Decidir y asignar
Un visto bueno por correo no deja constancia de quién aprobó qué versión ni cuándo.
Quién registró la aprobación, con qué rol, cuándo y sobre qué versión. Historial en pantalla y en el PDF.
Cada acto —envío a revisión, revisión, aprobación registrada, rechazo, retirada, sustitución, declaración de cierre y publicación— queda en un registro común de solo inserción, que no se edita ni se borra. Cada flujo conserva sus propias reglas; lo común es qué se registra y cómo se muestra. En M1 cubre la clasificación y la política; en M2, la política, los cambios y los riesgos altos; en M3, la FRIA y la DPIA.
Con M2, el registro de decisiones (GOB-4) recoge además las decisiones relevantes sobre IA con su contexto, las opciones consideradas y su razón.
El acto, la persona y los roles que tenía en ese momento, la fecha del servidor, el comentario y la huella SHA-256 del contenido. Se guarda también el contenido exacto sobre el que se calculó la huella, de modo que pueda recomputarse.
Solo registra un acto quien tiene el permiso de ese acto en la matriz de roles: la aprobación de una política la registran el Owner o el AI Officer, y la de una FRIA o una DPIA, el Owner. El registro lo escribe una única función de la base de datos; ninguna pantalla lo escribe directamente.
Al cerrar una sección crítica, quien la cierra confirma que, según la información disponible y dentro de su ámbito de responsabilidad, la información está actualizada y razonablemente completa; la declaración queda identificada por su huella SHA-256. Se pide al cerrar la clasificación (VIS-2) y el registro de riesgos (GOB-3), al publicar la política (VIS-3) y al registrar la aprobación de la FRIA y la DPIA.
Quien tiene acceso al registro de auditoría —Owner, AI Officer, DPO y Auditor— puede recomputar la huella de un acto y ver las dos para contrastarlas. El resultado es «contenido verificado», «no coincide» o «sin snapshot», para los actos registrados antes de que se guardara su contenido.
Título, tipo, contexto, opciones consideradas, decisión tomada y razón, con quién decide y, si procede, el acta del Comité, el sistema y el riesgo relacionados. Owner, AI Officer, DPO y Contributor registran decisiones. A los 30 días cada decisión queda consolidada y solo se sustituye con una nueva; la anterior sigue visible, marcada como sustituida.
Historial de aprobaciones en los PDF
Los PDF de la política, la FRIA y la DPIA incluyen el bloque «Historial de aprobaciones» con los actos registrados hasta su generación: acto, roles, fecha, huella y estado de la comprobación del contenido.
Los controles del catálogo de Alethexis que esta funcionalidad ayuda a documentar, con su base legal cuando la tienen y su naturaleza.
Cada evidencia incorporada al sistema se etiqueta automáticamente con autor, fecha, versión y hash SHA-256 del contenido. La integridad evidencial se valida en cada export auditable.
Base legal
Sin base legal directa.
Las clasificaciones P5 y las FRIA/DPIA completadas se elevan al Comité para aprobación formal, manteniendo la separación estructural FRIA ≠ DPIA. La obligación legal subyacente (Art.27 FRIA y Art.35 RGPD DPIA) no se cubre con la aprobación del Comité; éste es un control metodológico complementario.
Base legal
Sin base legal directa.
Datos del catálogo de controles. Las etiquetas indican la naturaleza normativa de cada control; no son una declaración de cumplimiento.