Auditoría de cumplimiento con IA: cómo revisar el 100 % de los contratos (y qué no delegar)

En resumen: una auditoría de cumplimiento verifica si las operaciones, documentos y decisiones de una organización se ajustan a las leyes, regulaciones, políticas internas y contratos que la rigen. Aquí encontrará qué es, sus tipos, sus etapas y sus técnicas, y un ejemplo completo: 18 contratos de proveedores de una manufacturera ficticia auditados al 100 % con inteligencia artificial, con inventario de vigencias, índice de asimetría, vacíos de control y exposición en pesos con fórmula visible. El auditor no reemplaza al abogado: le entrega preguntas concretas.

Dos a tres horas por contrato

Cuando fui jefe de control interno de una entidad, una de mis tareas era revisar los contratos de proveedores y acreedores para saber qué tan convenientes eran para la organización. No soy abogado, y mi trabajo no era opinar sobre la validez de las cláusulas: era determinar qué impacto económico podía generar cada contrato. Revisar uno me tomaba de dos a tres horas, más el informe. Con esos tiempos, lo que hacíamos todos era tomar una muestra —los contratos más representativos— y confiar en que los demás no escondieran nada.

Esa sensación de «ojalá no haya nada en los que no revisé» es la que cambia con la inteligencia artificial. No porque la herramienta sepa más derecho que un abogado, sino porque puede leer la población completa y dejarle al auditor lo que sí es suyo: el criterio, la cifra y la pregunta.

Qué es una auditoría de cumplimiento

La definición más citada viene del sector público. La ISSAI 400 de la INTOSAI la describe como una evaluación independiente para determinar si un asunto cumple con las autoridades aplicables identificadas como criterios; es decir, si las actividades, las operaciones financieras y la información cumplen, en todos los aspectos significativos, con las normas que rigen a la entidad. La misma norma distingue dos enfoques: la regularidad (cumplir criterios formales como leyes, regulaciones y convenios) y la decencia o propiedad (observar los principios de una sana administración).

En Colombia, una formulación frecuente la define como la comprobación de que las operaciones económicas, financieras y de otra índole de una entidad se han realizado conforme a las normas legales, estatutarias y de procedimientos que le son aplicables. Su objetivo no es castigar: es darle a la administración y a las partes interesadas seguridad sobre el cumplimiento de la organización, y señalar a tiempo las medidas de control interno que faltan para el logro de los objetivos de la entidad.

Llevada a la empresa privada, la auditoría de cumplimiento revisa cuatro fuentes de criterio:

• Leyes y regulaciones: tributarias, laborales, de protección de datos, de prevención de lavado de activos, ambientales.
• Normas sectoriales que le son aplicables a la entidad por su actividad o por su supervisor.
• Políticas y procedimientos internos: estatutos, decisiones de la asamblea y de la junta, manuales de contratación, límites de autorización.
• Contratos: lo que la organización se obligó a hacer, y lo que se obligaron a hacer sus proveedores y clientes.

Los estados financieros son el reflejo de las operaciones del día a día. Por eso no toda la exposición financiera está en el balance: dentro de un contrato puede haber penalidades, renovaciones automáticas, indexaciones y pasivos contingentes que todavía no aparecen en ninguna cuenta, pero que van a aparecer. La auditoría de cumplimiento es la que los encuentra antes.

Tipos de auditoría de cumplimiento: normativo, contractual y de políticas internas

Las normas del sector público reconocen tres grandes tipos de auditoría: financiera, de desempeño y de cumplimiento. Cada tipo de auditoría responde una pregunta distinta. Dentro de esta última se pueden distinguir, según el criterio que se evalúa:

En otros países la conversación gira alrededor de SOX, GDPR o HIPAA; en Colombia el equivalente práctico son la protección de datos, la seguridad social, la prevención de lavado de activos y los contratos. La auditoría de cumplimiento del sector público, con su propio marco y sus propias etapas, la desarrollamos en auditoría gubernamental con IA bajo normas ISSAI.

Quién la realiza

La hacen el auditor interno, los auditores externos contratados para un encargo específico y, en Colombia, el revisor fiscal como parte de su función. El numeral 1 del artículo 207 del Código de Comercio le asigna cerciorarse de que las operaciones que se celebren o cumplan por cuenta de la sociedad se ajusten a los estatutos y a las decisiones de la asamblea y de la junta directiva; el numeral 2, informar oportunamente las irregularidades. Revisar contratos es cumplir esa función, no un trabajo extra. Las diez funciones del cargo las explicamos en revisoría fiscal con IA: funciones y dictamen.

En la auditoría de estados financieros, la NIA 250 obliga al auditor a considerar las disposiciones legales y reglamentarias: las que tienen efecto directo en cifras y revelaciones (impuestos, beneficios a empleados) y las que afectan el funcionamiento de la entidad (licencias, regulación ambiental). Pero la misma NIA 250 aclara que no se aplica cuando al auditor se le contrata específicamente para comprobar el cumplimiento de normas concretas e informar por separado: ese es un encargo de aseguramiento distinto.

Etapas de una auditoría de cumplimiento: el proceso de auditoría paso a paso

La ISSAI 400 organiza el proceso en planeación y diseño, evidencia, evaluación y conclusiones, informe y seguimiento. Con un paso previo de evaluación de riesgos —que en auditoría financiera es la NIA 315—, las etapas quedan así:

El proceso de auditoría debe dejar rastro en cada etapa: qué criterio se usó, qué evidencia lo soporta y quién lo revisó. La última etapa es la que más se descuida. La desarrollamos en seguimiento de hallazgos de auditoría con IA.

Técnicas de auditoría de cumplimiento y qué se puede automatizar

Son las mismas técnicas de cualquier auditoría, aplicadas a comprobar el cumplimiento:

• Inspección documental de contratos, actas, pólizas y certificados.
• Indagación a los responsables del proceso y al área legal.
• Confirmación externa con proveedores o terceros.
• Recálculo de valores indexados, penalidades y plazos.
• Observación de cómo se ejecuta realmente el control.
• Procedimientos analíticos: comparar lo pactado contra lo pagado.
• Lista de verificación por tipo de documento, para que todos se evalúen con la misma rúbrica.

La IA no inventa técnicas nuevas. Lo que permite es automatizar la parte mecánica y ampliar el alcance: la inspección documental, que era la más lenta, ahora se puede aplicar a toda la población. La indagación, la observación y el juicio sobre lo que se encontró siguen siendo del auditor.

Mejores prácticas: controles internos y auditorías internas de cumplimiento

Antes del caso, cinco prácticas que separan una auditoría de cumplimiento útil de un ejercicio de papel:

• Partir de los riesgos de cumplimiento, no de la lista de normas. La gestión de riesgos define dónde se concentra el esfuerzo; no todas las regulaciones pesan igual para todas las empresas.
• Auditorías periódicas, no solo cuando llega el requerimiento. Un programa de cumplimiento que se revisa una vez cada tantos años no crea una cultura de cumplimiento; la crea el seguimiento constante.
• Medir la brecha y proponer el correctivo. Cada incumplimiento se documenta con la brecha frente al criterio y la acción correctiva, con responsable y fecha.
• Un equipo de auditoría con las competencias del tema. Datos personales y ciberseguridad, salud y seguridad en el trabajo, criterios ESG o contratos exigen conocimientos distintos; cuando el auditor no los tiene, se apoya en el especialista.
• Herramientas proporcionadas al volumen. Un software de cumplimiento o de gestión de cumplimiento sirve para monitorear obligaciones recurrentes; la IA generativa sirve para leer documentos no estructurados, como los contratos, que ninguna hoja de cálculo lee sola.

Ejemplo de auditoría de cumplimiento contractual: 18 contratos de una manufacturera ficticia

En el laboratorio en vivo trabajamos con una manufacturera ficticia que entrega 18 contratos de proveedores: servicios de tecnología, asesoría gerencial, suministro de materias primas, arrendamiento, logística, intermediación de seguros, call center, entre otros; una docena de tipos contractuales distintos y contratos de cuatro a siete páginas cada uno. Con el método tradicional, eso son varios días de lectura. La pregunta que guía todo el ejercicio es sencilla: tu proveedor puede irse en 30 días, pero tú no.

Si un contrato permite que el proveedor salga sin causa con un preaviso corto, y a la empresa solo le deja terminar por incumplimiento declarado, la empresa queda expuesta. Y si una renovación automática vence sin que nadie la revise, el compromiso se extiende sin que nadie lo haya decidido.

Esto es auditoría, no derecho

Antes del prompt hay que tener clara la frontera. El auditor no interpreta la validez de una cláusula ni emite conceptos jurídicos. Lo que sí hace, y hace bien, es medir.

Desde el minuto 13:28: la división de trabajo entre auditor y abogado, las tres cosas que busca el prompt (asimetrías, vacíos y exposición) y la regla del día. Mire cómo cada idea termina en algo medible; esa es la diferencia entre un hallazgo de auditoría y una opinión.

La regla que resume la sesión: si el hallazgo no termina en un número, no es un hallazgo de auditoría. Un «esta cláusula parece desfavorable» es una opinión. Un «esta cláusula penal expone a la empresa a tantos pesos, calculados así» es un hallazgo.

Antes de lanzar el prompt

1. PDF con texto seleccionable. Si usted no puede seleccionar el texto del contrato con el cursor, la IA tampoco lo va a leer. Los escaneados se pasan antes por un lector OCR.
2. Fecha de corte. Todas las vigencias, preavisos y días vencidos se calculan contra ella.
3. Materialidad de desempeño. En el laboratorio fijamos un millón de pesos como umbral para que un hallazgo entre al informe.
4. Parámetros de indexación: la serie del IPC del DANE y el salario mínimo vigente. Si no se los da, la herramienta los busca o los supone; mejor que usted los confirme.
5. Confidencialidad. Contratos reales solo en versiones empresariales de pago con garantías de reserva, o anonimizados. Un contrato tiene datos personales de firmantes y condiciones comerciales reservadas; los criterios están en los riesgos de la inteligencia artificial para el contador.

El prompt, en su estructura

En el laboratorio usamos una herramienta de IA de escritorio que trabaja sobre una carpeta local, porque un chat convencional no procesa bien un volumen así de documentos. La estructura del prompt es la que importa:

ROL: actúa como auditor financiero de cumplimiento contractual. Tu labor es
identificar riesgos, medir asimetrías y cuantificar la exposición financiera.
No emites conceptos jurídicos: remites preguntas al área legal.

INSUMOS: carpeta con [N] contratos en PDF. Fecha de corte: [fecha].
Materialidad de desempeño: $[valor]. IPC anual (DANE) y SMMLV: [confirmar].

FASE 0 – Reconocimiento: clasifica cada contrato por tipo y familia, declara qué
familias de cláusulas aplican y tu nivel de confianza si el contrato es híbrido.
FASE 1 – Inventario: contraparte, NIT, objeto, valor, periodicidad, valor
anualizado, inicio, terminación. Calcula contra la fecha de corte: días
transcurridos, días restantes, fecha límite de preaviso y estado.
FASE 2 – Índice de asimetría: evalúa por familia (terminación, cláusula penal,
límite de responsabilidad, indexación, renovación, cesión...) si el derecho es
recíproco, existe en condiciones distintas, es unilateral a favor del
proveedor o está ausente. Asigna puntaje.
FASE 3 – Vacíos de control: verifica derecho a auditar, tratamiento de datos
personales, acreditación de aportes a seguridad social, anticorrupción y
SAGRILAFT/PTEE, niveles de servicio con remedio económico, propiedad de
entregables, plan de salida y devolución de información, terminación por
incumplimiento reiterado. Reporta hallazgos emergentes aparte.
FASE 4 – Exposición: cada hallazgo cierra con una cifra en pesos, la fórmula
y la fuente.

REGLAS: cita textual obligatoria con número de cláusula; fórmula visible;
si un dato no está, escribe "no encontrado"; no inventes.
ENTREGABLES: Excel de 6 hojas (vista general, inventario, asimetrías, vacíos,
exposición, hallazgos emergentes) y memorando Word para el área legal.
AUTOCHEQUEO FINAL: recalcula cada cifra y verifica cada cita contra el PDF.

Fíjese en dos detalles. La fase 0 deja que la herramienta clasifique sin que usted le diga qué es cada contrato, pero le exige declarar su confianza. Y la lista de vacíos tiene un punto abierto para lo que no estaba previsto: de ahí salen los hallazgos emergentes.

Qué encontró: inventario, asimetrías, vacíos y exposición

La herramienta leyó los 18 contratos, consultó el IPC y el salario mínimo, y en una media hora de trabajo en vivo entregó los papeles. Lo más útil, en orden:

Inventario y vigencias contra la fecha de corte. Varios contratos estaban vencidos y en ejecución, y en otros la ventana de preaviso ya se había cerrado con la renovación automática comprometida. Uno de ellos, la intermediación del programa de seguros, llevaba más de trescientos días con el plazo contractual vencido. Ese dato, solo, justifica el ejercicio.

Índice de asimetría por familias de cláusulas. Aquí aparece, en letra de contrato, la frase del proveedor que puede irse en 30 días:

Desde el minuto 51:59: la hoja de asimetrías con la cita literal de una terminación unilateral a favor del contratista, con 30 días de preaviso y sin indemnización, y la observación del auditor al lado; luego la matriz de vacíos de control. Observe que cada calificación viene con la cláusula de la que sale: eso es lo que permite puntearla.

Vacíos de control. Lo que el contrato no dice y debería decir. Proveedores de tecnología y un call center que manejan datos de clientes sin cláusula de tratamiento de datos: el artículo 25 del Decreto 1377 de 2013 exige que el contrato con el encargado fije el alcance del tratamiento y sus obligaciones. Contratistas sin exigencia de acreditar aportes a seguridad social: el artículo 34 del Código Sustantivo del Trabajo hace al beneficiario solidariamente responsable de salarios, prestaciones e indemnizaciones de los trabajadores del contratista cuando la labor no es extraña a su actividad normal. Y contratos sin derecho a auditar al proveedor: el auditor no puede verificar lo que el contrato no le permite ver.

Exposición en pesos con fórmula visible. Un ejemplo con cifras redondas, para que se vea el mecanismo: si un contrato de soporte tecnológico cuesta $38 millones al mes y su cláusula penal equivale a doce meses del valor vigente, la exposición es 12 × $38 millones = $456 millones. Si además el valor base debía indexarse por IPC y no se hizo, la diferencia se calcula como valor base × (1 + IPC del año) − valor facturado. La fórmula queda en la celda, no en la cabeza de quien la hizo.

Si alguno de los contratos es con una sociedad vinculada o con un accionista, el análisis se cruza con el de partes relacionadas bajo la NIA 550: la asimetría con un tercero es un riesgo; con un vinculado, puede ser una transferencia de valor.

Los tres entregables

1. Excel de seis hojas, con fórmulas: vista general por contrato con semáforo de confianza, inventario, asimetrías, vacíos, exposición y hallazgos emergentes.
2. Memorando para el área legal. Cada hallazgo con condición (qué dice o no dice el contrato, con la cita), criterio (la norma o la práctica contractual esperada), causa, efecto en pesos y la pregunta concreta para el abogado. Por ejemplo: ¿debe suscribirse un contrato de transmisión de datos con este proveedor y qué obligaciones mínimas debe contener?
3. Tablero para el comité de auditoría, con panorama, portafolio, asimetrías, vacíos, vencimientos y una pestaña de remisión legal con más de setenta asuntos ordenados por urgencia, cada uno con estado «pendiente de concepto».

La pestaña de remisión clasifica cada asunto según lo que necesita del abogado: interpretar una cláusula, calificar una obligación legal, evaluar el riesgo litigioso, definir una renegociación. Ojo, no dice qué hacer, sino qué preguntar. Los vacíos de control que el comité debe conocer se comunican como deficiencias; la forma de hacerlo está en la carta de deficiencias de control interno bajo la NIA 265.

El dato que más pesa: en el laboratorio, dos de cada tres contratos tenían al menos una anomalía. Con una muestra de cinco, habríamos visto las anomalías de cinco. Nadie decidió nunca no revisar esos contratos; simplemente las horas no alcanzaban.

Cómo validar lo que produjo la IA

En la sesión de preguntas me preguntaron cómo se valida esto. Hicimos dos validaciones:

1. Dentro del prompt: el autochequeo final obliga a la herramienta a recalcular cada cifra y a verificar cada cita contra el PDF. Reduce errores; no los elimina.
2. Manual: tomar dos o tres contratos y puntear valores, fechas y cláusulas contra el original. Revisar al menos tres citas textuales y la clasificación de la fase 0.

Y lo digo sin rodeos: aunque trabajo con estas herramientas todos los días, me siguen apareciendo alucinaciones en informes, tableros y hojas de cálculo. En este mismo caso, la herramienta reportó que no pudo extraer la fecha de terminación de un contrato y que algunos índices de ajuste no eran claros; esas limitaciones van al memorando, no se esconden. El método para auditar una respuesta está en alucinaciones de la IA: cómo auditar sus respuestas.

El mismo hallazgo con tres sombreros

• El contador ve una renovación automática que compromete otros 24 meses de gasto y una cláusula penal que podría exigir una provisión o una revelación de pasivo contingente.
• El auditor o revisor fiscal ve un control ausente —nadie monitorea los preavisos— y una función del artículo 207 que puede documentar con evidencia de la población completa.
• El financiero ve el valor comprometido por renovaciones no decididas y la concentración en pocos proveedores que pueden irse en 30 días.

Preguntas frecuentes

¿Cuáles son los 3 tipos de auditoría?

Según las normas de la INTOSAI, la auditoría financiera (si los estados financieros se presentan conforme al marco aplicable), la de desempeño (si la gestión es económica, eficiente y eficaz) y la de cumplimiento (si las operaciones se ajustan a las normas y criterios que las rigen). En la práctica se combinan.

¿Qué evalúa una auditoría de cumplimiento?

Evalúa si las actividades, operaciones e información de la organización cumplen con leyes, regulaciones, políticas internas y contratos. Su resultado es una conclusión sobre el grado de cumplimiento y un conjunto de hallazgos con su efecto.

¿Cada cuánto se hace una auditoría de cumplimiento?

Depende del riesgo. Los contratos conviene revisarlos al menos una vez al año y, sobre todo, antes de sus fechas de preaviso. Con la población ya inventariada, repetir el ejercicio es mucho más rápido que la primera vez.

¿La IA puede reemplazar al abogado en la revisión de contratos?

No. La revisión de contratos con inteligencia artificial le sirve al auditor para leer la población completa, medir y cuantificar. La validez jurídica de una cláusula la plantea el auditor como pregunta y la confirma o la descarta el abogado.

¿Cuánto dura una auditoría de cumplimiento contractual con IA?

En el laboratorio, la lectura y los papeles de 18 contratos tomaron alrededor de media hora. La validación manual, la discusión con el área legal y el informe final siguen tomando el tiempo del auditor, y así debe ser.

La pregunta que llega al abogado y la firma que sigue siendo suya

La herramienta leyó 18 contratos, calculó vigencias y armó un tablero. Pero la pregunta concreta que recibe el abogado —la que convierte una cláusula rara en una decisión— la formuló un auditor que sabía qué es una asimetría, qué es materialidad y qué exige un hallazgo con condición, criterio, causa y efecto. Si ese auditor no existe, la IA entrega setenta asuntos que nadie sabe priorizar. Y si nadie puntea tres contratos contra el original, el memorando lleva la firma de alguien que no verificó.

Eso es lo que trabajo en el Programa Ejecutivo en IA para Auditoría: construir el prompt a partir de la teoría de auditoría, estructurar el hallazgo en papel de trabajo y validar lo que la herramienta produce antes de llevarlo al comité. La herramienta es pública; el criterio no.

Si quiere saber cómo aplicaría este ejercicio a los contratos de su organización, escríbame por WhatsApp y lo revisamos.

Autor: Francisco Moreno Díaz — CP · MBA · MBAN · CAIO
Publicado en: IA Contable

Fuentes

• INTOSAI, ISSAI 400 Principios de la Auditoría de Cumplimiento (versión 2019), párrafos 12 y 13 y sección de principios del proceso. Consultada el 24 de septiembre de 2026.
• IAASB, NIA 250 (revisada) Consideración de las disposiciones legales y reglamentarias en la auditoría de estados financieros; NIA 315 y NIA 550, incorporadas en Colombia por el Decreto Único Reglamentario 2420 de 2015. Consultadas el 24 de septiembre de 2026.
• Código de Comercio de Colombia (Decreto 410 de 1971), artículo 207, numerales 1 y 2. Consultado el 24 de septiembre de 2026.
• Ley 1581 de 2012, régimen general de protección de datos personales, y Decreto 1377 de 2013, artículo 25 (contrato de transmisión de datos). Consultados el 24 de septiembre de 2026.
• Código Sustantivo del Trabajo, artículo 34 (contratistas independientes y responsabilidad solidaria). Consultado el 24 de septiembre de 2026.
• Contraloría General de la República, Guía de Auditoría de Cumplimiento en el marco de las normas ISSAI. Consultada el 24 de septiembre de 2026.