Redacción del informe forense

El informe forense es la prueba pericial del experto. En muchos procedimientos se lee mucho antes de que alguien declare y, en algunos, es la única forma que adopta la prueba. Un informe que mezcla observaciones con opiniones, oculta sus materiales o utiliza términos de probabilidad sin definir invita a impugnarlo, algo que un informe bien estructurado habría evitado de antemano.

La redacción analítica se aborda en las lecciones IDFE-BA Redacción del informe analítico y Confianza, incertidumbre y lenguaje: primero, la conclusión principal; los hallazgos redactados como afirmación, evidencia, razonamiento y nivel de confianza; una escala de verosimilitud declarada; y apéndices de transacciones elaborados mediante consultas. Esta lección añade la capa que necesita un tribunal.

Qué cambia cuando el informe es una prueba

Una estructura reconocible para los tribunales

Las normas de elaboración de informes forenses convergen en los mismos elementos básicos. El documento SWGDE Requirements for Report Writing in Digital and Multimedia Forensics (documento 18-Q-002, versión 1.0, 2018) establece requisitos mínimos, como la solicitud y su autoridad, los elementos examinados con identificadores como valores hash, resultados comprensibles para una persona no especializada, opiniones con su fundamento y la disposición de los elementos. La norma ISO 21043-5:2025 añade que los informes deben ser adecuados para el uso previsto, y la cláusula 7.8 de ISO/IEC 17025:2017 regula los informes emitidos por laboratorios acreditados. Una estructura que cumple con las tres:

1. Instrucciones: quién instruyó al experto, cuándo y bajo qué autoridad (orden de registro, orden judicial, contrato), así como las preguntas, citadas exactamente.
2. Cualificaciones: formación, experiencia, acreditación y testimonios previos pertinentes, limitados a lo que guarde relación con estas preguntas; el CV completo se incluye en un apéndice.
3. Materiales: cada elemento recibido o recopilado (exportaciones, imágenes, registros, resultados de herramientas), con identificador, fecha de recepción, fuente y hash SHA-256, además de todo lo solicitado pero no proporcionado.
4. Métodos: fuentes de datos y versiones de nodos o conjuntos de datos, herramientas y versiones, método de rastreo y reglas de detención, heurísticas, fuentes de etiquetas y fechas, escala de confianza utilizada y cualquier desviación de los procedimientos de la unidad.
5. Hallazgos: lo observado, hallazgo por hallazgo, con referencias a las filas de los apéndices.
6. Limitaciones: qué no se pudo observar o probar y qué podría cambiar las conclusiones.
7. Conclusiones: respuesta directa a cada pregunta, en el mismo orden de las instrucciones.
8. Declaración: declaración de deberes del experto, firmada y fechada.

Responder las preguntas en el orden en que se formularon es más importante de lo que parece: al leer las conclusiones, un juez debería encontrar la respuesta a la pregunta 3 bajo «Pregunta 3», no dispersa entre tres hallazgos.

Separar los hechos de las opiniones

La cláusula 7.8.7 de ISO/IEC 17025:2017 exige que las opiniones e interpretaciones de los informes se identifiquen claramente como tales y que se documente su fundamento. La Guideline for Evaluative Reporting in Forensic Science de ENFSI (2015) distingue tres tipos de resultados que se aplican bien al trabajo con criptomonedas:

• La presentación técnica describe hallazgos sin evaluarlos: la transacción, el bloque, el monto.
• La presentación investigativa ofrece explicaciones de los hallazgos cuando todavía no se puede formular un par de proposiciones contrapuestas, normalmente al comienzo de un caso: «el patrón es compatible con una dirección de depósito de un servicio de custodia».
• La presentación evaluativa evalúa los hallazgos frente a por lo menos un par de proposiciones contrapuestas, normalmente una basada en el relato de cada parte, y es lo que un tribunal suele necesitar en el juicio.

Una convención sencilla hace visible la distinción para cualquier lector: iniciar los párrafos con «Observación» u «Opinión», o mantenerlos en subsecciones separadas para cada hallazgo. Una observación incluye una cita y no contiene términos de probabilidad. Una opinión identifica el método y señala la alternativa con la que se comparó.

Lenguaje de confianza para el tribunal

Las escalas de verosimilitud que se enseñan en IDFE-BA, como «muy probable (80–95 %)», clasifican la probabilidad de una proposición. Son adecuadas para el trabajo de inteligencia y cumplimiento. En los tribunales surge un problema: la probabilidad de una proposición, como «esta billetera pertenece al acusado», depende de todas las pruebas del caso, muchas de las cuales el experto no ha visto. La respuesta forense consiste en informar sobre la fuerza del respaldo que los hallazgos del experto brindan a una proposición frente a otra.

La guía de ENFSI establece cuatro requisitos para las opiniones evaluativas: equilibrio (por lo menos dos proposiciones), lógica (abordar la probabilidad de los hallazgos dadas cada una de las proposiciones, no la probabilidad de las proposiciones dados los hallazgos), solidez (razonamiento que resista el escrutinio y se base en datos adecuados) y transparencia (un proceso demostrable que quede registrado en el expediente del caso y en el informe). Su escala verbal ilustrativa se basa en la razón de verosimilitud, es decir, cuántas veces son más probables los hallazgos bajo una proposición que bajo la otra:

Pocas heurísticas de rastreo incluyen razones de verosimilitud numéricas, por lo que la mayoría de los informes sobre criptomonedas usan estos términos verbalmente y exponen los motivos. Lo que importa es la lógica. Supongamos que una coincidencia de monto y hora identifica una posible salida dentro de una ventana en la que, por azar, se esperaría encontrar una salida coincidente aproximadamente una vez cada 100 ventanas comparables. La afirmación correcta es: «si la salida no estuviera relacionada con el depósito, se esperaría una coincidencia tan cercana aproximadamente una vez cada 100 ventanas». Si una salida realmente relacionada casi siempre produjera una coincidencia así, la razón de verosimilitud sería aproximadamente 100, en el límite entre un respaldo moderado y uno moderadamente sólido. Escribir «solo hay un 1 % de probabilidad de que la salida no esté relacionada» es el condicional transpuesto, a menudo llamado falacia del fiscal: convierte silenciosamente una probabilidad de los hallazgos en una probabilidad de la proposición. Declare una sola escala en la sección de métodos y nunca mezcle en el mismo informe términos de inteligencia y términos de fuerza del respaldo.

Apéndices y reproducibilidad

Los apéndices permiten verificar el informe: tablas completas de transacciones con hashes de bloque (consulte la lección IDFE-BA Redacción del informe analítico), diagramas de flujo y cronologías (consulte la lección Evidencia visual para los tribunales), la lista de materiales con hashes y el paquete de evidencia que permite a otro examinador repetir el trabajo (consulte Preservación de evidencia en cadena). Muchas unidades mantienen cada hallazgo como un registro estructurado a partir del cual se generan tanto el texto del informe como los apéndices:

{
  "finding_id": "F3",
  "question": 2,
  "type": "opinión",
  "statement": "bc1q…k8p0 es una dirección de depósito del exchange K",
  "propositions": ["dirección de depósito del exchange K", "dirección no relacionada con el exchange K"],
  "basis": ["appendix_A_rows_14_16", "appendix_B_row_21", "exchange_k_published_reserve_list_2026-03-20"],
  "method": "patrón de barrido y heurística de entrada común; se excluyeron CoinJoin y PayJoin",
  "support": "respaldo sólido para la primera proposición",
  "limitations": ["la ruta depende de la detección del cambio a lo largo de 4 saltos"],
  "tools": [{"name": "herramienta de grafos del examinador", "version": "4.2.1"}],
  "data_cutoff": {"bitcoin_block": 941350}
}

El registro vincula el hallazgo con la pregunta que responde, lo identifica como opinión, nombra ambas proposiciones, enumera su fundamento mediante filas de apéndices y una fuente fechada, y registra el método, la versión de la herramienta y la fecha de corte. Un revisor puede verificar cada elemento; un generador de informes no puede omitir la limitación sin que se note.

Declaración, firma y enmiendas

La declaración es donde el experto da fe de los deberes tratados en la lección El papel y los deberes del experto. La redacción varía según el sistema, pero normalmente declara que el experto comprende su deber ante el tribunal y lo ha cumplido, que las opiniones son propias y están dentro de su área de competencia, que ha mencionado todos los asuntos que considera pertinentes, incluidos los que restan fuerza a sus opiniones, que ha revelado cualquier conflicto de intereses y que notificará al tribunal si cambia de opinión.

Una vez emitido, un informe nunca se modifica sin dejar constancia. La cláusula 7.8.8 de ISO/IEC 17025:2017 exige que los cambios en un informe emitido se identifiquen claramente, indicando el motivo cuando corresponda, y que un informe sustitutorio tenga un identificador único y haga referencia al original al que reemplaza. En los casos relacionados con criptomonedas, las enmiendas son comunes porque los registros de los exchange llegan tarde o los fondos vuelven a moverse después de la fecha de corte. Cada enmienda debe indicar qué cambió, por qué y qué conclusiones se ven afectadas, para que el tribunal pueda comprobar que el experto actualizó su opinión debido a la evidencia, no a presiones.

Enfoque del examen: en qué se diferencia un informe forense de uno analítico (experto identificado que firma, preguntas textuales, materiales con hash, opiniones identificadas, enmiendas formales, declaración); la estructura de ocho partes y la respuesta a las preguntas en orden; los requisitos mínimos de SWGDE sobre el contenido del informe y el requisito de ISO/IEC 17025 de identificar las opiniones e interpretaciones y documentar su fundamento; las presentaciones técnica, investigativa y evaluativa; el equilibrio, la lógica, la solidez y la transparencia de ENFSI; la razón de verosimilitud y su escala verbal; cómo reconocer el condicional transpuesto (falacia del fiscal); los registros estructurados de hallazgos; el contenido de la declaración y las enmiendas que identifican cada cambio, explican el motivo y hacen referencia al informe original.