ISSA 5000 con IA: cómo verificar un reporte de sostenibilidad sin improvisar el encargo

TL;DR: La ISSA 5000 es la norma global de aseguramiento de sostenibilidad emitida por el IAASB: aprobada en septiembre de 2024, publicada en noviembre de 2024 y efectiva para periodos que empiezan en o después del 15 de diciembre de 2026. Es agnóstica de profesión y de marco: sirve para encargos de seguridad razonable o limitada sobre información de sostenibilidad preparada bajo cualquier marco adecuado, y exige cumplir el código de ética del IESBA y pertenecer a una firma que aplique la ISQM 1 o requerimientos igual de exigentes. En Colombia todavía no está incorporada al marco técnico normativo. Con IA usted construye la matriz de criterios, mapea los riesgos de incorrección material, recalcula inventarios de emisiones, cruza el reporte contra los estados financieros y redacta el informe; no puede delegar el alcance, la suficiencia de la evidencia ni la conclusión.

Escribo este artículo porque la conversación sobre la ISSA 5000 llegó a Colombia por el lado equivocado. Casi todo lo que circula explica qué dice la norma; nadie explica cómo se ejecuta el encargo con los recursos que usted tiene: un equipo pequeño, un cliente que entrega hojas de cálculo y un reporte lleno de afirmaciones que alguien tiene que probar.

Mi posición es directa: este mercado va a repartirse entre quienes lleguen con método y quienes lleguen con improvisación. La inteligencia artificial no le da el método, pero sí le quita de encima la estructuración, la lectura y el cálculo que hoy le impiden competir por estos encargos.

¿Qué es la ISSA 5000 y por qué es importante?

Definición citable: la ISSA 5000 —International Standard on Sustainability Assurance 5000, General Requirements for Sustainability Assurance Engagements— es la norma internacional de aseguramiento de sostenibilidad que establece los requisitos de los encargos de seguridad limitada y razonable sobre información de sostenibilidad reportada por entidades de cualquier tamaño, preparada bajo cualquier marco adecuado y ejecutada por cualquier profesional del aseguramiento que cumpla los requerimientos de ética y de gestión de calidad que la norma exige.

Tres rasgos de esa definición cambian la práctica:

• Es un marco de referencia único para un campo fragmentado. Hasta ahora estos encargos se ejecutaban con la ISAE 3000 (Revisada) y la ISAE 3410. En las jurisdicciones que adoptan las normas internacionales de auditoría y aseguramiento, esas dos dejan de aplicarse a los encargos de sostenibilidad cuando la nueva norma entra a regir. Un solo estándar global significa comparabilidad entre informes de sostenibilidad y un piso común de calidad.
• Es agnóstica de profesión. Fue diseñada para ser usada tanto por contadores públicos como por profesionales del aseguramiento que no son contadores: usted va a competir con certificadores, ingenieros ambientales y verificadores acreditados, y su ventaja no es el título, es la metodología de evidencia.
• Es agnóstica de marco. Sirva el reporte para el ISSB, para el GRI —Global Reporting Initiative— o para un requerimiento regulatorio local, la norma aplica. Exige que existan criterios adecuados; no dice cuáles.

Por qué importa: convierte la información sobre sostenibilidad en información sujeta a verificación profesional con reglas escritas. Eso es lo que hace confiable un indicador ASG: que alguien independiente lo haya podido reconstruir. Ahí está el aporte a la transparencia corporativa, y la razón por la cual los reguladores y los inversionistas la esperaban.

¿Cuándo entra en vigencia la ISSA 5000 y qué rige en Colombia?

Las fechas, verificadas en la fuente. El IAASB —International Auditing and Assurance Standards Board, consejo de normas presidido por Tom Seidenstein— aprobó la norma en septiembre de 2024 y publicó el texto final en noviembre de ese año. Es efectiva para periodos que comienzan en o después del 15 de diciembre de 2026, y su adopción anticipada está permitida y recomendada. Puede consultar el texto en la publicación oficial de la norma internacional de aseguramiento de sostenibilidad emitida por el IAASB.

En paralelo, el IESBA emitió las normas internacionales de ética para el aseguramiento de la sostenibilidad, que incluyen normas de independencia y también rigen para periodos que inician en o después del 15 de diciembre de 2026, con una excepción diferida: las disposiciones de independencia sobre el trabajo en componentes de la cadena de valor aplican desde el 1 de julio de 2028. El anuncio conjunto de ambos consejos está en la presentación de las nuevas normas de reporte y aseguramiento en sostenibilidad.

¿Y Colombia? Aquí está el dato que casi nadie da con precisión. A septiembre de 2026 la ISSA 5000 no forma parte del marco técnico normativo de aseguramiento de la información que rige en el país. El proyecto de decreto que tramita el Ministerio de Comercio, Industria y Turismo para actualizar el anexo técnico compilatorio recoge enmiendas y normas del IAASB y del IESBA del periodo 2019-2021, y por lo tanto no incorpora una norma de 2024. Puede seguir el trámite en el proyecto de decreto de normas de aseguramiento del MinCIT, y verifíquelo el día en que lo necesite: el calendario se mueve.

La consecuencia práctica es la contraria a ignorar la norma. La demanda de estos encargos no llega por decreto, llega por cadena de valor: exportadores, filiales de multinacionales y empresas con financiación internacional ya demandan información verificada y se la exigen a quien les vende, conforme a las normas del IAASB.

¿Cuáles son los objetivos y los requisitos clave de la ISSA 5000?

El objetivo es el de la auditoría financiera trasladado a otro objeto: la obtención de evidencia suficiente y apropiada sobre si la información sobre sostenibilidad está libre de incorrección material conforme a los criterios aplicables, y una conclusión útil para los usuarios previstos. Cambian los requisitos que lo hacen posible.

Ética y gestión de calidad: el requisito que deja a muchos por fuera

Este es el punto que más subestiman los recién llegados. La norma exige que todo profesional cumpla el código de ética del IESBA y que sea miembro de una firma que aplique la ISQM 1 —la norma internacional de gestión de la calidad— o que siga requerimientos de ética y de gestión de calidad al menos tan exigentes. No es buena práctica: es condición de admisión al encargo. Si su firma todavía no tiene sistema de gestión de calidad, esa es la primera tarea y no la última; el camino está en el artículo sobre la gestión de calidad en firmas de auditoría con IA.

Materialidad, y por qué no es la materialidad que usted usa

La norma distingue la materialidad de la entidad —el proceso con el que la empresa decide qué temas reporta— de la materialidad del profesional del aseguramiento, que es la que usa para planear y concluir. Confundirlas arruina el encargo: el proceso de determinación de temas materiales del cliente es un objeto de evaluación, no su umbral de trabajo. La norma describe además el concepto de doble materialidad —financiera y de impacto— con un ejemplo, y exige considerarla cuando el marco aplicable lo requiere. El propio emisor publicó en junio de 2026 preguntas frecuentes sobre la aplicación de la materialidad, señal de que es donde más se está fallando.

Cadena de valor: el problema que nadie ha resuelto

Las emisiones de alcance 3, los estándares laborales de los proveedores y el origen de los materiales viven fuera del perímetro de control del cliente. La norma asume que la entidad conoce su cadena de valor, y esa es la parte más difícil de sostener con evidencia. Mi recomendación: trátela como un asunto de alcance, no de esfuerzo. Lo que no pueda soportar, exclúyalo por escrito y describa claramente el alcance del encargo en el informe.

¿Qué diferencia hay entre el aseguramiento limitado y el razonable?

Es la primera decisión técnica y comercial del encargo, y la que más se toma a la ligera. Un encargo de aseguramiento limitado no es un encargo razonable con descuento: es un tipo de conclusión distinta, con otra extensión de procedimientos y otra redacción del informe.

Una advertencia sobre el aseguramiento limitado: menor extensión no significa menor escepticismo. El profesional debe evaluar los riesgos igual, y si una indagación deja una duda razonable, tiene que ampliar el procedimiento o modificar la conclusión. La conclusión negativa protege el alcance, no la negligencia.

¿A qué marcos de sostenibilidad se aplica y cómo se conecta con la CSRD?

La norma aplica sobre información preparada bajo cualquier marco adecuado. En la práctica verá tres familias: los estándares del ISSB, referencia global para la información financiera relacionada con sostenibilidad; el GRI, dominante en reportes de impacto en la región; y los requerimientos regulatorios locales. El artículo sobre cómo preparar el reporte de sostenibilidad bajo los estándares del ISSB con IA cubre el lado del preparador; este cubre el de quien verifica, y conviene no mezclar los dos papeles.

Sobre la CSRD —la directiva europea de reporte de sostenibilidad corporativo— el punto es de arquitectura, no de adopción. La directiva exige aseguramiento de la información reportada, pero cada Estado miembro define con qué estándar se presta ese servicio. La ISSA 5000 fue construida para poder servir como ese estándar, y eso explica por qué un exportador que le vende a una compañía sujeta a la CSRD recibe requerimientos de información verificada: la exigencia baja por la cadena de suministro aunque la directiva no le aplique. Si alguien le dice que la directiva «obliga a usar la ISSA 5000», pídale la norma exacta: depende de la jurisdicción.

¿Cómo uso la IA para dominar los criterios del marco antes de firmar?

No se puede asegurar contra criterios que no se dominan, y los marcos son extensos y nuevos para casi todos. Aquí la IA compra tiempo real: convertir cientos de páginas de requerimientos en una matriz de criterios utilizable como papel de trabajo.

Actúa como especialista en encargos de aseguramiento de sostenibilidad bajo
ISSA 5000.

Contexto: marco de reporte [estándares del ISSB / GRI / marco local], alcance
propuesto [reporte completo / indicadores específicos], nivel de seguridad
[limitada / razonable] y periodo [fechas].

Construye la matriz de criterios que usaré como papel de trabajo, con estas
columnas: requerimiento del marco | qué exige revelar | tipo de información
(cualitativa, métrica cuantitativa, estimación prospectiva) | evidencia típica
que la soporta | procedimiento de aseguramiento que propongo.

Además:
1. Marca los requerimientos que involucran estimaciones o información
   prospectiva (escenarios climáticos, metas), porque concentran el riesgo.
2. Señala dónde el marco exige conectar la información de sostenibilidad con
   los estados financieros: son procedimientos obligados de coherencia.
3. Indica qué requerimientos quedan fuera si delimito el alcance como propongo,
   para redactarlo explícitamente en la carta de encargo.

Cierra con la lista de puntos que debo verificar contra el texto oficial
vigente del marco antes de usar la matriz. No quiero depender de tu memoria
para requerimientos normativos.

La última instrucción es innegociable: los modelos reconstruyen requerimientos con una fluidez que se parece demasiado a la certeza, y aquí los textos cambian cada año. La IA estructura; el texto oficial manda. Si quiere el inventario completo de lo que puede salir mal en este uso, está en el artículo sobre los riesgos de la inteligencia artificial para contadores.

¿Cómo identifico los riesgos de incorrección material y el greenwashing con IA?

En sostenibilidad, el equivalente del riesgo de fraude tiene nombre propio: greenwashing, presentar la información de manera que la entidad parezca más sostenible de lo que es. Tiene direcciones predecibles: exagerar logros, omitir impactos negativos, redefinir indicadores y prometer futuros verdes sin planes verificables. Aquí el sesgo no infla utilidades, infla virtudes, y sus pruebas tienen que apuntar en esa dirección.

Evalúo los riesgos de incorrección material en la información sobre
sostenibilidad de un cliente que reporta bajo [marco].

Datos del cliente: sector, operaciones y geografías; presiones conocidas
[financiación atada a indicadores ESG, licitaciones que exigen certificaciones,
metas públicas de descarbonización, exigencias de clientes en Europa]; y
madurez de datos [sistemas, hojas de cálculo, controles existentes].

1. Identifica los riesgos de incorrección por área: emisiones de gases de
   efecto invernadero (alcances 1, 2 y 3), agua y energía, métricas sociales y
   laborales, gobernanza, y revelaciones prospectivas.
2. Para cada riesgo indica la DIRECCIÓN probable del sesgo: qué le conviene
   exagerar u omitir a esta entidad, y qué señales de greenwashing son típicas
   de esta industria.
3. Marca los riesgos que dependen de terceros (proveedores del alcance 3,
   certificadores): requieren estrategia especial de evidencia o exclusión.
4. Propón la respuesta de aseguramiento para cada riesgo según mi nivel de
   seguridad [limitada / razonable], distinguiendo indagación, procedimiento
   analítico y prueba de detalle.
5. Entrégalo como tabla de valoración de riesgos, con una columna de
   referencia al papel de trabajo donde responderé cada uno.

La lógica de fondo es la misma de un encargo financiero, con criterios nuevos; el artículo de planeación de auditoría con inteligencia artificial tiene el esqueleto del proceso. Lo que cambia es la fuente del incentivo: el sesgo suele venir de compromisos públicos que alguien tiene que sostener ante un inversionista o ante un regulador.

¿Cómo verifico los indicadores cuantitativos de un inventario de emisiones?

Verificar un indicador de emisiones se parece mucho a auditar una cifra: entender el proceso de cálculo, probar los datos de entrada, recalcular y evaluar las estimaciones. La IA le resuelve el recálculo en minutos, y ahí está la trampa: el recálculo perfecto de datos incompletos produce una conclusión perfectamente equivocada.

Verifico el inventario de emisiones de gases de efecto invernadero de mi
cliente. Le entrego: metodología declarada [péguela], datos de actividad
[fuente, unidad, periodo, valor], factores de emisión con su fuente y año
[péguelos] y cifras reportadas por alcance [péguelas].

1. Genera un script de Python que recalcule las emisiones por fuente y por
   alcance a partir de los datos de actividad y los factores declarados, y
   compare contra las cifras reportadas mostrando la diferencia absoluta y
   relativa por línea.
2. Lista las verificaciones de INSUMOS que el recálculo no cubre: integridad
   de los datos de actividad contra registros contables (facturas de energía y
   combustibles), vigencia de los factores, consistencia de los límites
   organizacionales y tratamiento de los cambios de año base.
3. Si el alcance 3 se estima a partir de gasto, plantea el análisis de
   sensibilidad ante variaciones de los supuestos.
4. Propón los umbrales de diferencia que ameritan investigación y explícame
   con qué criterio los propusiste.

El punto 2 es el que separa un encargo serio de un ejercicio de hoja de cálculo. La integridad de los datos de actividad se prueba contra registros externos al sistema de sostenibilidad, y el registro externo por excelencia es la contabilidad: los consumos que se pagan son los consumos que se emiten. Esa es la ventaja competitiva de los contadores públicos en este mercado.

El segundo procedimiento que nunca omito es el cruce con los estados financieros: la forma más documentable de detectar maquillaje.

Ejecuto el procedimiento de coherencia entre el reporte de sostenibilidad y
los estados financieros auditados del mismo periodo.

Te comparto: [secciones relevantes del reporte] y [notas y cifras pertinentes
de los estados financieros].

Busca incoherencias en tres niveles:
1. Numéricas: cifras que aparecen en ambos documentos y no coinciden
   (inversiones ambientales, provisiones por remediación, número de empleados,
   consumos energéticos, multas y sanciones).
2. De supuestos: el reporte describe riesgos climáticos severos sobre ciertos
   activos, pero los estados financieros no reflejan efectos en deterioro,
   vidas útiles o provisiones; o el caso inverso.
3. Narrativas: compromisos afirmados en un documento que el otro contradice,
   matiza u omite.

Presenta cada incoherencia con la referencia exacta de ambos documentos, su
posible explicación legítima y el procedimiento que debería ejecutar para
resolverla. No concluyas por mí.

Es un procedimiento analítico en toda regla y se documenta como tal; las técnicas están en el artículo de procedimientos analíticos de auditoría con IA.

¿Cómo evalúo la información narrativa y prospectiva?

La mitad de un reporte de sostenibilidad no son cifras: son afirmaciones. La parte más expuesta son las metas a 2030 o a 2050, que no se pueden verificar contra un hecho ocurrido. Lo que sí se verifica es si hay un plan, si tiene recursos asignados y si los supuestos son razonables: el tratamiento de una estimación, con las herramientas del artículo sobre auditoría de estimaciones contables con IA.

Analiza este capítulo del reporte de sostenibilidad de mi cliente: [péguelo].

Actúa como profesional del aseguramiento, no como redactor.

1. Clasifica cada afirmación en tres categorías: hecho verificable (indica la
   evidencia que pediría), estimación o meta prospectiva (supuestos que la
   sostienen y evidencia de plan y recursos), y lenguaje aspiracional sin
   contenido verificable.
2. Marca las afirmaciones absolutas o superlativas ("líderes en", "cero
   impacto", "100% sostenible", "carbono neutro") que exigen soporte
   proporcional a su contundencia, y di qué soporte sería suficiente.
3. Evalúa el balance del capítulo: ¿omite impactos negativos que el marco
   exige revelar o que son notorios en la industria?
4. Detecta cambios de definición o de perímetro frente al periodo anterior que
   afecten la comparabilidad: [pega el capítulo del año anterior].

Entrégame la lista de afirmaciones que, si el cliente no soporta con
evidencia, deberá matizar o retirar antes de mi conclusión.

El punto 4 es el que más hallazgos produce: cambiar el perímetro de consolidación o la definición de un indicador sin revelarlo convierte un dato malo en una tendencia excelente.

¿Cómo redacto la conclusión y el informe de aseguramiento?

El informe es donde un error de redacción borra meses de trabajo correcto. Los dos defectos más frecuentes: la descripción vaga del alcance —que hace creer al lector que se aseguró el reporte completo— y la conclusión con forma equivocada para el nivel de seguridad contratado.

Redacta el borrador del informe de aseguramiento [limitado / razonable] sobre
información de sostenibilidad conforme a la ISSA 5000, con estos datos:
entidad y periodo, información asegurada y alcance exacto incluyendo lo
excluido, marco de criterios aplicado, resumen de procedimientos ejecutados,
hallazgos no resueltos y uso de expertos [complételos].

Cuida especialmente:
1. La descripción del alcance: el lector debe distinguir sin ambigüedad qué
   información cubrí y cuál NO.
2. La forma de la conclusión según el nivel de seguridad: negativa para
   limitada, positiva para razonable. No mezcles las dos redacciones.
3. Las responsabilidades de la dirección y las mías, la referencia a los
   requerimientos de ética y al sistema de gestión de calidad, y la
   identificación de los criterios y de los usuarios previstos.

Marca el documento como BORRADOR PENDIENTE DE REVISIÓN y lista aparte los
puntos que dependen de decisiones que solo yo puedo tomar, incluida la
evaluación de la suficiencia de la evidencia obtenida.

Nunca deje que el modelo decida el tipo de conclusión. Escríbala usted y use la IA para verificar que la redacción sea consistente con el alcance descrito: un control de cinco minutos que evita el error más caro del encargo.

¿Cómo se prepara una firma para prestar estos encargos?

Ordeno la preparación en cinco frentes, en el orden en que los trabajo con firmas reales.

Sobre el uso de expertos: la norma prevé que el profesional recurra a ellos cuando la materia lo exige, y usarlos es señal de competencia. Lo indefendible es firmar una conclusión sobre mediciones que nadie del equipo entiende.

¿Cuáles son los errores más frecuentes en un encargo de sostenibilidad?

1. Aceptar el encargo sin delimitar el alcance. Asegurar el reporte completo, con alcance 3 incluido, en el primer año y con seguridad razonable es una receta para el desastre. Delimite indicadores, nivel y periodo por escrito, y deje constancia de lo excluido en el informe.
2. Aceptar criterios inadecuados. Si el cliente reporta contra un marco propio, sin definiciones escritas de sus indicadores, no hay criterios contra los cuales evaluar: no hay encargo posible, hay una consultoría con otro nombre.
3. Depender de la memoria del modelo para requerimientos normativos. Los marcos cambian de año en año: la IA organiza, el texto oficial vigente decide.
4. Tratar los datos como confiables porque salen de un sistema. La mayoría vive en hojas de cálculo alimentadas a mano, sin controles. Evalúe el proceso de origen con el rigor de un ciclo contable débil.
5. Prestar el encargo sin sistema de gestión de calidad. Es requisito de la norma y lo primero que revisará quien cuestione su informe.

Preguntas frecuentes

¿Necesito ser el auditor financiero de la entidad para asegurar su información de sostenibilidad?

No. La norma es agnóstica de profesión y la pueden aplicar contadores y otros profesionales del aseguramiento que cumplan ética, gestión de calidad y competencia. Quien audita los estados financieros tiene ventaja en los procedimientos de coherencia, porque ya conoce las cifras del otro lado del cruce; evalúe la independencia antes de asumir los dos papeles.

¿La ISSA 5000 reemplaza la ISAE 3000 en estos encargos?

Sí, en las jurisdicciones que adoptan las normas del IAASB: al entrar a regir la nueva norma, la ISAE 3000 (Revisada) y la ISAE 3410 dejan de aplicarse a los encargos sobre información de sostenibilidad. Para otros encargos de aseguramiento, la ISAE 3000 sigue aplicando.

¿Puedo prestar estos servicios hoy en Colombia si la norma no está en el decreto?

Puede prestarlos por vía contractual, aplicando la norma de forma voluntaria y anticipada, que es lo que el emisor recomienda. Lo que no puede es presentarlo como un encargo obligatorio del marco técnico colombiano, porque a septiembre de 2026 no lo es. Deje clarísimo en la carta de encargo cuál marco está aplicando.

¿Cómo cotizo un encargo así sin experiencia previa?

Dimensione por indicador asegurado, no por páginas del reporte. Cada métrica cuantitativa implica entender su proceso de cálculo, probar los insumos y recalcular; cada afirmación narrativa material implica evidencia de soporte. Sume el diagnóstico inicial del proceso de datos, que en un primer año consume más horas que las pruebas.

¿Qué tanto puedo delegar en la inteligencia artificial dentro del encargo?

Puede delegarle estructuración, lectura masiva, recálculo, detección de inconsistencias y borradores. No puede delegarle el alcance, la valoración de riesgos, la suficiencia de la evidencia ni la conclusión. Y documente el uso: qué herramienta, con qué insumo, qué salida y quién la revisó. Ese registro hace defendible su papel de trabajo.

¿Qué hago si el cliente se niega a corregir una afirmación sin soporte?

Tiene tres caminos y ninguno es firmar y callar: modificar la conclusión describiendo la incorrección, limitar el alcance excluyendo ese asunto si es aislado y así queda descrito en el informe, o renunciar al encargo. La decisión depende de la materialidad del asunto y de si la exclusión deja un informe todavía útil para los usuarios previstos.

Lo que hay que llevarse de todo esto

Primero: las fechas. La norma rige para periodos que inician en o después del 15 de diciembre de 2026, con adopción anticipada permitida, y en Colombia todavía no está en el decreto. Segundo: ética del IESBA y gestión de calidad equivalente a la ISQM 1 no son trámite, son condición para aceptar el encargo. Tercero: el alcance es su instrumento de defensa, de precio y de calidad; lo que no pueda soportar con evidencia, exclúyalo por escrito. Cuarto: la dirección del sesgo es conocida, así que diseñe las pruebas contra ella y use el cruce con los estados financieros como su procedimiento más documentable. Y quinto: la IA le entrega la matriz de criterios, el mapa de riesgos, el recálculo y el borrador del informe, pero la suficiencia de la evidencia y la conclusión no son delegables. En un campo donde nadie tiene veinte años de experiencia, el que trabaje con método documentado se queda con los encargos.

Los profesionales que dominan estas herramientas ahorran más de 10 horas semanales

No se trata de reemplazar su criterio profesional, sino de potenciarlo con método, controles y evidencia documentada. En el Programa Ejecutivo en IA para la Auditoría enseño paso a paso cómo integrar la IA en el flujo de trabajo diario con resultados medibles.

👉 Ver programa completo · Conozca también los tres programas ejecutivos de IA Contable.

📲 Escríbame por WhatsApp y le cuento cómo funciona.

Autor: Francisco Moreno Díaz — CP · MBA · MBAN · CAIO
Publicado en: IA Contable