Auditoría interna: independencia para mirar donde la administración no siempre alcanza

La auditoría interna ocupa una posición singular dentro de la estructura de gobierno corporativo. Forma parte de la organización y necesita conocer profundamente sus operaciones, pero simultáneamente debe conservar suficiente objetividad para evaluar procesos, controles y riesgos administrados por las mismas personas con quienes trabaja cotidianamente. Esta aparente contradicción explica por qué su diseño institucional resulta tan importante. Una función técnicamente competente puede perder buena parte de su utilidad si carece de acceso a información, si sus prioridades son determinadas exclusivamente por quienes serán auditados o si sus hallazgos pueden modificarse antes de llegar a quienes ejercen funciones de supervisión. Del mismo modo, una auditoría completamente desconectada de la operación puede producir observaciones técnicamente correctas, pero incapaces de comprender la realidad empresarial que pretende evaluar.

Su finalidad tampoco debería reducirse a descubrir errores. Una función madura proporciona aseguramiento sobre la manera en que se administran determinados riesgos y ayuda a identificar debilidades antes de que produzcan consecuencias materiales. Esto exige superar el modelo donde cada año se revisan las mismas áreas siguiendo calendarios históricos. El universo auditable debe evolucionar con la estrategia, los sistemas, las adquisiciones, los riesgos y las transformaciones de la empresa. Auditoría interna pierde relevancia cuando examina perfectamente aquello que dejó de ser importante mientras los nuevos riesgos permanecen fuera de su programa de trabajo.

La independencia comienza con la estructura de reporte

Una de las decisiones más importantes consiste en determinar a quién reporta el responsable de auditoría interna. La función necesita coordinación administrativa para presupuesto, personal y operación cotidiana; sin embargo, su capacidad para comunicar asuntos relevantes no debería depender exclusivamente de la dirección que se encuentra sujeta a revisión.

Cuando la estructura de gobierno lo permita, el consejo o el órgano intermedio competente debe mantener una relación directa con auditoría interna. Esto puede comprender participación en la aprobación de su plan, conocimiento de cambios relevantes en recursos y acceso directo a sus conclusiones. El propósito no es administrar diariamente la función, sino impedir que una cuestión material pueda ser detenida antes de llegar al nivel que debe conocerla.

Independencia no significa ausencia de colaboración

Auditoría interna necesita conversar permanentemente con la administración. Debe comprender procesos, cambios tecnológicos, objetivos estratégicos y dificultades operativas. Una función que pretende demostrar independencia mediante distancia absoluta puede terminar trabajando con información incompleta y generando recomendaciones poco realistas.

La diferencia se encuentra en conservar independencia de juicio. La administración puede explicar por qué discrepa de un hallazgo y aportar información adicional; incluso puede demostrar que una conclusión inicial era incorrecta. Lo que no debería ocurrir es que la persona auditada tenga capacidad para eliminar una observación simplemente porque considera inconveniente que sea conocida por el órgano de supervisión.

El plan debe construirse a partir de riesgos

Un programa anual que asigna auditorías siguiendo únicamente una rotación predeterminada puede proporcionar cobertura, pero no necesariamente relevancia. El plan debería considerar riesgos financieros, operativos, tecnológicos, regulatorios y estratégicos, así como cambios importantes ocurridos durante el ejercicio.

La auditoría interna agrega valor cuando no se limita a comprobar que los procedimientos existen, sino que determina si los controles funcionan y si los riesgos verdaderamente importantes están siendo administrados.

Esto exige flexibilidad. Un riesgo que parecía secundario al comenzar el año puede adquirir importancia después de una adquisición, incidente tecnológico o modificación del entorno. Auditoría interna debe poder reasignar recursos cuando las circunstancias lo justifiquen. El consejo o comité correspondiente debería comprender los cambios materiales realizados al plan y las razones que los explican.

El universo auditable no puede permanecer estático

Conforme la organización incorpora nuevos sistemas, negocios y proveedores, aparecen procesos que quizá no existían cuando se diseñó originalmente la función. Las plataformas tecnológicas, servicios tercerizados, manejo de información, comercio electrónico o utilización de inteligencia artificial pueden crear exposiciones que no encajan perfectamente dentro de categorías tradicionales.

El inventario de áreas auditables debe revisarse periódicamente para incorporar estas transformaciones. De lo contrario, la función puede continuar asignando recursos conforme a la estructura organizacional histórica mientras los riesgos se desplazan hacia ecosistemas tecnológicos, proveedores externos y procesos transversales que nadie examina integralmente.

La materialidad no debe medirse únicamente en dinero

Una auditoría basada exclusivamente en montos puede dejar fuera asuntos con impacto reputacional, jurídico o estratégico. Determinados procesos manejan cantidades relativamente pequeñas y, sin embargo, concentran información sensible o pueden generar consecuencias relevantes frente a clientes y autoridades.

La selección de trabajos debe considerar impacto financiero y cualitativo. También debe observar velocidad: algunas exposiciones pueden materializarse tan rápidamente que una revisión anual resulta insuficiente. La materialidad, por tanto, debe entenderse como la capacidad de un asunto para modificar significativamente la situación de la empresa y no únicamente como una cantidad monetaria.

Un hallazgo debe explicar el riesgo, no solamente el incumplimiento

Los informes pierden utilidad cuando se limitan a señalar que determinado procedimiento no fue seguido. El lector necesita comprender por qué importa. Una observación debería explicar la condición encontrada, el criterio aplicable, la causa razonablemente identificada y, especialmente, la consecuencia o riesgo que puede producir.

Esta estructura ayuda a priorizar. No todos los incumplimientos formales justifican la misma atención. Si el informe permite comprender la exposición, la administración puede concentrar recursos donde verdaderamente se necesitan y el consejo puede distinguir entre cuestiones operativas ordinarias y debilidades que requieren seguimiento superior.

La causa raíz evita corregir únicamente el síntoma

Cuando un mismo problema aparece repetidamente, probablemente la acción correctiva anterior atendió su manifestación y no su origen. Una conciliación atrasada puede deberse a falta de personal, sistemas deficientes, responsabilidades confusas o una cultura donde la actividad no recibe prioridad. Exigir simplemente que “se realice oportunamente” puede no resolver ninguna de esas causas.

Auditoría interna debe profundizar razonablemente en los factores que originaron la deficiencia. No siempre podrá determinar una causa única, pero sí puede ayudar a evitar planes de acción superficiales. Una corrección sostenible modifica aquello que produjo el problema, no solamente aquello que el auditor encontró.

Las recomendaciones deben respetar la responsabilidad administrativa

Auditoría puede sugerir alternativas, pero corresponde a la administración diseñar e implementar buena parte de las acciones correctivas. Cuando el auditor prescribe cada detalle, corre el riesgo de terminar evaluando posteriormente un control que él mismo diseñó, comprometiendo su objetividad.

La función debe conservar suficiente separación entre asesorar y decidir. Puede compartir conocimiento y mejores prácticas, particularmente en proyectos nuevos, pero la propiedad del proceso y de sus controles debe permanecer claramente asignada. El valor de auditoría consiste en evaluar y aportar perspectiva, no en convertirse en administrador indirecto de las áreas revisadas.

El seguimiento de hallazgos es tan importante como detectarlos

Un informe puede estar técnicamente impecable y no producir ningún cambio si las acciones correctivas permanecen abiertas indefinidamente. Por ello, debe existir un mecanismo para registrar responsables, fechas y avance, distinguiendo los asuntos conforme a su importancia.

El consejo o comité no necesita conocer cada observación menor. Sí debería recibir información sobre hallazgos relevantes, vencidos, recurrentes o cuya corrección haya sido rechazada. Cuando la administración decide aceptar conscientemente un riesgo material en lugar de corregirlo, esa decisión debe llegar al nivel competente conforme a los parámetros establecidos.

La aceptación del riesgo debe ser explícita

No todos los hallazgos requieren necesariamente una inversión para corregirse. Puede ocurrir que el costo de un control sea desproporcionado respecto de la exposición o que exista una decisión empresarial legítima para asumir determinado riesgo. Lo importante es que esa aceptación sea realizada por quien posee autoridad suficiente y con conocimiento razonable de sus consecuencias.

La independencia de auditoría interna no consiste en aislarla de la administración, sino en asegurar que pueda revisar, concluir y comunicar sin que quienes son evaluados controlen aquello que puede decir.

Cerrar administrativamente una observación porque ha transcurrido demasiado tiempo no equivale a aceptar conscientemente el riesgo. La trazabilidad debe permitir conocer qué se decidió y por qué. Este principio evita que los asuntos desaparezcan del reporte simplemente para mejorar estadísticas de cumplimiento.

La relación con auditoría externa debe evitar duplicidades

Auditoría interna y auditoría externa tienen objetivos distintos, aunque determinadas áreas de trabajo pueden coincidir. Una coordinación adecuada puede reducir esfuerzos duplicados y permitir que cada función conozca asuntos relevantes identificados por la otra, respetando sus responsabilidades y estándares profesionales.

El consejo debe comprender esas diferencias. La auditoría externa no sustituye la función interna y auditoría interna tampoco emite por ese solo hecho la opinión independiente que corresponde al auditor externo dentro de su encargo. Confundir ambas funciones puede producir vacíos precisamente porque cada una supone que la otra examinó determinada materia.

El fraude requiere canales directos de escalamiento

Auditoría interna puede desempeñar un papel relevante en investigaciones o en la evaluación de controles antifraude, según la estructura adoptada. Cuando una denuncia involucra a miembros de la alta dirección, la ruta ordinaria de reporte puede resultar insuficiente. Deben existir mecanismos para comunicar directamente el asunto al órgano competente.

La investigación requiere además especial cuidado respecto de confidencialidad, preservación de evidencia y participación jurídica. Auditoría no necesariamente debe conducir todos los casos. Su papel dependerá de capacidades y circunstancias, pero el sistema debe evitar que una denuncia grave sea investigada exclusivamente por personas que puedan tener interés en su resultado.

La tecnología transforma también la propia auditoría

El análisis de datos permite revisar poblaciones completas de transacciones en lugar de depender exclusivamente de muestras. Operaciones duplicadas, usuarios inusuales, modificaciones fuera de horario o patrones atípicos pueden identificarse mediante herramientas automatizadas. Esto amplía considerablemente la capacidad de la función.

Sin embargo, utilizar tecnología no elimina la necesidad de juicio. Una anomalía no es necesariamente un fraude y una transacción aparentemente normal puede contener problemas que ningún algoritmo detecta. La tecnología debe aumentar cobertura y capacidad analítica sin sustituir el entendimiento del negocio.

La inteligencia artificial exige controles dentro de auditoría

Las herramientas de inteligencia artificial pueden ayudar a resumir documentos, analizar información y detectar patrones, pero su utilización por auditoría interna requiere particular cuidado. La función puede manejar información altamente confidencial, investigaciones y datos personales o estratégicos que no deberían introducirse indiscriminadamente en plataformas externas.

También deben revisarse las conclusiones generadas. Un sistema puede identificar correlaciones o producir explicaciones plausibles que no correspondan con la evidencia. La responsabilidad profesional permanece en las personas que realizan el trabajo. Automatizar parte del análisis no automatiza el juicio ni transfiere la responsabilidad por la conclusión.

La calidad de la función también debe evaluarse

Una auditoría interna que evalúa permanentemente a los demás debería someter periódicamente su propia metodología, capacidades y resultados a revisión. Esto puede comprender indicadores sobre ejecución del plan, oportunidad de informes, recurrencia de hallazgos, competencias del equipo y percepción de los órganos que utilizan su trabajo.

La evaluación no debe premiar simplemente la cantidad de observaciones emitidas. Un auditor incentivado por número de hallazgos puede terminar fragmentando problemas para producir estadísticas. El valor debe medirse por la relevancia del aseguramiento proporcionado y por su capacidad para contribuir a mejorar la administración de riesgos y controles.

La LGSM y la función de vigilancia

La Ley General de Sociedades Mercantiles (LGSM) regula la administración y vigilancia de las sociedades conforme al tipo social. En la sociedad anónima, los artículos 164 y siguientes establecen la figura de los comisarios y sus facultades y obligaciones de vigilancia, mientras que el artículo 166 contiene atribuciones específicas que incluyen, entre otras, obtener información y examinar operaciones, documentación, registros y demás evidencias en los términos previstos por la propia ley.

Debe evitarse, sin embargo, equiparar automáticamente al comisario con auditoría interna. Son figuras distintas. El comisario ejerce una función societaria de vigilancia prevista legalmente; auditoría interna constituye una función organizacional de aseguramiento y evaluación cuya estructura dependerá de las características y régimen de la sociedad. Ambas pueden interactuar, pero una no sustituye jurídicamente a la otra.

La LMV configura una estructura distinta cuando resulta aplicable

La Ley del Mercado de Valores (LMV) establece para las sociedades comprendidas en sus respectivos regímenes una arquitectura específica de administración y vigilancia. En las sociedades anónimas bursátiles, las funciones de vigilancia se desarrollan mediante el consejo de administración y los comités que ejercen las actividades de auditoría y prácticas societarias en los términos establecidos por la propia LMV.

Dentro de ese régimen, la función de auditoría interna adquiere relevancia como elemento del sistema de supervisión y control. Las competencias concretas del consejo, comités y directivos deben determinarse directamente conforme a la LMV. Estas reglas no deben trasladarse automáticamente a sociedades sujetas exclusivamente al régimen ordinario de la LGSM.

El Código y la función de auditoría

El Código de Principios y Mejores Prácticas de Gobierno Corporativo (Código) contiene recomendaciones particularmente aplicables a la función de auditoría, incluyendo la conveniencia de que el órgano intermedio correspondiente apoye al consejo en la evaluación de los sistemas de control interno, la coordinación de las funciones de auditoría y la revisión de aspectos relevantes de información financiera.

El Código también permite comprender por qué la independencia y comunicación directa resultan esenciales. Una función de auditoría útil para el gobierno corporativo debe contar con condiciones suficientes para realizar su trabajo objetivamente y elevar asuntos materiales al nivel adecuado. La estructura concreta deberá guardar proporción con tamaño, complejidad y riesgos de la sociedad.

El comité debe preguntar qué no se está auditando

Revisar el plan anual no debería limitarse a aprobar una lista de trabajos. Una pregunta especialmente valiosa consiste en identificar qué áreas relevantes quedan fuera y por qué. Los recursos siempre serán limitados; por ello, cualquier plan contiene decisiones implícitas sobre riesgos que no recibirán revisión durante el periodo.

Comprender esas exclusiones permite al órgano de supervisión evaluar si acepta razonablemente la cobertura. También evita una falsa sensación de seguridad derivada de observar muchas auditorías realizadas sin preguntarse si estaban dirigidas hacia las exposiciones más importantes.

La verdadera independencia se prueba frente a un hallazgo incómodo

Resulta sencillo defender la independencia de auditoría mientras sus observaciones se concentran en procesos operativos menores. La prueba aparece cuando identifica una deficiencia relacionada con un ejecutivo poderoso, una operación estratégica o una práctica que durante años había sido considerada normal. En ese momento se conoce si la estructura realmente protege su capacidad para comunicar.

El consejo y los órganos intermedios deben construir esa protección antes de necesitarla. Esperar hasta que exista un conflicto para determinar cómo puede el auditor acceder al órgano de supervisión significa haber diseñado tarde el mecanismo.

Auditoría interna no existe para crear una empresa donde nunca ocurran errores. Su aportación consiste en proporcionar una perspectiva suficientemente independiente sobre si los principales riesgos y controles están siendo administrados como la organización cree. Esa diferencia entre lo que se supone que ocurre y aquello que efectivamente sucede constituye uno de los espacios donde mayor valor puede generar.

Una función de auditoría interna madura no mide su éxito por la cantidad de hallazgos que produce, sino por la confianza razonable que permite construir alrededor de los procesos que examina y por su capacidad para hacer visibles, oportunamente, aquellas debilidades que la familiaridad cotidiana puede haber convertido en normales.