 2026",
"controls": []
}Salida
{
"escalate": true,
"disclaimer": "A review of the control register against performance records. Nothing has been signed, attested, approved or performed; no control is stated to be effective; no compliance determination is made; and no individual is assessed.",
"onPaperOnly": [
{
"control": "CTL-118 — Quarterly review of privileged access",
"riskRating": "High",
"riskAddressed": "Unauthorised access to production systems"
}
],
"bulkAttestation": [
"41 attestations were signed within 90 seconds on the final day of the quarter. That is a signature rather than a check, and it is a process finding rather than one about anybody."
],
"escalationReason": "A control mapped to a High risk has no performance record, a control requiring independence was self-reviewed six times, and three controls are owned by people who have left.",
"orphanedControls": [
"Three controls are owned by two people who left in March. Nobody noticed, because a control with no owner produces no complaints."
],
"candidatesForReview": [
"CTL-402 has been performed 24 times over three years and raised no finding. Worth asking whether it addresses a live risk — a design question, not a recommendation to remove it."
],
"frequencyShortfalls": [
{
"control": "CTL-090 — Quarterly reconciliation review",
"required": 2,
"performed": 1
}
],
"independenceFailures": [
"CTL-311 requires review by someone other than the preparer. All 6 performances were prepared and reviewed by the same person. The control exists and does nothing."
],
"performedNotEvidenced": [
"CTL-204 was performed 6 times with no evidence attached to any. To an auditor that is identical to never having been performed."
],
"risksCoveredOnlyOnPaper": [
"Unauthorised access to production systems is rated High and its only control has no performance record this period. The organisation believes this is covered."
]
}Requisitos
Integraciones
No requiere integraciones.
Antes de empezar
- El registro de controles: control, responsable, frecuencia, exigencia de independencia
- Registros de ejecución con fechas y quién los ejecutó
- Registros de certificación con marca de tiempo
- La lista de personal actual
- Requiere el plan Acceso total o superior
Casos de uso
Revisión trimestral de controles
Qué se ejecutó, qué se evidenció y quién lo hizo.
Antes de una auditoría
Los huecos por los que empezaría un revisor.
Después de una reorganización
Qué controles perdieron a su responsable por el camino.
Racionalizar un registro
Qué controles se ganan su sitio.
Precios
Acceso total
Se factura mensualmente con tu suscripción a PROMIVO. Cancela cuando quieras.
Las ejecuciones consumen la asignación de tu plan para ejecuciones de agentes y tokens. Consulta los límites del plan
Preguntas frecuentes
¿Decide si los controles son eficaces?
No. La eficacia es un juicio con responsabilidad atada a quien lo firma. Esto informa de si un control se ejecutó, se evidenció y lo hizo alguien independiente: los hechos que ese juicio necesita.
¿Ejecuta o firma controles?
Nunca. No firma nada, no certifica nada y no cierra nada. Un control firmado por un agente no es un control.
¿Juzga a las personas?
No. Informa de hallazgos a nivel de control. Cuando un patrón afecta a un mismo responsable lo plantea como una cuestión de capacidad o de diseño, porque una persona con cuarenta controles es un problema del registro, no suyo.
Reseñas
Las reseñas se abren cuando los clientes hayan ejecutado este agente.
¿Necesitas que este agente funcione de otra forma?
Cuéntanos qué cambiar y nuestro equipo definirá el alcance de una versión a medida para tu negocio.
Personalizar este agente