Auditoría interna como fuente independiente de certeza para el consejo

La auditoría interna suele confundirse con una función dedicada a verificar comprobantes, revisar inventarios o detectar errores administrativos. Aunque estas actividades pueden formar parte de determinados programas de trabajo, su aportación al gobierno corporativo es considerablemente más amplia. Una función madura proporciona al consejo una perspectiva distinta de aquella que recibe de quienes administran diariamente el negocio: examina procesos, evalúa controles, contrasta políticas con prácticas reales y verifica si los riesgos que la organización afirma administrar están siendo efectivamente atendidos.

Su importancia no deriva de sustituir a la administración, al comisario o al auditor externo, sino de aportar una fuente adicional de información capaz de recorrer transversalmente la empresa y comunicar hallazgos sin depender exclusivamente de la jerarquía operativa.

La necesidad de esta función aumenta conforme crecen la organización, la dispersión geográfica, el volumen de operaciones y la complejidad de los sistemas. El director general puede establecer políticas y recibir reportes, pero difícilmente puede comprobar personalmente cómo se ejecutan cientos de procesos. El consejo se encuentra todavía más alejado de la operación cotidiana. Auditoría interna ayuda a reducir esa distancia. Sin embargo, para hacerlo necesita una condición esencial: suficiente independencia respecto de las personas y procesos que debe evaluar, sin quedar tan aislada de la operación que pierda comprensión del negocio.

Auditoría interna, vigilancia societaria y auditoría externa no son equivalentes

La primera precisión consiste en separar funciones que con frecuencia se utilizan indistintamente. La Ley General de Sociedades Mercantiles (LGSM) contempla, para la sociedad anónima, la vigilancia a cargo de uno o varios comisarios conforme a los artículos 164 y siguientes. Entre sus facultades y obligaciones se encuentran las previstas en el artículo 166, dentro de la estructura de vigilancia establecida por la propia ley.

La auditoría interna es una función organizacional distinta. La LGSM no impone a toda sociedad anónima, con independencia de su tamaño y características, la existencia de un departamento denominado específicamente “auditoría interna”. Tampoco debe confundirse con el auditor externo, cuya función y alcance responden a finalidades diferentes.

Esta distinción es relevante porque una empresa puede contar con estados financieros auditados y conservar deficiencias importantes en procesos operativos, tecnología, compras o cumplimiento. El auditor externo tampoco debe utilizarse como sustituto general de una función interna de aseguramiento cuando la naturaleza y complejidad de la organización justifican esta última.

Cada figura puede aportar elementos distintos. El gobierno mejora cuando las responsabilidades se complementan y no cuando se supone que una sola revisión cubre todos los riesgos.

La independencia comienza con la línea de reporte

Una función de auditoría interna que depende exclusivamente de la persona cuyas actividades debe revisar puede enfrentar dificultades para mantener objetividad. Por ello, las buenas prácticas suelen combinar una línea administrativa necesaria para operar cotidianamente con acceso funcional suficiente al consejo o al órgano intermedio encargado de apoyar en materias de auditoría.

La estructura concreta dependerá del tipo de sociedad. Lo relevante es evitar que la administración pueda impedir unilateralmente que un hallazgo material llegue al órgano responsable de supervisarlo.

El responsable de auditoría debería tener capacidad para comunicarse directamente cuando las circunstancias lo justifiquen. También conviene que existan sesiones periódicas en las que pueda conversar sin presencia de integrantes de la dirección cuya actuación se encuentre bajo revisión.

La auditoría interna pierde buena parte de su utilidad cuando únicamente revisa aquello que la administración desea revisar; su verdadero valor aparece cuando puede examinar precisamente las áreas donde resulta incómodo formular preguntas.

Esto no debe interpretarse como una relación adversarial. Una auditoría interna eficaz necesita colaboración con la administración para comprender procesos y corregir deficiencias. Independencia no significa hostilidad; significa conservar libertad suficiente para comunicar aquello que quizá la administración preferiría no escuchar.

El plan anual debe partir de los riesgos, no de la costumbre

Un programa que revisa exactamente las mismas áreas cada año puede generar una sensación de control mientras nuevos riesgos permanecen fuera de alcance. La planeación debe relacionarse con el mapa de riesgos, cambios estratégicos, resultados de auditorías anteriores y acontecimientos recientes.

Si la empresa realiza una adquisición, implementa un nuevo sistema, entra a otro mercado o modifica sustancialmente su cadena de suministro, el plan puede necesitar ajustes. La periodicidad histórica de las revisiones no debería impedir responder a transformaciones relevantes.

También conviene reservar cierta capacidad para investigaciones o revisiones extraordinarias. Un plan comprometido al cien por ciento desde enero puede dejar a la función sin recursos cuando aparece un asunto inesperado en junio.

El consejo debería conocer las razones por las que determinadas áreas fueron incluidas y, con igual importancia, cuáles quedaron fuera por limitaciones de recursos.

La cobertura importa tanto como los hallazgos

Cuando auditoría interna presenta resultados, la atención suele concentrarse en cuántos hallazgos fueron detectados. Esa cifra aislada puede resultar engañosa.

Diez observaciones menores en un proceso de bajo riesgo pueden ser menos importantes que una sola deficiencia relacionada con pagos, información financiera o continuidad. Del mismo modo, pocos hallazgos pueden significar controles sólidos o una revisión demasiado superficial.

El órgano necesita conocer materialidad, causa, riesgo y efecto potencial. Clasificar hallazgos por gravedad puede ayudar, siempre que los criterios sean consistentes.

También debe conocerse la cobertura. Si auditoría revisó sólo una pequeña parte de un proceso crítico, sus conclusiones deben interpretarse dentro de ese alcance y no generalizarse indebidamente.

La causa raíz es más importante que el error aislado

Una auditoría que identifica que cinco expedientes carecen de determinada autorización puede limitarse a recomendar que se completen. Una función más madura pregunta por qué el control falló.

Tal vez la política sea poco clara, el sistema permita omitir el requisito, exista falta de capacitación o los incentivos premien velocidad sobre cumplimiento. Corregir únicamente los cinco expedientes no evita que aparezcan cincuenta casos similares después.

El análisis de causa raíz transforma auditoría de detector de errores en herramienta de mejora institucional.

Esto también evita una cultura excesivamente punitiva. No toda deficiencia es producto de negligencia individual. Algunos controles están mal diseñados y prácticamente invitan al incumplimiento. La pregunta útil no es solamente quién cometió el error, sino qué permitió que el error ocurriera y permaneciera sin detectar.

La administración debe ser responsable de corregir

Auditoría interna puede identificar y recomendar; la responsabilidad de corregir normalmente corresponde a quienes administran el proceso. Esta separación es esencial para conservar independencia.

Si el auditor diseña el control, lo implementa y posteriormente certifica que funciona, termina revisando su propio trabajo. Puede brindar asesoría, pero deben preservarse responsabilidades claras.

Cada hallazgo debería contar con un responsable y una fecha razonable de atención. Cuando la administración decide aceptar un riesgo en lugar de corregirlo, esa decisión debe corresponder al nivel con facultades suficientes y escalarse cuando la materialidad lo requiera.

El consejo no necesita aprobar cada plan correctivo, pero sí conocer retrasos reiterados y riesgos relevantes que permanezcan abiertos.

Los hallazgos vencidos revelan más que una auditoría nueva

Una de las métricas más útiles consiste en observar cuántos hallazgos materiales permanecen sin corregir después de la fecha comprometida.

Una empresa puede producir numerosos informes y mantener las mismas deficiencias durante años. En ese caso, el problema ya no pertenece exclusivamente al control original; existe una falla de seguimiento y rendición de cuentas.

Los retrasos pueden tener razones legítimas. Implementar un nuevo sistema o modificar un proceso complejo requiere tiempo. Lo importante es distinguir esas situaciones de aquellas en las que los responsables simplemente posponen indefinidamente la solución.

El consejo debería prestar atención particular a hallazgos repetidos. Si una deficiencia aparece nuevamente después de haber sido reportada como corregida, puede indicar que la solución fue superficial o que el seguimiento resultó insuficiente.

Auditoría interna también debe mirar cultura y conducta

No todos los riesgos se encuentran en procedimientos escritos. Determinados patrones culturales pueden debilitar controles aunque formalmente las políticas sean adecuadas.

Presión excesiva por cumplir metas, excepciones frecuentes para ejecutivos poderosos, temor a reportar problemas o normalización de incumplimientos pequeños pueden aparecer durante entrevistas y revisiones.

Auditoría interna debe tratar estas señales con prudencia. La cultura no puede reducirse fácilmente a una calificación, pero los patrones repetidos merecen atención.

La coordinación con recursos humanos, jurídico, cumplimiento y canales de denuncia puede proporcionar una visión más completa, respetando las responsabilidades y confidencialidad correspondientes.

Tecnología y análisis de datos amplían la capacidad de revisión

Las herramientas de análisis permiten revisar poblaciones completas de transacciones y detectar patrones que antes requerían muestreos. Pagos duplicados, operaciones fuera de horario, proveedores con características similares o movimientos inusuales pueden identificarse mediante reglas y modelos.

La inteligencia artificial también puede apoyar clasificación y análisis, pero no elimina la necesidad de criterio profesional. Un patrón estadísticamente inusual no constituye automáticamente una irregularidad.

La propia función de auditoría debe gobernar las herramientas que utiliza, particularmente cuando procesan información confidencial. Automatizar la revisión sin controlar datos y resultados puede introducir nuevos riesgos mientras intenta detectar otros.

La tecnología debe ampliar la capacidad del auditor, no convertir el proceso en una caja negra que nadie puede explicar.

El fraude requiere coordinación y protocolos previos

Cuando auditoría interna identifica indicios de fraude, la respuesta debe encontrarse previamente definida. Continuar una revisión ordinaria puede alterar evidencia o alertar a personas involucradas.

Dependiendo del caso, jurídico, cumplimiento, recursos humanos, especialistas forenses y órganos de gobierno pueden necesitar intervenir. La preservación de documentos y la confidencialidad adquieren especial importancia.

Auditoría interna no debe asumir automáticamente la investigación completa de cualquier fraude. La independencia, capacidades técnicas y posible involucramiento de personas de alta jerarquía pueden justificar una estructura distinta. Lo importante es evitar que cada incidente obligue a inventar desde cero quién debe actuar.

El Código sitúa a auditoría dentro de una estructura más amplia de control

El Código de Principios y Mejores Prácticas de Gobierno Corporativo (Código) concede particular importancia a las funciones de auditoría, control interno, administración de riesgos e información financiera, así como al apoyo que los órganos intermedios pueden proporcionar al consejo.

Esta perspectiva evita considerar auditoría interna como un departamento aislado. Sus hallazgos deben alimentar el sistema de riesgos y las decisiones de supervisión.

El órgano correspondiente debería revisar periódicamente el plan, recursos, independencia y resultados de la función. También puede evaluar la calidad del responsable y si dispone de personal con capacidades suficientes para revisar los riesgos actuales.

Una empresa cuyo modelo depende intensamente de tecnología no puede esperar una auditoría adecuada si la función carece completamente de conocimientos tecnológicos y nunca obtiene apoyo especializado.

El responsable de auditoría también debe ser evaluado

La independencia no significa ausencia de rendición de cuentas. El responsable debe ser evaluado por calidad del trabajo, criterio, cobertura, comunicación y capacidad para identificar asuntos materiales.

Una función que produce informes técnicamente impecables pero incomprensibles para el consejo tiene una limitación importante. Los hallazgos deben expresarse en términos de riesgo y efecto empresarial.

El consejo no necesita que auditoría interna le confirme que existen controles; necesita saber si funcionan, dónde están fallando y qué riesgos permanecen después de corregir las deficiencias identificadas.

También debe evitarse medir desempeño por número de observaciones. Ese incentivo puede fomentar hallazgos irrelevantes simplemente para demostrar actividad.

El éxito puede consistir precisamente en que determinadas áreas mejoren y generen menos deficiencias porque el sistema de control se fortaleció.

La administración no debería temer a una auditoría eficaz

Una relación madura entre administración y auditoría no se basa en ocultar problemas. Los buenos ejecutivos pueden utilizar la función para obtener visibilidad sobre áreas que ellos mismos no pueden observar directamente.

Esto requiere abandonar la idea de que cada hallazgo constituye una acusación contra el responsable del proceso. Los controles fallan y los procesos necesitan mejorar. La diferencia está en cómo se responde.

La dirección que intenta reducir la gravedad de cada observación o presiona para modificar conclusiones puede estar enviando al consejo una señal más importante que el propio hallazgo.

Una organización con controles fuertes no es aquella donde auditoría nunca encuentra problemas, sino aquella donde los problemas identificados pueden discutirse sin que la primera reacción sea ocultarlos.

El consejo necesita información, no tranquilidad

La auditoría interna alcanza su mayor valor cuando permite al órgano conocer la realidad operativa sin obligarlo a convertirse en administrador. Proporciona una ventana hacia procesos que el consejo no puede observar directamente y una comprobación independiente de afirmaciones realizadas por la dirección.

Su objetivo no consiste en garantizar que ningún fraude, error o incumplimiento ocurrirá. Ningún sistema puede ofrecer esa certeza. Debe proporcionar un nivel razonable de confianza sobre el funcionamiento de controles y advertir oportunamente cuando esa confianza ya no está justificada.

Por ello, el consejo debería desconfiar de reportes permanentemente perfectos tanto como de organizaciones permanentemente caóticas. En una empresa compleja siempre existen oportunidades de mejora.

La pregunta decisiva no es “¿cuántas auditorías realizamos este año?”, sino una más sustantiva: “¿qué aprendimos sobre nuestros riesgos y qué cambió como consecuencia de ese aprendizaje?”

Cuando los informes producen correcciones, mejoran procesos y elevan oportunamente los asuntos materiales, auditoría interna se convierte en una verdadera herramienta de gobierno. Cuando únicamente genera documentos que se archivan después de cada presentación, puede existir una función formalmente establecida, pero su contribución será limitada.

El consejo no necesita ojos que miren todo; necesita ojos capaces de mirar donde importa, informar lo que encuentran y volver después para comprobar que aquello que debía cambiar efectivamente cambió.