La auditoría de tecnología está cambiando rápidamente. Los riesgos evolucionan, los ambientes tecnológicos son cada vez más complejos y la cantidad de información que debemos evaluar continúa creciendo. Seguir trabajando únicamente con métodos tradicionales ya no es suficiente.
La inteligencia artificial —o AI, como comúnmente la conocemos— presenta una oportunidad real para modernizar la auditoría interna. Bien utilizada, puede ayudar a ampliar la cobertura, acelerar tareas manuales y enfocar el tiempo del auditor en las áreas de mayor riesgo.
Más que hacer lo mismo más rápido
Adoptar AI no significa simplemente producir documentos en menos tiempo. La verdadera oportunidad está en reconsiderar cómo planificamos, ejecutamos, documentamos y damos seguimiento a una auditoría.
Entre sus principales casos de uso se encuentran:
Evaluación de riesgos y planificación
La AI puede apoyar en el análisis de políticas, evaluaciones de riesgo, auditorías anteriores, incidentes, cambios regulatorios y otra documentación relevante. Esto permite identificar temas recurrentes, posibles áreas de riesgo y preguntas que deben considerarse durante la planificación.
También puede ayudar a preparar borradores de programas de auditoría, matrices de riesgos y controles, solicitudes iniciales de información y agendas para reuniones de kickoff.
Revisión de documentos
Durante una auditoría recibimos políticas, procedimientos, contratos, reportes, diagramas y una gran cantidad de evidencia. Las herramientas de AI pueden resumir documentos, comparar versiones e identificar posibles inconsistencias o información que aparenta estar ausente.
Por ejemplo, podrían ayudar a detectar que una política no define responsabilidades, que un procedimiento no establece una frecuencia de revisión o que dos documentos presentan requisitos diferentes para un mismo control.
Estos resultados deben considerarse señales para investigar, no evidencia suficiente para concluir que existe un hallazgo.
Entrevistas y walkthroughs
Basándose en el alcance de la auditoría y la documentación disponible, la AI puede ayudar a preparar preguntas más específicas para entrevistas y walkthroughs.
También puede organizar notas, resumir reuniones e identificar asuntos que requieren seguimiento, siempre que el uso de la herramienta esté autorizado y se cumplan los requisitos de privacidad y confidencialidad.
Análisis de datos y pruebas de auditoría
Uno de los usos con mayor potencial es combinar AI con herramientas de análisis de datos. En lugar de depender únicamente de muestras pequeñas, el auditor puede analizar poblaciones completas e identificar transacciones inusuales, accesos incompatibles, cuentas inactivas, cambios fuera de horario o posibles excepciones a los controles.
Esto no elimina la necesidad de validar la calidad de los datos, los criterios utilizados ni la causa de cada excepción. Una anomalía identificada por la tecnología no necesariamente representa un hallazgo.
Documentación y preparación de informes
La AI puede ayudar a organizar los resultados de las pruebas, estandarizar papeles de trabajo y preparar borradores de observaciones o informes.
También puede apoyar en la redacción de criterios, condiciones, riesgos, causas y recomendaciones. Sin embargo, el auditor debe confirmar que cada aseveración esté respaldada por evidencia y que el lenguaje refleje correctamente la magnitud del riesgo.
Seguimiento y auditoría continua
La AI también puede utilizarse para clasificar planes de acción, resumir evidencia de remediación e identificar atrasos o asuntos recurrentes.
Combinada con dashboards y reglas de monitoreo, puede apoyar programas de auditoría continua que alerten al equipo sobre cambios o excepciones que ameriten atención.
El auditor sigue siendo esencial
La AI no sustituye el juicio profesional, el conocimiento del negocio ni el escepticismo que debe mantener un auditor. Sus resultados pueden ser incorrectos, incompletos o carecer del contexto necesario para llegar a una conclusión responsable.
El auditor debe validar las fuentes, cuestionar los resultados y documentar cómo utilizó la herramienta. La AI puede ayudar a identificar dónde mirar, pero no debe decidir por sí sola si un control es efectivo o si existe un hallazgo.
La AI puede acelerar el análisis, pero la responsabilidad por las conclusiones continúa siendo del auditor.
¿Por dónde comenzar?
No es necesario transformar toda la función de auditoría de cantazo. Un enfoque práctico puede comenzar con los siguientes pasos:
- Seleccione un caso de uso sencillo. Comience con una tarea repetitiva y de bajo riesgo, como resumir documentación pública, preparar preguntas para un walkthrough o desarrollar un primer borrador de una solicitud de información.
- Utilice herramientas autorizadas. No coloque información confidencial, datos personales ni evidencia de clientes en herramientas públicas sin conocer cómo se almacenará y utilizará esa información.
- Establezca reglas básicas. Defina qué información puede utilizarse, cuáles tareas requieren revisión humana y cómo debe documentarse el uso de AI dentro de los papeles de trabajo.
- Mantenga una persona responsable. Todo resultado generado por AI debe ser revisado y aprobado por un auditor con el conocimiento y la experiencia adecuados.
- Realice un proyecto piloto. Pruebe la herramienta en una auditoría de alcance limitado y compare el tiempo invertido, la calidad del trabajo y la cantidad de asuntos identificados.
- Capacite al equipo. Los auditores necesitan aprender no solo a redactar mejores instrucciones o prompts, sino también a reconocer errores, sesgos, resultados sin fundamento y riesgos de confidencialidad.
- Amplíe gradualmente. Una vez establecidos los controles y comprobado el valor, puede extender el uso de AI hacia análisis de datos, documentación, seguimiento y auditoría continua.
Una adopción responsable
En industrias reguladas, el uso de AI requiere controles claros. Antes de utilizar estas herramientas debemos considerar la confidencialidad, la privacidad, la calidad de los datos, la seguridad, las restricciones contractuales y la trazabilidad del trabajo realizado.
No se trata de montarse en la ola porque está de moda. Se trata de poner la tecnología a trabajar responsablemente para realizar auditorías más eficientes, profundas y relevantes.
La pregunta ya no es si la auditoría interna utilizará AI, sino cómo comenzaremos a adoptarla de forma segura, controlada y alineada con nuestros objetivos.
