Auditoría como mecanismo de aprendizaje y adaptación (Auditoria, INF, IA)
La transformación de la auditoría : pasar de una función centrada en comprobar controles y detectar incumplimientos a otra que contribuya a mejorar la capacidad de la organización para gestionar sus riesgos, anticiparse y corregir sus vulnerabilidades.
1. De auditar controles a evaluar la capacidad de gestión
La auditoría tradicional ha dedicado una parte importante de sus esfuerzos a comprobar:
Si existen controles.
Si están correctamente diseñados.
Si se ejecutan.
Si cumplen las políticas y procedimientos.
Si las deficiencias detectadas se corrigen.
Este trabajo sigue siendo necesario, pero no es suficiente ante riesgos cada vez más interconectados.
La auditoría del futuro deberá preguntarse también:
¿Los procesos funcionan de forma eficiente?
¿Los riesgos están correctamente identificados y evaluados?
¿Se detectan las señales tempranas de deterioro?
¿Las decisiones se toman con información fiable?
¿Las acciones correctivas eliminan las causas del problema o simplemente sus síntomas?
La diferencia es sustancial: no se trata solamente de verificar que la organización controla sus riesgos, sino de evaluar si tiene capacidad para anticiparlos y adaptarse.
2. Los riesgos que cruzan fronteras funcionales
Esta es posiblemente una de las ideas más importantes de las que planteas.
Las organizaciones suelen gestionar sus riesgos mediante departamentos: Finanzas, Tecnología, Operaciones, Compras, Recursos Humanos, Cumplimiento, etc.
Pero los riesgos relevantes no respetan esas estructuras.
Por ejemplo, un problema de ciberseguridad puede desencadenar:
Una interrupción operativa.
Pérdidas económicas.
Incumplimientos contractuales.
Problemas reputacionales.
Riesgos regulatorios.
Deterioro de la confianza de clientes y proveedores.
Cada departamento puede estar gestionando correctamente su parte y, sin embargo, la organización puede no estar controlando adecuadamente el riesgo global.
Aquí la auditoría debe adoptar una perspectiva transversal y sistémica: identificar las interdependencias, evaluar los efectos en cadena y comprobar que las responsabilidades están coordinadas.
3. La IA permite pasar de la auditoría periódica a una supervisión más continua
La IA puede facilitar:
Analizar grandes volúmenes de transacciones y detectar anomalías.
Identificar patrones que anticipen desviaciones.
Relacionar incidencias de diferentes departamentos.
Detectar concentraciones de riesgo y dependencias críticas.
Seguir la evolución de indicadores y señales tempranas.
Comprobar si las medidas correctivas han producido resultados.
Pero hay una precaución fundamental: detectar una anomalía no equivale a identificar un riesgo, y predecir una desviación no equivale a conocer su causa.
La auditoría debe validar los modelos, la calidad de los datos, la trazabilidad de los resultados y la relevancia de las conclusiones.
4. No recomendar controles adicionales por reflejo
Esta afirmación me parece especialmente acertada.
Ante cualquier deficiencia, existe una tendencia a recomendar más controles, más autorizaciones, más verificaciones y más procedimientos.
Sin embargo, eso puede generar:
Mayor burocracia.
Procesos más lentos.
Duplicidades.
Costes adicionales.
Responsabilidades difusas.
Una falsa sensación de seguridad.
La pregunta no debería ser cuántos controles adicionales podemos implantar, sino qué intervención reduce realmente el riesgo y mejora el funcionamiento del proceso.
A veces la solución será añadir un control; otras, eliminar una actividad innecesaria, automatizar una operación, mejorar la calidad del dato, cambiar una responsabilidad o rediseñar un proceso.
La auditoría debe evaluar la proporcionalidad de la respuesta.
5. Una nueva matriz de aportación de valor de auditoría
Dimensión | Auditoría tradicional | Auditoría orientada al futuro |
|---|---|---|
Procesos | Comprueba procedimientos | Evalúa eficiencia y rediseño |
Riesgos | Identifica y evalúa exposiciones | Analiza interdependencias y tendencias |
Controles | Verifica su existencia y ejecución | Evalúa si son necesarios y eficaces |
Información | Comprueba registros y evidencias | Evalúa calidad, trazabilidad y capacidad predictiva |
Acciones correctivas | Comprueba su implantación | Valida si eliminan las causas y reducen el riesgo |
Tecnología | Audita sistemas y accesos | Evalúa también modelos, datos y decisiones automatizadas |
6. La lectura RMS: auditoría como mecanismo de aprendizaje y adaptación
Lo conectaría con los tres componentes de nuestro modelo:
Recurso: ¿se utilizan eficientemente el capital, el talento, la tecnología y la información?
Modelo: ¿los procesos, controles y responsabilidades están correctamente diseñados?
Sistema: ¿la organización identifica riesgos transversales, aprende de los errores y modifica su comportamiento ante cambios del entorno?
La auditoría interna puede convertirse así en un mecanismo de retroalimentación del sistema: detectar desviaciones, comprender sus causas, evaluar las respuestas y comprobar si la organización ha mejorado realmente.
Hay, además, una distinción que considero imprescindible: auditoría interna debe preservar su independencia. Puede aportar análisis, evidencias y recomendaciones, pero la responsabilidad de gestionar los riesgos y ejecutar las acciones correctivas corresponde a la dirección.
Conclusión I
La transformación no consiste en utilizar IA para realizar más auditorías en menos tiempo. Consiste en utilizarla para conseguir una visión más completa de la organización y de sus vulnerabilidades.
Auditoría como mecanismo de aprendizaje y adaptación
La auditoría del futuro no se limitara a comprobar si existen controles suficientes. Se enfocara a determinar si la organización comprende sus riesgos, gestiona sus interdependencias, aprende de sus desviaciones, si dispone de capacidad para anticiparse y corregirlas. Además de procesos de mejora relacionados con los informes no financieros (INF)
Pregunta especialmente relevante para los comités de auditoría:
¿Estamos reduciendo realmente la exposición al riesgo o simplemente estamos aumentando la cantidad de controles y documentación que acreditan que hacemos algo para gestionarlo?
Esta diferencia puede marcar la distancia entre una auditoría que genera cumplimiento formal y otra que contribuye a mejorar la resiliencia y la competitividad de la organización.
La infografía conecta la auditoría y los informes no financieros como dos instrumentos complementarios para mejorar la empresa: no solo en sostenibilidad y cumplimiento, sino también en estrategia, operaciones, finanzas, talento, innovación, gobierno corporativo y relaciones con los grupos de interés.
La idea central para el enfoque RMS es que medir, verificar y comprender los impactos permite tomar mejores decisiones, anticipar riesgos y mejorar la competitividad a largo plazo.
II-Auditoria externa
En el caso de auditoría externa, podemos ampliar mucho el análisis, desde la verificación de la información de la empresa hasta la evaluación de su posición competitiva, su exposición a riesgos externos y su capacidad de adaptación.
El auditor externo debe verificar la calidad de los procesos de información, evaluación y supervisión que las sustentan.
Por ejemplo:
Dimensión | Qué podría evaluarse |
|---|---|
Prospectiva | ¿Se han considerado escenarios alternativos? |
Asignación de capital | ¿Las inversiones se apoyan en hipótesis contrastadas? |
Competitividad | ¿Se comparan costes, productividad y capacidades con competidores relevantes? |
Riesgos | ¿Se analizan dependencias y efectos cruzados? |
Sostenibilidad | ¿Los compromisos ambientales y sociales tienen indicadores verificables? |
Adaptación | ¿Se revisan las hipótesis cuando cambian las condiciones externas? |
Corrección | ¿Se evalúa si las medidas adoptadas están reduciendo realmente la exposición? |
Una cuestión especialmente relevante sería comprobar si existe coherencia entre:
Lo que la empresa declara → lo que mide → lo que realmente hace → los resultados que obtiene.
5. La conexión con RMS: empresa, entorno y competencia sistémica
Aquí podemos construir un modelo de auditoría externa ampliada en tres niveles:
¿Con qué cuenta la empresa?
Capital · Tecnología · Talento · Energía · Materias primas · Proveedores · Información
¿Cómo transforma esos recursos?
Estrategia · Financiación · Procesos · Innovación · Gobernanza · Cadena de valor · Productividad
¿En qué entorno compite?
Geopolítica · Geoeconomía · Regulación · Competidores · Mercados · Tecnología · Transiciones estructurales
RESULTADO DEL ASEGURAMIENTO
Transparencia, resiliencia y competitividad sostenible
Información contrastada · Riesgos visibles · Decisiones mejor fundamentadas · Capacidad de adaptación
La aportación de RMS es que obliga a no analizar la empresa como una unidad aislada. Su competitividad depende también de las arquitecturas económicas, financieras, industriales y políticas con las que interactúa.
6. ¿Qué indicadores podría examinar una auditoría externa ampliada?
Algunos ejemplos concretos:
Ámbito | Indicadores o evidencias |
|---|---|
Proveedores | Concentración, dependencia geográfica, alternativas disponibles |
Finanzas | Coste de financiación, vencimientos, liquidez y exposición a divisas |
Competitividad | Productividad, costes unitarios, inversión en I+D y automatización |
Tecnología | Dependencia de proveedores tecnológicos, obsolescencia y ciberexposición |
Geopolítica | Exposición a sanciones, aranceles y restricciones comerciales |
Sostenibilidad | Emisiones, consumo energético, trazabilidad y riesgos físicos |
Estrategia | Escenarios, sensibilidad de hipótesis, planes de contingencia |
Capital | Rentabilidad esperada y realizada, desviaciones y revisión de inversiones |
La IA podría aportar mucho en este terreno: analizar grandes volúmenes de información de proveedores, contratos, mercados, indicadores financieros, noticias regulatorias y datos operativos; detectar anomalías y relaciones; y ayudar a identificar señales tempranas. Pero la validación de fuentes, la interpretación causal y el juicio profesional seguirían siendo esenciales.
7. Auditoría externa ampliada: del aseguramiento de la información al aseguramiento de la resiliencia empresarial.
El auditor puede proporcionar una evaluación independiente, basada en evidencias, sobre la calidad de la información, los procesos de identificación de riesgos, la coherencia de las hipótesis y la capacidad de respuesta de la organización.
¿Puede una empresa presentar información financiera correcta, cumplir la regulación y obtener una opinión de auditoría favorable, y al mismo tiempo estar perdiendo progresivamente su capacidad competitiva por no identificar las transformaciones de su entorno?
La respuesta es sí. Y esa brecha justifica explorar nuevas modalidades de aseguramiento.
Diferenciar tres productos, sin confundir sus conclusiones:
Auditoría financiera y de información no financiera: fiabilidad y aseguramiento de la información publicada.
Aseguramiento de riesgos y resiliencia: evaluación independiente de los sistemas de identificación, medición, seguimiento y respuesta ante riesgos relevantes.
Evaluación estratégica y de competencia sistémica: análisis específico de dependencias, exposición geoeconómica, capacidades industriales y escenarios competitivos.
Los tres pueden complementarse, pero no son equivalentes ni deben presentarse como si todos fueran una auditoría legal de cuentas.
Esto permitiría desarrollar una infografía bastante más ambiciosa que la anterior: no solo auditoría e informes no financieros, sino una arquitectura que conecte empresa, stakeholders, financiación, cadena de suministro, competencia internacional, geopolítica y resiliencia.
La infografía integra las cuatro piezas: Auditoría interna, auditoría externa, informes no financieros e inteligencia artificial.
La idea central es que no funcionen como elementos aislados, sino como un sistema de información, aseguramiento y mejora continua que permita a la empresa conocer mejor su situación, anticipar riesgos y reforzar su competitividad y resiliencia.
Un aspecto especialmente importante es incorporar también el entorno geopolítico, geoeconómico y la competencia sistémica: los riesgos de una empresa no terminan en sus propias instalaciones ni en sus estados financieros.
AuditoriaInformesNoFinancieros/Informes de Sostenibilidad
Las tres preguntas que todo comité debería hacer sobre riesgos. | ForoSenar
