Una organización puede tener identificados sus riesgos críticos, definidos sus controles y documentados sus procedimientos, pero eso no demuestra que las barreras estén funcionando en