Control de calidad del informe: coherencia, revisión por pares y protección de datos

Ya sabes estructurar el informe, redactar los hallazgos y construir el plan de corrección. Falta un paso que muchos equipos se saltan con las prisas de la entrega: revisar el informe como producto antes de que salga. Un informe con cifras que no cuadran, un hallazgo que nadie consigue reproducir o una captura con el DNI de un vecino pierde en un minuto la credibilidad que costó semanas ganar. Esta lección propone un control de calidad en cuatro frentes: coherencia interna, revisión por pares, revisión editorial y de formato, y protección de datos, más una forma ordenada de gestionar versiones y comentarios del cliente.

Qué puede salir mal

Los defectos de un informe de auditoría son casi siempre de cinco tipos:

• Incoherencias numéricas: el resumen ejecutivo dice 9 hallazgos críticos y la hoja de hallazgos tiene 8.
• Incoherencias entre secciones: un criterio aparece como «cumple» en la tabla de resultados y, a la vez, hay un hallazgo que lo cita.
• Hallazgos no reproducibles: pasos incompletos, URL que ya no existe, combinación de prueba sin indicar.
• Afirmaciones que el método no sostiene: «el sitio cumple» a partir de una muestra, o «garantizamos», que la lección «Estructura del informe» ya te pidió evitar.
• Datos personales o confidenciales en capturas, vídeos o fragmentos de código.

Los tres primeros se detectan con comprobaciones sistemáticas; los dos últimos, con una lectura atenta.

Comprobaciones de coherencia

Si la hoja de hallazgos está bien estructurada, la mayoría de estas comprobaciones se pueden hacer con filtros de la hoja de cálculo o con un pequeño script. Una estructura mínima por columnas sería:

id;titulo;criterio;nivel;severidad;ambito;paginas;instancias;estado;evidencia
H-03;Calendario de cita no operable con teclado;2.1.1;A;critica;proceso;P07,P08;1;abierto;E-03a,E-03b
H-11;El banner de cookies atrapa el foco;2.1.2;A;critica;global;todas;1;abierto;E-11
R-02;Añadir enlace de salto al contenido;2.4.1;A;recomendacion;global;todas;1;abierto;E-R02

Con esa base, comprueba antes de cada entrega:

Regla	Cómo detectarla
Todo criterio con veredicto «no cumple» tiene al menos un hallazgo	Cruzar la tabla de resultados con la columna criterio de la hoja
Todo hallazgo cita un criterio con veredicto «no cumple»	El cruce inverso; si el criterio «cumple», o el hallazgo es una recomendación o el veredicto está mal
Las cifras del resumen coinciden con la hoja	Recontar por severidad y por estado con un filtro, no a mano
Cada página citada existe en la muestra	Comparar los identificadores de paginas con la tabla de muestra
Ningún hallazgo sin evidencia ni sin pasos	Filtrar celdas vacías en evidencia y en la ficha
Severidades coherentes entre hallazgos parecidos	Ordenar por criterio y revisar que casos similares tengan severidad similar
Ningún «no comprobado» sin explicar	Filtrar la tabla de resultados por ese valor
Fechas, versión de WCAG, línea base y versión del informe iguales en todas partes	Buscar cada dato en el documento completo

Revisión por pares

La revisión por pares (el principio de los cuatro ojos) consiste en que un auditor que no ha evaluado el sitio revise el trabajo antes de la entrega. No se trata de repetir la auditoría, sino de comprobar lo que más riesgo tiene. Un reparto razonable:

• Reproducir todos los hallazgos críticos y altos con los pasos escritos, sin ayuda del autor. Si el revisor no lo consigue, el hallazgo vuelve a redacción.
• Reproducir una selección del resto, elegida por el revisor, no por el autor.
• Revisar todos los «no aplica» y «no se puede determinar», que son los veredictos donde más se cuelan errores: un «no aplica» en 1.2.2 Subtítulos (grabados) en un sitio con un canal de vídeo incrustado en la portada, por ejemplo.
• Probar el código de las recomendaciones en un fragmento aislado, porque una recomendación con código erróneo es peor que ninguna.
• Leer el resumen ejecutivo como lo leería la dirección, sin haber leído el resto.

Deja constancia de la revisión: quién revisó, qué fecha y qué cambió. Si en el equipo hay discrepancias de criterio frecuentes, eso no se resuelve en la revisión del informe, sino con las sesiones de calibración y los procedimientos comunes que viste en el curso N4-C1.

Revisión editorial y del formato

La lectura final busca tres cosas. Primero, lenguaje: afirmaciones absolutas («el sitio es inaccesible»), juicios sobre personas, siglas sin desarrollar en el resumen, términos que cambian de nombre a mitad del documento. Segundo, límites declarados: el informe debe decir qué quedó fuera del alcance, qué se evaluó en qué fechas y que describe el estado del sitio en ese momento, no después. Tercero, accesibilidad del propio informe, porque un informe de accesibilidad inaccesible no tiene autoridad:

• Estilos de título reales, tablas con fila de encabezado marcada, texto alternativo en cada captura, enlaces descriptivos, colores de severidad acompañados siempre de texto.
• El comprobador de accesibilidad del procesador de textos, como primera pasada.
• Si se entrega en PDF, exportado etiquetado desde el original y verificado con un validador PDF/UA (ISO 14289), por ejemplo PAC, además de una revisión manual del orden de lectura, como verás en el curso N6-C1.

Protección de datos y confidencialidad

Una auditoría de una sede electrónica, de una banca en línea o de una intranet pasa por pantallas con datos personales. El informe y sus evidencias quedan sujetos al Reglamento General de Protección de Datos (Reglamento (UE) 2016/679) y a la Ley Orgánica 3/2018. Algunas reglas prácticas:

• Usa cuentas y datos de prueba facilitados por el cliente siempre que sea posible, y acuérdalo en el alcance. Si hay que trabajar con datos reales, define con el cliente las condiciones de acceso y tratamiento antes de empezar.
• Minimiza y anonimiza: recorta las capturas al componente, tapa nombres, DNI, direcciones, importes o datos de salud de forma irreversible (no con una forma semitransparente que se puede quitar en el PDF).
• Controla dónde se guardan las evidencias, quién accede a ellas y cuándo se borran al terminar el encargo.
• No publiques ni reutilices el informe ni sus capturas como ejemplo sin autorización expresa del cliente.
• Separa lo que no es accesibilidad: si durante la prueba encuentras un posible problema de seguridad (por ejemplo, datos de otra persona visibles al cambiar un número en la URL), comunícalo de inmediato y por un canal reservado, fuera del informe general.

Versiones y comentarios del cliente

Numera las versiones y guarda un control de cambios al principio del documento: 0.9 como borrador para revisión del cliente, 1.0 como versión final, 1.1 si hay correcciones posteriores, y 2.0 para la reauditoría. Cada entrada indica la fecha, qué cambió y por qué.

Los comentarios del cliente sobre el borrador son útiles y hay que tratarlos con criterio. Acepta las correcciones de hecho (una página que estaba fuera del alcance acordado, un componente que no es suyo, un dato mal transcrito). No cambies un veredicto ni una severidad por presión, sino solo ante una evidencia nueva, y deja constancia de la discusión. Si el cliente discrepa y no hay evidencia, el informe puede recoger su posición en una nota, pero el veredicto del auditor se mantiene.

Resumen

• Antes de entregar, revisa el informe como producto: coherencia, reproducibilidad, afirmaciones, formato y datos personales.
• Una hoja de hallazgos estructurada permite comprobar con filtros que veredictos, hallazgos, páginas y cifras del resumen cuadran.
• La revisión por pares reproduce todos los hallazgos críticos y altos, revisa los «no aplica» y «no se puede determinar», prueba el código y lee el resumen como la dirección.
• El propio informe debe ser accesible y, si es PDF, etiquetado y validado frente a PDF/UA.
• Protege los datos personales con cuentas de prueba y anonimización irreversible, controla versiones y cambia veredictos solo ante evidencias nuevas.