Un mapa de evidencias vincula cada requisito con evidencias actuales, responsable y método para comprobar la aplicación. No es una lista de nombres de políticas.
Campos mínimos
Registrar código del requisito, responsable, identificador, versión o fecha, ubicación, período, población, restricciones de acceso y pregunta de auditoría que puede responder.
Separar evidencias de diseño, aplicación y resultado
Un procedimiento muestra el diseño; un registro muestreado demuestra una acción; observación o entrevista comprueban práctica y comprensión; los datos muestran si el control puede ser eficaz. Un buen mapa explicita estas funciones.
Mostrar las brechas antes de presentar
Clasificar las evidencias como actuales, parciales, faltantes, inaccesibles o no comprobadas. No crear registros retrospectivos; identificar la debilidad, corregir el proceso y permitir que se acumulen evidencias suficientes.