ISSAI, INTOSAI e IA: guía de auditoría gubernamental para la Contraloría y el control fiscal

TL;DR: Las ISSAI son las Normas Internacionales de las Entidades Fiscalizadoras Superiores, emitidas por la INTOSAI dentro del Marco de Pronunciamientos Profesionales (IFPP), y organizan la auditoría del sector público en tres tipos: financiera, de cumplimiento y de desempeño. En Colombia, la Contraloría General de la República adaptó esas normas en sus guías de auditoría, y las contralorías territoriales las aplican a través de la Guía de Auditoría Territorial (GAT) en el marco de normas ISSAI. La inteligencia artificial no cambia el marco: cambia la escala a la que usted puede analizar contratación, presupuesto y programas. Lo indelegable sigue siendo suyo: la evidencia suficiente y apropiada, la cita normativa verificada y la configuración del hallazgo.

Trabajo con auditores de contralorías y con jefes de oficina de control interno desde hace varios años, y el diagnóstico se repite: el problema no es la falta de información, es el exceso. Miles de contratos por vigencia, presupuestos con cientos de rubros, programas sociales con indicadores que nadie consolida y equipos auditores cada vez más pequeños frente a universos cada vez más grandes.

Esa asimetría —mucho universo, poco equipo— es exactamente donde la IA rinde. Y sin embargo casi todo el material disponible sobre IA y auditoría está escrito para el sector privado. Este artículo corrige eso: le explico primero qué son las ISSAI y quién las emite, después cómo aterrizan en el marco colombiano vigente, y luego le entrego los prompts que uso para contratación, cumplimiento, desempeño y configuración de hallazgos.

¿Qué es la ISSAI y qué significa su nombre?

Definición citable: ISSAI es el acrónimo de International Standards of Supreme Audit Institutions, que en español se traduce como Normas Internacionales de las Entidades Fiscalizadoras Superiores. Son los pronunciamientos con autoridad sobre auditoría del sector público: fijan los principios y requisitos que una entidad fiscalizadora debe cumplir para afirmar que su trabajo se hizo conforme a las ISSAI.

Conviene desarmar el nombre pieza por pieza, porque cada palabra importa:

• Normas Internacionales: no son ley de un país; son estándares profesionales que cada país adopta, adapta o armoniza con su propio ordenamiento.
• Entidades Fiscalizadoras Superiores (EFS): el organismo que en cada Estado ejerce la vigilancia externa de los recursos públicos. En Colombia esa EFS es la Contraloría General de la República.

Y una aclaración que ahorra confusiones en los concursos de méritos y en las capacitaciones: «ISSAI» no es el nombre de una norma única. Es una familia numerada. Cuando alguien dice «auditamos bajo ISSAI» está diciendo que aplicó un conjunto de normas cuyo número indica el nivel y el tipo de auditoría.

¿Qué es la INTOSAI y cómo se relaciona con las ISSAI?

La INTOSAI (Organización Internacional de las Entidades Fiscalizadoras Superiores) es la organización que reúne a las EFS del mundo y que emite las normas. La relación es sencilla: la INTOSAI es el emisor, las ISSAI son el producto. Las normas se publican dentro del Marco de Pronunciamientos Profesionales de la INTOSAI (IFPP), que tiene tres categorías:

Esa distinción de tres capas es la respuesta corta a la pregunta más frecuente de todas: un GUID no le da respaldo normativo a un hallazgo, una ISSAI sí. Si quiere ir a la fuente, el marco completo está publicado por la propia organización en su página de normas de auditoría de la INTOSAI.

Dos pronunciamientos que conviene tener en el radar

Dos piezas del marco se han vuelto especialmente relevantes justo cuando entra la IA a los equipos auditores:

• ISSAI 140, gestión de la calidad en las EFS. Fue aprobada por la Junta Directiva de la INTOSAI en noviembre de 2023 y opera como la norma de calidad de la entidad fiscalizadora: exige un sistema de gestión de calidad, no solo revisiones al final del encargo. Si su entidad va a incorporar herramientas de IA, ahí es donde deben quedar los controles.
• GUID 5101, orientación sobre auditoría de la seguridad de la información. Complementa la GUID 5100 sobre auditoría de sistemas de información y se apoya en los principios de la ISSAI 100 y de la ISSAI 400. Es la guía natural cuando el objeto auditado —o la herramienta que usted usa— es un sistema.

¿Cuáles son los tres tipos de auditoría según las ISSAI?

La pregunta «¿cuáles son los 3 tipos de auditorías?» tiene, en el sector público, una respuesta precisa. Las normas organizan el trabajo así:

1. Auditoría financiera: concluye si los estados financieros de la entidad pública están preparados, en todos sus aspectos materiales, conforme al marco de información financiera aplicable.
2. Auditoría de cumplimiento: concluye si las operaciones, la contratación y el manejo de los recursos se ajustaron a la normativa y a las autorizaciones aplicables.
3. Auditoría de desempeño: evalúa las tres «e» —economía, eficiencia y eficacia— de programas, entidades y políticas públicas.

Los principios fundamentales de la auditoría del sector público están en la ISSAI 100, y cada tipo tiene su propio nivel de principios: 200 para la financiera, 300 para la de desempeño y 400 para la de cumplimiento. En Colombia se habla además de auditoría financiera y de gestión, porque la Contraloría General de la República combina en un mismo encargo la opinión sobre los estados financieros con el concepto sobre la gestión y el fenecimiento de la cuenta.

¿Qué marco rige hoy en Colombia y dónde encajan las ISSAI?

Aquí es donde veo más errores, porque la gente cita la norma internacional y olvida que el control fiscal colombiano es un régimen constitucional y legal propio. Antes de escribir nada en un informe, verifique el texto vigente en la fuente oficial. Lo que sí está consolidado:

• La Contraloría General de la República adaptó las ISSAI a su ordenamiento y las materializó en sus guías de auditoría en el marco de normas ISSAI, que cubren los aspectos generales y principios, la auditoría financiera, la de desempeño y la de cumplimiento.
• Las contralorías territoriales trabajan con la Guía de Auditoría Territorial (GAT) en el marco de las normas ISSAI, actualización de la versión de 2012 que va por la versión 4.0. Cubre la planeación estratégica y los tres tipos de auditoría del plan de vigilancia y control fiscal territorial.
• El régimen de fondo lo fijan la Constitución —artículos 267 y siguientes, modificados por el Acto Legislativo 04 de 2019— y el Decreto Ley 403 de 2020, que desarrolla ese acto legislativo e introduce el control concomitante y preventivo, el seguimiento permanente al recurso público y ajustes al proceso de responsabilidad fiscal.
• Las leyes previas siguen siendo referencia obligada en lo no modificado: Ley 42 de 1993 sobre control fiscal, Ley 610 de 2000 sobre el proceso de responsabilidad fiscal y Ley 1474 de 2011, el estatuto anticorrupción.
• Para las oficinas de control interno el marco es otro: la Ley 87 de 1993 y su reglamentación. No son EFS, pero en la práctica adoptan buena parte de la metodología ISSAI y de la auditoría interna basada en riesgos.

Esa última línea tiene una consecuencia práctica muy concreta: si usted está en control interno, la lógica de planeación que expliqué en el plan anual de auditoría interna basado en riesgos se traslada casi directa al sector público, cambiando el universo auditable por procesos misionales, contratación y ejecución presupuestal.

¿Qué hace distinta a la auditoría gubernamental frente a la privada?

Tres diferencias estructurales determinan cómo se usa la IA en este terreno:

La fila del costo del error es la que gobierna todo lo demás. La IA le ayuda a encontrar más; la configuración del hallazgo sigue siendo artesanal y jurídica.

¿Cómo analizar masivamente la contratación pública con IA?

La contratación es el corazón del control fiscal y el terreno natural del análisis de población completa: los datos están razonablemente estructurados y los patrones de irregularidad son conocidos. Mi regla de trabajo es que la IA genere el script y el script corra dentro de la entidad: así los datos no salen y el análisis queda documentado y repetible.

Actúe como auditor gubernamental experto en contratación estatal.
Tengo la base de contratos de la entidad para la vigencia [año].
Encabezados disponibles: [número, objeto, modalidad de selección, contratista,
NIT, valor inicial, adiciones, plazo, fecha de suscripción, supervisor].

Genere un script de Python que ejecute y exporte a hojas separadas:
a) FRACCIONAMIENTO: contratos con objetos similares (similitud de texto),
   mismo contratista o contratistas relacionados, suscritos en fechas cercanas,
   cuya suma supere el tope de la modalidad que le indico: [valor y modalidad].
b) CONCENTRACIÓN: participación de cada contratista en el valor total contratado;
   contratistas con varios contratos por la misma modalidad; contratistas
   constituidos poco antes de su primer contrato [si tengo fecha de constitución].
c) ADICIONES: contratos cuyas adiciones superan el [X]% del valor inicial y
   contratistas con patrón recurrente de adiciones.
d) TIEMPOS: contratos suscritos en los últimos [N] días de la vigencia y
   contratos con plazos incompatibles con la naturaleza de su objeto.
e) SUPERVISIÓN: supervisores con carga simultánea superior a [N] contratos.

Para cada prueba explique: qué irregularidad potencial detecta, qué factores
legítimos podrían explicar la excepción y qué documentos del expediente
contractual debo revisar para confirmarla o descartarla.
No afirme irregularidad: entregue excepciones priorizadas para verificación.

La última instrucción es la disciplina central del auditor público: la excepción del dato no es el hallazgo, es la puerta al expediente. El hallazgo se configura con el documento y con la norma, no con el resultado de un filtro.

El segundo uso de alto valor es el de precios, porque es donde nace la cuantificación del presunto detrimento:

Analizo posibles sobrecostos en contratos de [tipo de bien o servicio].
Le entrego: (1) precios unitarios contratados por la entidad [tabla] y
(2) precios de referencia comparables [fuente: otras entidades, precios de
mercado, contratos anteriores de la misma entidad, listas oficiales].

1. Compare los precios unitarios contra las referencias, calcule la desviación
   absoluta y porcentual y ordene de mayor a menor.
2. Antes de hablar de sobrecosto, liste los factores legítimos que pueden
   explicar la diferencia (especificaciones técnicas distintas, condiciones de
   entrega, ubicación geográfica, volumen, vigencia y ajuste de precios) e
   indíqueme cómo verificar cada uno en el expediente.
3. Solo para las desviaciones que sobrevivan ese filtro, estructure el cálculo
   preliminar del presunto detrimento con la metodología explícita paso a paso,
   los supuestos usados y los datos que faltan, para revisión jurídica.

Ese «antes de hablar de sobrecosto» no es cortesía: es lo que separa un hallazgo que sobrevive el contradictorio de una observación que la entidad auditada desarma en dos párrafos.

¿Cómo hacer auditoría de cumplimiento leyendo expedientes con IA?

La auditoría de cumplimiento se ha hecho históricamente con listas de chequeo: ¿existe el estudio previo? ¿está la garantía? ¿se publicó? El aporte real de los modelos de lenguaje no es marcar casillas más rápido, es cruzar el contenido entre documentos del mismo expediente.

Evalúo el cumplimiento normativo de expedientes contractuales.
Marco aplicable y documentos exigidos en cada etapa: [pegue su lista de
verificación normativa: estudios previos, análisis del sector, disponibilidad
presupuestal, garantías, publicaciones, actas de supervisión, pagos, liquidación].

Le comparto los documentos del expediente del contrato [número]: [pegue o adjunte].

1. Verifique presencia y consistencia de cada elemento. No solo si el documento
   existe, sino si su contenido es coherente: ¿los estudios previos justifican
   la necesidad y el valor? ¿el análisis del sector soporta la modalidad elegida?
   ¿las actas de supervisión reportan avances compatibles con los pagos hechos?
2. Marque cada inconsistencia citando el documento y la página exacta donde la ve.
3. Clasifique cada observación en: (a) incumplimiento formal, (b) posible
   incumplimiento sustancial que amerita verificación, (c) documento presente y
   consistente, (d) no puedo concluir con lo que me entregó.
4. Al final, liste qué documentos faltan para cerrar la revisión.

La categoría (d) es obligatoria. Sin ella, el modelo rellena con una conclusión cualquiera antes de admitir que le faltó información, y usted termina con un papel de trabajo que afirma más de lo que la evidencia soporta. El estudio previo que dice una cosa y el contrato que dice otra es justo el tipo de inconsistencia que a un humano cansado, en el expediente número cuarenta de la semana, se le escapa.

¿Cómo diseñar una auditoría de desempeño con IA?

La auditoría de desempeño es la de mayor valor ciudadano y la que menos se ejecuta, porque exige construir criterios y analizar datos, y eso consume equipos enteros. Con IA vuelve a ser viable para una oficina pequeña.

Diseño una auditoría de desempeño al programa público: [describa el programa,
su objetivo declarado, la población beneficiaria, el presupuesto asignado y
ejecutado, y los datos que tengo disponibles].

Construya la matriz de planificación con enfoque de desempeño:
1. Preguntas de auditoría por cada «e»: economía (¿se adquirieron los recursos
   al menor costo con la calidad requerida?), eficiencia (¿la relación entre
   productos y recursos es razonable frente a comparadores?) y eficacia
   (¿se lograron los resultados esperados en la población objetivo?).
2. Para cada pregunta: criterios de evaluación propuestos (metas del propio
   programa, estándares sectoriales, comparadores de otras entidades),
   evidencia requerida, fuente y método de análisis.
3. Señale los riesgos metodológicos: indicadores mal definidos por la propia
   entidad, bases de beneficiarios poco confiables y el problema de atribución
   (¿el cambio observado se debe al programa o a factores externos?).
4. Indique las tres preguntas donde el análisis masivo de datos aporta más y
   describa el script que necesitaría para cada una.

Y el complemento de datos, que es donde aparecen los hallazgos duros:

Analizo la base de beneficiarios del programa [nombre] para auditoría de
desempeño y cumplimiento. Columnas disponibles: [pegue encabezados].
Los datos NO salen de la entidad: entrégueme un script, no un análisis.

El script debe ejecutar:
a) Duplicados exactos y difusos de beneficiarios (misma persona con variaciones
   de nombre o documento).
b) Beneficiarios que incumplen los criterios de focalización: [péguelos].
c) Cruces contra otras bases que puedo aportar [nómina de la entidad, registro
   de fallecidos, otros programas]: beneficiarios que no deberían estarlo.
d) Concentraciones geográficas o por intermediario que se desvíen de la
   distribución esperada de la población objetivo.

Para cada excepción indique la verificación documental o de campo que la
confirma, porque excluir indebidamente a un ciudadano por un falso positivo
mío tiene consecuencias reales sobre esa persona.

La técnica de fondo de estas pruebas es la misma que uso en el sector privado para las pruebas sobre asientos del diario y para los procedimientos analíticos: recorrer la población completa en lugar de una muestra, y usar la muestra solo para verificar en profundidad las excepciones que el recorrido devuelve.

¿Cómo estructurar un hallazgo con incidencia fiscal con ayuda de IA?

Este es el punto donde no se admite imprecisión. Un hallazgo del sector público no termina en una recomendación: puede abrir un proceso de responsabilidad fiscal, un traslado al ministerio público o una denuncia penal.

Estructure este hallazgo de auditoría gubernamental con la información que le doy:
[pegue los hechos verificados, los documentos de soporte con folio y las normas
que copié textualmente de la fuente oficial].

Formato requerido:
1. CONDICIÓN: los hechos, con fechas, valores, documentos y folios exactos.
   Únicamente lo que está soportado en la evidencia que le entregué.
2. CRITERIO: las normas o cláusulas específicas presuntamente inobservadas,
   citadas con precisión. Si no le entregué el texto exacto de la norma, NO la
   invente ni la cite de memoria: márquela como «pendiente de verificación jurídica».
3. CAUSA y EFECTO: la causa administrativa identificable y el efecto, con la
   cuantificación preliminar del presunto detrimento si aplica y su metodología.
4. INCIDENCIAS: deje esta sección como «PENDIENTE DE ANÁLISIS JURÍDICO». Mi rol
   es soportar los hechos; la connotación la valida el equipo jurídico.
5. CONTRADICTORIO ANTICIPADO: actúe ahora como abogado de la entidad auditada y
   escriba los cinco mejores argumentos para desvirtuar este hallazgo, con el
   documento que cada uno exigiría. Señale cuáles no puedo refutar con lo que tengo.

El numeral 5 es, para mí, el mejor uso de la IA en todo el proceso de control fiscal. Si el hallazgo no sobrevive a un modelo haciendo de contraparte, no va a sobrevivir al contradictorio real. La misma lógica de redacción defendible que aplico en la comunicación de deficiencias de control interno vale aquí, con una vuelta más de tornillo por las consecuencias.

Y el numeral 2 codifica la regla de oro: las normas no se citan de memoria, ni la suya ni la del modelo. Los modelos de lenguaje inventan artículos, numerales y resoluciones con una seguridad pasmosa. En un hallazgo fiscal eso es inaceptable. El texto se copia de la fuente oficial vigente, siempre.

¿Qué exigen las ISSAI cuando el auditor usa inteligencia artificial?

Las normas no mencionan herramientas concretas y no hay ningún pronunciamiento que «prohíba» o «autorice» la IA. Lo que hacen es fijar requisitos que la herramienta no exime de cumplir. Traducido a obligaciones prácticas:

Si su entidad todavía no tiene política de uso, ese vacío es en sí mismo una deficiencia de control. Los riesgos concretos —fuga de información, alucinación, dependencia, sesgo— los desarrollé con detalle en los riesgos de la inteligencia artificial para el profesional contable, y casi todos se agravan en el sector público porque el dato es de terceros y el informe es público.

¿Qué errores debe evitar al usar IA en el control fiscal?

1. Citar normas generadas por el modelo. Lo repito porque es el riesgo número uno del sector. Toda cita normativa se verifica contra el texto oficial vigente. La IA estructura; el auditor y el jurídico ponen el derecho.
2. Cargar bases con datos personales de ciudadanos a herramientas abiertas. El enfoque correcto es el de esta guía: la IA escribe el script, el script corre dentro de la entidad.
3. Confundir excepción estadística con detrimento. El sobreprecio aparente sin verificar especificaciones, el «fraccionamiento» que resulta ser contratación legítima planificada. Comunicar falsos positivos destruye la credibilidad del órgano de vigilancia mucho más rápido de lo que la construye un hallazgo bueno.
4. Olvidar el contradictorio. Todo hallazgo será controvertido. Si no lo puso a prueba antes, la entidad auditada lo hará por usted.
5. Aplicar mentalidad privada a criterios públicos. La eficiencia de un programa social no se mide como la de una empresa. Los criterios de desempeño salen del diseño del programa y de la política pública; construirlos es parte del trabajo, no un dato de entrada.
6. No dejar rastro. Un análisis que nadie puede reproducir no soporta un informe público. Guarde el prompt, el script y los datos de entrada junto al papel de trabajo, y haga con los hallazgos el mismo seguimiento sistemático que exige cualquier plan de mejoramiento.

Preguntas frecuentes

¿Qué significa exactamente la sigla ISSAI?

International Standards of Supreme Audit Institutions: Normas Internacionales de las Entidades Fiscalizadoras Superiores. Se numeran por niveles, y el número indica el tipo de trabajo: la ISSAI 100 fija los principios fundamentales de la auditoría del sector público, y los niveles 200, 300 y 400 corresponden a los principios de auditoría financiera, de desempeño y de cumplimiento respectivamente.

¿Cuál es la diferencia entre las ISSAI y las NIA?

Las NIA son las normas internacionales de auditoría para auditorías de estados financieros en general, emitidas por el IAASB. Las ISSAI son las del sector público, emitidas por la INTOSAI, y son más amplias: cubren cumplimiento y desempeño, que las NIA no abordan. En la auditoría financiera pública ambas se tocan, porque los pronunciamientos de la INTOSAI para ese tipo de trabajo se construyeron a partir de las NIA. La diferencia que importa en la práctica es el criterio: el auditor público evalúa además presupuesto, contratación estatal y legalidad.

¿Las ISSAI permiten usar inteligencia artificial en las auditorías?

No lo prohíben ni lo autorizan expresamente, porque regulan principios, evidencia y calidad, no herramientas. El uso es admisible si la evidencia sigue siendo suficiente y apropiada, el juicio es del auditor y el trabajo queda documentado, incluyendo qué se automatizó y cómo se validó.

¿Esto aplica a las oficinas de control interno o solo a las contralorías?

A ambas. La oficina de control interno gana además un uso propio y muy rentable: el monitoreo continuo de la contratación y de la ejecución presupuestal de su propia entidad con scripts recurrentes, que detecta en semanas lo que la vigilancia externa encontraría vigencias después.

¿Qué hago si mi entidad no me autoriza herramientas de IA?

Empiece por lo que no requiere autorización: usar IA para generar los scripts de análisis que corren en el Excel o el Python institucional sin enviar datos a ningún servidor, y para estudiar normativa pública, que no es información reservada. El caso de negocio para una herramienta institucional se construye con esos primeros resultados en la mano.

¿Puedo usar IA para redactar el informe de auditoría?

Para borradores estructurados a partir de sus hallazgos ya validados, sí. Nunca para producir hechos, cifras o normas que no estén en sus papeles de trabajo. La revisión humana es total y la responsabilidad no se delega.

¿Sirve esto para prepararme para un concurso de méritos en control fiscal?

Para entender la arquitectura del marco —IFPP, INTOSAI-P, ISSAI, GUID y los tres tipos de auditoría—, sí. Para memorizar articulados, no: estudie los textos oficiales, porque un modelo de lenguaje le va a inventar numerales con total naturalidad.

Lo que hay que llevarse de todo esto

• Las ISSAI son las normas de auditoría del sector público, emitidas por la INTOSAI dentro del IFPP, y se acompañan de principios (INTOSAI-P) y guías (GUID).
• Los tres tipos de trabajo —financiero, de cumplimiento y de desempeño— tienen criterios distintos, y en Colombia la Contraloría General de la República los aterrizó en sus guías, mientras las contralorías territoriales aplican la GAT en el marco de normas ISSAI.
• El régimen de fondo es el constitucional y legal: Acto Legislativo 04 de 2019, Decreto Ley 403 de 2020 y las leyes 42 de 1993, 610 de 2000 y 1474 de 2011 en lo no modificado.
• El mejor uso de la IA aquí es el análisis de población completa sobre contratación, presupuesto y bases de beneficiarios, con el modelo generando scripts que corren dentro de la entidad.
• La excepción del dato no es el hallazgo. Es la puerta al expediente.
• Las normas se copian de la fuente oficial. Siempre. Sin excepción.

Los profesionales que dominan estas herramientas ahorran más de 10 horas semanales

No se trata de reemplazar su criterio profesional, sino de potenciarlo con método, controles y evidencia documentada. En el Programa Ejecutivo en IA para la Auditoría enseño paso a paso cómo integrar la IA en el flujo de trabajo diario con resultados medibles.

👉 Ver programa completo · Conozca también los tres programas ejecutivos de IA Contable.

📲 Escríbame por WhatsApp y le cuento cómo funciona.

Autor: Francisco Moreno Díaz — CP · MBA · MBAN · CAIO
Publicado en: IA Contable