Un resultado favorable tiene un alcance

Un «no se encontró nada» útil identifica dónde se examinó.

Definir primero la población

La cobertura de evaluación describe sistemas, condiciones y comportamientos examinados. Un recuento necesita un denominador definido antes de interpretar resultados. Cubrir una lista completa tampoco garantiza que incluya todos los comportamientos o fallos pertinentes.

Una revisión ficticia prevé cuatro flujos para tres roles: Viewer, Editor y Administrator. Son doce combinaciones de rol y flujo. El ejercicio usa la versión 4.2 en preproducción; no incluye la configuración de producción.

Matriz de cobertura proporcionada

• S1: Se revisaron las cuatro combinaciones de Viewer conforme a la política aprobada.
• S2: Se revisaron dos de Editor. Las otras dos y las cuatro de Administrator quedaron excluidas por falta de evidencia disponible.
• S3: No se encontraron desviaciones en las seis combinaciones revisadas bajo las condiciones documentadas.

Expresar el resultado sin ampliarlo

Se revisaron seis de doce: el 50% de este inventario definido. No significa «aplicación segura al 50%». Las combinaciones pueden tener consecuencias muy distintas; el recuento no pondera importancia.

S3 respalda un resultado negativo delimitado para la versión 4.2 en preproducción. No establece comportamiento en producción, permisos de Administrator ni resultados tras otra versión. Registra la evidencia indisponible y asigna seguimiento, sin eliminar silenciosamente esos casos del plan.

Si cambia el ámbito, conserva el denominador anterior y explica el nuevo. De otro modo, una aparente mejora podría deberse a borrar casos difíciles de revisar. Las exclusiones deben seguir visibles para quien decide qué evaluación falta.

Conclusión modelo: Sin desviaciones observadas en seis combinaciones especificadas. Seis combinaciones previstas y producción siguen sin evaluar.