¿Cómo se perfila el futuro de la auditoría interna?
El futuro de la auditoría interna es continuo, conectado y predictivo. En lugar de llevar a cabo planes de auditoría anuales e informar sobre lo que ya ha salido mal, los equipos de auditoría interna están pasando a realizar un seguimiento de los riesgos en tiempo real dentro de un ecosistema de riesgos integrado: un entorno compartido en el que los datos de auditoría, riesgos y cumplimiento normativo hablan el mismo idioma.
Ese cambio es importante porque el riesgo ya no espera a que llegue el calendario de auditorías. Una deficiencia de control detectada en marzo puede haber perdido relevancia para cuando se publique el informe en septiembre. Las organizaciones que vinculan los resultados de las auditorías con los datos de riesgo empresarial, en lugar de archivarlos en un sistema independiente, se adelantan a los problemas antes de que se conviertan en noticia.
A continuación, analizamos cuáles son los factores que impulsan este cambio, cómo es en la práctica un ecosistema de riesgos integrado y qué supone para los auditores internos que llevan a cabo esta labor.
El plan de auditoría anual está perdiendo su eficacia
Durante la mayor parte de la historia de la auditoría interna, el trabajo era sencillo. Cada año se seleccionaban una serie de áreas, se comprobaban los controles, se documentaban las deficiencias y se pasaba al siguiente encargo. Esto funcionaba bien cuando los riesgos evolucionaban lentamente y las empresas tenían tiempo para reaccionar entre un ciclo de revisión y otro.
Ese no es el entorno en el que opera nadie hoy en día. Cada seis minutos se produce algún cambio normativo en algún lugar del mundo. Si a esto le sumamos la transformación digital, la mayor dependencia de terceros y la incorporación de la inteligencia artificial a los procesos empresariales cotidianos, la velocidad a la que surgen nuevos riesgos ha superado el ciclo de revisión diseñado para detectarlos. Es posible que una constatación de auditoría de hace seis meses ya describa un problema que se ha transformado en algo completamente distinto.
Esto nos obliga a replantearnos cuál es realmente la función de la auditoría interna. Ya no basta con ser el departamento que interviene a posteriori para explicar lo que ha ocurrido. El valor reside ahora en detectar las señales de riesgo con la suficiente antelación como para poder actuar al respecto, lo que significa que la auditoría debe conectarse a los mismos flujos de datos que los equipos de riesgo y cumplimiento normativo ya están supervisando.
Desde análisis puntuales hasta una visión continua de los riesgos
Disponer de información continua sobre los riesgos no significa descartar la metodología de auditoría. Significa alimentarla con datos en tiempo real, en lugar de basarse únicamente en revisiones programadas.
En la práctica, esto queda así:
- Supervisar la evolución del rendimiento de los controles entre auditorías formales, y no solo durante las mismas
- Reajustar las prioridades de las áreas de interés de la auditoría a medida que surgen nuevas señales de riesgo, en lugar de ceñirse rígidamente a un plan establecido hace 11 meses
- Utilizar datos integrados, y no solo los datos propios de la auditoría, para detectar patrones en toda la empresa
Piensa en ello como si la auditoría funcionara como un sistema de radar. Siempre escaneando, siempre captando señales en todas las áreas de operaciones, tecnología y controles, en lugar de activarse una vez al año para realizar una revisión programada.
¿Qué es un ecosistema de riesgos integrado?
Un ecosistema de riesgos integrado es un marco compartido en el que el riesgo empresarial, los controles de segunda línea y el cumplimiento normativo, las conclusiones de auditoría y la corrección de incidencias se gestionan en sistemas interconectados que utilizan taxonomías comunes, en lugar de en compartimentos estancos separados con sus propias hojas de cálculo, definiciones y periodicidades de presentación de informes.
La mayoría de las organizaciones siguen gestionando estas funciones de forma independiente. La gestión de riesgos cuenta con su propio registro de riesgos. El departamento de cumplimiento normativo lleva un seguimiento de las obligaciones a su manera. El departamento de auditoría mantiene su propio registro de conclusiones. El resultado es una duplicación de esfuerzos, una terminología incoherente y puntos ciegos que nadie detecta hasta que surge un problema que afecta a dos departamentos a la vez.
Al relacionar estos elementos, cambia lo que la auditoría puede detectar realmente. En lugar de examinar un hallazgo de forma aislada, los auditores pueden analizar cómo se relaciona ese hallazgo con una categoría más amplia de riesgo empresarial, si se están produciendo fallos de control similares en otras unidades de negocio y si las medidas correctivas se están aplicando realmente o si simplemente se marcan como «cerradas» sobre el papel.
Convertir los resultados de las auditorías en información sobre riesgos
Una sola constatación de auditoría, por sí sola, no aporta mucha información. Es una instantánea de un control, en un proceso, en un momento determinado.
Pero cuando ese hallazgo se asigna a categorías de riesgo empresarial, se vincula a un proceso de negocio específico, se relaciona con su causa raíz y se realiza un seguimiento a lo largo del proceso de corrección, se convierte en algo más útil: un dato que forma parte de un patrón mucho más amplio.
Es precisamente en ese reconocimiento de patrones donde se pone de manifiesto el verdadero valor. Fallos de control recurrentes en distintas regiones. Debilidades sistémicas en un proceso concreto. Problemas que se siguen «corrigiendo» sin que lleguen nunca a resolverse del todo. Nada de eso se aprecia cuando los hallazgos quedan relegados a informes aislados.
Esta es la diferencia práctica entre informar de lo que ha ocurrido y explicar por qué sigue ocurriendo y, lo que es más útil, qué hacer al respecto a partir de ahora.
Los informes de auditoría también deben cambiar
A los consejos de administración y a los directivos no les faltan datos. Lo que les falta es capacidad de síntesis. Un informe de 40 páginas repleto de conclusiones y valoraciones puntuales no indica a un director financiero cuál es la tendencia real de la exposición al riesgo de la organización.
Los informes de auditoría modernos deben basarse en el análisis, no en la mera observación. Esto implica establecer prioridades:
- Los pocos temas de riesgo que más importan en este momento
- Causas fundamentales que abarcan varias áreas funcionales, no solo un departamento
- Si la eficacia de los controles mejora o empeora con el tiempo
- Recomendaciones directamente relacionadas con las decisiones empresariales, y no expresiones genéricas del tipo «reforzar los controles»
Si se hace bien, esto convierte el informe de auditoría de un mero documento de cumplimiento normativo en algo que los directivos realmente leen y sobre lo que toman medidas. Además, reposiciona a la auditoría interna como asesora, y no solo como una entidad que se limita a llevar la cuenta.
La auditoría integrada no implica perder la independencia
Existe la preocupación generalizada de que una colaboración más estrecha con los equipos de gestión de riesgos y cumplimiento normativo ponga en peligro la independencia de la auditoría. En la práctica, si se lleva a cabo correctamente, ocurre justo lo contrario.
La garantía integrada consiste en utilizar datos compartidos para:
- Reducir la duplicación de pruebas en las tres líneas
- Detectar las lagunas en la cobertura del seguro
- Destinar los limitados recursos de auditoría a las áreas que presentan un mayor riesgo real
La auditoría sigue conservando su carácter independiente: cuestiona las hipótesis, verifica que los procesos de gestión de riesgos funcionen realmente e informa sin sesgos. El hecho de compartir datos no sustituye al juicio independiente. Simplemente significa que dicho juicio se basa en una visión más completa de la situación.
El papel de la tecnología y la inteligencia artificial en la auditoría moderna
Nada de esto funciona sin la infraestructura adecuada. Las plataformas integradas de gestión de riesgos ofrecen a los departamentos de auditoría, riesgos y cumplimiento normativo un entorno único en el que los resultados, los riesgos y los controles se interrelacionan, en lugar de estar dispersos en hojas de cálculo independientes. Más de 1.300 organizaciones utilizan Archer®, entre ellas la mitad de las empresas de la lista Fortune 500 y 37 de los 50 principales bancos del mundo.
Las plataformas de este nivel suelen admitir:
- Gestión centralizada de las auditorías a lo largo de todo su ciclo de vida, desde la planificación hasta el seguimiento de incidencias
- Vínculo directo entre los resultados, los riesgos y los controles
- Cuadros de mando en tiempo real en lugar de informes estáticos con datos de hace un trimestre
- Flujos de trabajo automatizados que reducen la documentación manual
La IA añade otra capa a esa base. Detecta anomalías en grandes conjuntos de datos, facilita la supervisión continua y agiliza la documentación y las pruebas que antes le quitaban horas a la semana a un auditor.
Dicho esto, la IA es una herramienta de apoyo, no un sustituto del criterio humano. Funciona mejor cuando se gestiona adecuadamente, con una supervisión clara y con auditores que sigan aplicando el escepticismo profesional a lo que la tecnología pone de manifiesto. Un modelo que señale una anomalía sigue necesitando que un ser humano decida si realmente tiene importancia. Esa es la diferencia entre una conclusión de auditoría que se puede defender ante un examinador y otra que solo se puede explicar.
Qué significa esto para los auditores internos
El conjunto de competencias está cambiando. Los conocimientos técnicos de control y los fundamentos de contabilidad siguen siendo imprescindibles, pero ya no bastan por sí solos.
Los auditores que se desenvuelven bien en este entorno suelen combinar:
- Fundamentos sólidos de gestión de riesgos
- Se siente cómodo trabajando con datos y herramientas de análisis
- Una comprensión real de cómo funciona realmente la empresa, y no solo de cómo se supone que debería funcionar sobre el papel
- La capacidad de explicar con claridad conclusiones complejas a los directivos que no pertenecen al departamento de auditoría
- Suficiente dominio técnico para trabajar junto con la IA y las plataformas integradas, y no al margen de ellas
Ahora se trata de un puesto multidisciplinar. En parte auditor, en parte analista y en parte enlace entre los resultados técnicos y las decisiones empresariales.
En resumen
La auditoría interna no es un gasto general opcional, ni tampoco un mero ejercicio de cumplimiento normativo que se realiza una vez al año. Las organizaciones que integran la auditoría en un ecosistema de riesgos compartido, en lugar de gestionarla como una función aislada, reciben alertas más tempranas sobre los riesgos emergentes y toman decisiones mejor fundamentadas en los niveles directivos.
En el futuro, el valor de esta función no se medirá por el número de auditorías realizadas, sino por la medida en que los resultados de las auditorías hayan influido realmente en la toma de decisiones.
Si estás definiendo cómo sería ese modelo conectado para tu propia función de auditoría, descubre cómo Archer integra la auditoría, el riesgo y el cumplimiento normativo en datos y taxonomías compartidos.
Más información en https://www.archerirm.com/audit-management
Preguntas frecuentes
¿Qué es un ecosistema de riesgo integrado en la auditoría interna?
Un ecosistema de riesgos integrado es un marco interconectado en el que las funciones de auditoría, gestión de riesgos y cumplimiento normativo comparten datos, taxonomías y estructuras de información, en lugar de funcionar en compartimentos estancos. Esto permite a la auditoría interna comprender cómo se relacionan los hallazgos individuales con los riesgos generales de la empresa, en lugar de examinar cada hallazgo de forma aislada.
¿En qué se diferencia la auditoría interna de la supervisión continua de riesgos?
La auditoría interna tradicional se basa en trabajos programados y revisiones periódicas, que suelen seguir un plan anual. La supervisión continua de riesgos utiliza datos en tiempo real o casi en tiempo real para hacer un seguimiento del rendimiento de los controles y de los riesgos emergentes entre auditorías formales, lo que permite a los equipos ajustar las prioridades a medida que cambian las circunstancias, en lugar de esperar a la siguiente revisión programada.
¿El uso de datos compartidos sobre riesgos pone en peligro la independencia de la auditoría interna?
No. Cuando se aplica correctamente, el uso compartido de datos fomenta la independencia en lugar de socavarla. La auditoría interna sigue realizando comprobaciones independientes, cuestionando hipótesis y elaborando informes sin sesgos. El acceso a datos compartidos sobre riesgos y cumplimiento normativo simplemente proporciona a los auditores un mejor contexto, lo que les ayuda a destinar los recursos a las áreas de mayor riesgo, en lugar de distribuir la cobertura de manera uniforme sin tener en cuenta la exposición real.
¿Qué competencias necesitan los auditores internos de cara al futuro de la auditoría interna?
Los conocimientos sobre control técnico y los fundamentos contables siguen siendo la base, pero ya no bastan por sí solos. Los auditores internos necesitan cada vez más conocimientos básicos sobre gestión de riesgos, soltura en el manejo de datos y herramientas analíticas, una comprensión práctica del funcionamiento de la empresa, la capacidad de explicar los resultados a directivos ajenos al ámbito de la auditoría y suficiente dominio técnico para trabajar con inteligencia artificial y plataformas de gestión integrada de riesgos.
