TL;DR: El plan anual de auditoría interna basado en riesgos con IA se construye en cuatro pasos: definir el universo auditable completo, calificar cada unidad con un modelo de scoring de riesgo explícito, priorizar y asignar las horas disponibles del equipo, y presentar al comité de auditoría un plan cuya lógica se pueda defender pregunta por pregunta. La IA acelera el scoring y la documentación; el criterio de priorización sigue siendo del director de auditoría interna.
Este artículo es para el otro auditor: no el de la firma que dictamina, sino el que trabaja adentro. El director o profesional de auditoría interna que cada fin de año enfrenta la misma ecuación imposible: 40 procesos auditables, un equipo de 3 personas, y un comité que pregunta "¿por qué vas a auditar tesorería otra vez y compras nunca?".
Si tu respuesta a esa pregunta es "porque siempre lo hemos hecho así", este artículo te va a incomodar productivamente.
¿Qué es un plan basado en riesgos y por qué el tuyo quizás no lo es?
Definición citable: Un plan anual de auditoría interna basado en riesgos es aquel donde la selección, frecuencia y profundidad de los trabajos de aseguramiento se derivan de una evaluación documentada de los riesgos de cada unidad del universo auditable, alineada con los objetivos estratégicos de la organización y actualizada al menos anualmente, conforme a las Normas Globales de Auditoría Interna del IIA.
Prueba rápida de si tu plan es realmente basado en riesgos. Responde sí o no:
- ¿Tienes el universo auditable escrito y completo (no solo lo que siempre auditas)?
- ¿Cada unidad tiene una calificación de riesgo con criterios explícitos?
- ¿Puedes mostrar por qué lo que NO vas a auditar quedó fuera?
- ¿El plan cambió respecto al año pasado porque los riesgos cambiaron?
Dos o más "no": tu plan es un calendario heredado, no un plan basado en riesgos. Sigamos.
¿Cómo construir el universo auditable con IA?
El universo es el mapa de todo lo potencialmente auditable: procesos, unidades de negocio, proyectos, sistemas, cumplimientos regulatorios.
Prompt 1 — Construcción del universo auditable:
Actúa como director de auditoría interna. Mi organización: [sector, tamaño, países, estructura, sistemas principales, regulaciones aplicables]. Construye el universo auditable completo organizado por: procesos misionales, procesos de apoyo, procesos de tecnología, cumplimientos regulatorios, proyectos estratégicos en curso y entidades/sucursales. Para cada unidad indica: descripción en una línea, dueño típico del proceso y riesgos inherentes característicos. Señala unidades que las organizaciones de mi sector suelen omitir del universo (puntos ciegos frecuentes).
Ese último renglón es donde la IA paga el boleto: los puntos ciegos. Ciberseguridad de terceros, gestión de datos personales, cultura y conducta, modelos e IA usados por el negocio... unidades que no están en el universo simplemente porque no estaban hace diez años cuando se armó.
¿Cómo calificar el riesgo de cada unidad?
Aquí necesitas un modelo de scoring: factores, pesos y escalas explícitas. Sin eso, la priorización es intuición con formato de tabla.
Prompt 2 — Diseño del modelo de scoring:
Diseña un modelo de calificación de riesgo para priorizar mi universo auditable de [N] unidades. Factores propuestos: impacto financiero (materialidad del proceso), complejidad y cambio reciente (nuevos sistemas, reestructuraciones), exposición a fraude, exposición regulatoria, resultados de auditorías anteriores (hallazgos abiertos y su severidad), tiempo desde la última auditoría, y relevancia estratégica. Para cada factor define: escala 1-5 con criterios verificables por nivel (no adjetivos vagos) y peso sugerido con justificación. El resultado debe permitir clasificar cada unidad en riesgo alto/medio/bajo con frecuencia de auditoría asociada (anual / bienal / trienal).
Prompt 3 — Aplicación del scoring al universo:
Aplica el modelo de scoring acordado a mi universo auditable. Te entrego la tabla de unidades con los datos por factor: [pegar datos]. 1) Calcula el puntaje ponderado por unidad. 2) Ordena de mayor a menor riesgo. 3) Clasifica en alto/medio/bajo con los cortes definidos. 4) Marca las unidades cuya calificación depende de un dato que no te di (y que debo conseguir antes de cerrar el plan). 5) Compara contra el plan del año pasado que te adjunto y explica cada cambio de prioridad en una línea.
El numeral 5 produce el documento que desarma la reunión de comité: "compras sube a prioridad alta porque cambió de ERP y acumula 4 hallazgos abiertos de severidad alta; tesorería baja a media porque cerró sus planes de acción y no tuvo cambios". Cada movimiento con su porqué.
¿Cómo convertir la priorización en un plan ejecutable?
La restricción real es horas-persona. Un plan que ignora la capacidad es una carta a los Reyes Magos.
Prompt 4 — Asignación de capacidad:
Capacidad disponible del equipo: [N auditores x horas efectivas anuales, descontando vacaciones, formación, consultorías e imprevistos del [15]%]. Horas estimadas por tipo de trabajo: auditoría completa [X], revisión limitada [Y], seguimiento de planes de acción [Z]. Con la priorización de riesgo adjunta: 1) Propón el plan anual que cubra el 100% de las unidades de riesgo alto, maximice cobertura de riesgo medio y respete la capacidad. 2) Distribúyelo en cronograma trimestral evitando choques con cierres contables y temporada alta del negocio [indicar meses]. 3) Cuantifica y lista explícitamente lo que queda SIN cubrir y el riesgo aceptado por ello, para informarlo al comité.
Esa lista de lo no cubierto es, en mi experiencia, la parte más valiosa del plan. La cobertura incompleta no es tu fracaso: es una decisión de apetito de riesgo que le corresponde al comité, y solo puede tomarla si se la muestras en blanco y negro.
Prompt 5 — Presentación al comité de auditoría:
Prepara el documento ejecutivo del plan anual para el comité de auditoría (máximo 3 páginas de contenido): 1) Metodología de priorización en un párrafo y un diagrama descrito. 2) Mapa del universo con distribución alto/medio/bajo. 3) Plan propuesto por trimestre con horas. 4) Cambios frente al año anterior y su justificación. 5) Cobertura no alcanzada y riesgo aceptado. 6) Supuestos y flexibilidad: qué porcentaje de horas reservo para trabajos no planeados. Cierra con las 3 decisiones que solicito al comité.
¿El plan se toca durante el año?
Sí, y las Normas Globales del IIA lo esperan: el plan debe actualizarse cuando el perfil de riesgos cambia. Mi práctica recomendada: revisión trimestral ligera con este disparador.
Prompt 6 — Revisión trimestral del plan:
Revisión trimestral del plan de auditoría interna. Novedades del trimestre: [cambios organizacionales, incidentes, nuevos proyectos, hallazgos relevantes de trabajos ejecutados, cambios regulatorios]. Evalúa: 1) ¿Alguna novedad altera la calificación de riesgo de unidades del universo? Recalcula las afectadas. 2) ¿Se justifica adelantar, aplazar o incorporar algún trabajo? 3) Redacta la nota de actualización del plan para el comité con los cambios y su racional.
La materia prima de esa revisión trimestral son, en buena parte, los hallazgos de los trabajos ya ejecutados y el estado de sus planes de acción —tema que merece artículo propio y lo tiene: Seguimiento de Hallazgos de Auditoría con IA. Y para conectar tu scoring con el mapa de riesgos corporativo, el marco lo trabajé en COSO ERM e Inteligencia Artificial: Gestión de Riesgos Moderna.
Caso aplicado: de 12 auditorías por costumbre a 9 por riesgo
Cómo se ve el método aplicado en una empresa de servicios con equipo de auditoría interna de 3 personas (capacidad efectiva: 4.200 horas/año tras descontar el 15% de imprevistos y formación).
El punto de partida: un "plan" de 12 auditorías que era la fotocopia de los últimos cuatro años. Tesorería, nómina y facturación se auditaban anualmente; compras llevaba tres años sin visita y ciberseguridad no existía en el mapa.
Universo (Prompt 1): de 22 unidades "conocidas" a 38, incluyendo los puntos ciegos que el prompt destapó: gestión de datos personales, continuidad del negocio, terceros tecnológicos críticos y los modelos de IA que el área comercial ya usaba para fijar precios sin que nadie lo hubiera aprobado formalmente.
Scoring (Prompts 2 y 3): modelo de 7 factores con pesos y escalas verificables. Resultados incómodos y sanos: tesorería —la auditoría ritual de cada año— quedó en riesgo medio (controles maduros, cero hallazgos abiertos, sin cambios), mientras compras subió a alto (nuevo ERP, 4 hallazgos abiertos de severidad alta, rotación del líder del área) junto con ciberseguridad y el proceso de precios con IA.
Plan y capacidad (Prompt 4): 9 trabajos en lugar de 12 —seis auditorías completas sobre riesgo alto, dos revisiones limitadas de riesgo medio y un ciclo formal de seguimiento de planes de acción—, con 400 horas de reserva para no planeados. La lista de lo no cubierto, en blanco y negro: cinco unidades de riesgo medio quedaron para el año siguiente, con el riesgo aceptado descrito.
La reunión de comité: duró 40 minutos en lugar de las dos horas históricas. La pregunta hostil de siempre —"¿por qué no auditas tesorería?"— tuvo respuesta de una línea con el scoring en pantalla. El comité aprobó el plan, ratificó el riesgo aceptado y pidió una sola modificación: adelantar ciberseguridad al primer trimestre. Es decir: discutieron riesgos, no costumbres. Misión cumplida.
Los 4 errores que delatan un plan mal construido
- Universo igual al plan. Si tu universo tiene las mismas unidades que auditas, no es un universo: es tu zona de confort con otro nombre. El universo se construye desde la organización, no desde el historial.
- Scoring con adjetivos. "Impacto: alto" sin criterio verificable es opinión disfrazada de método. Cada nivel de cada factor necesita una condición objetiva que otro pueda verificar.
- Planear al 100% de capacidad. Sin reserva para no planeados, la primera solicitud urgente de la gerencia dinamita el plan completo. Entre 10% y 20% de reserva es higiene básica.
- No mostrar lo que queda afuera. El plan que solo lista lo que harás oculta la decisión más importante: el riesgo que nadie mirará. Esa decisión es del comité, y escondérsela es asumirla tú.
Preguntas frecuentes
¿Qué información le doy a la IA sin violar confidencialidad?
Para el diseño del modelo y del universo, descripciones genéricas bastan (sector, tamaño, procesos). Para el scoring con datos reales, usa entornos con garantías empresariales de no-entrenamiento y anonimiza lo identificable. El plan de auditoría interna es información sensible: trátala con el mismo estándar que exigirías a un tercero que te la pidiera.
¿El scoring con IA no es una caja negra frente al comité?
Al revés, y esa es la gracia: el modelo de factores, pesos y escalas queda escrito antes de aplicarse, y cada calificación es reproducible. La caja negra es el método tradicional ("lo priorizo por experiencia"). Si un miembro del comité cuestiona una prioridad, le muestras el factor, el dato y el peso. Se acabó la discusión de opiniones.
Soy auditor interno único en mi empresa. ¿Esto no me queda grande?
Al contrario: el auditor único es quien más necesita priorizar con método, porque su costo de equivocarse en qué auditar es total. Con los prompts de este artículo, un plan defendible que antes tomaba semanas de consultoría se arma en dos o tres días de trabajo serio. La escala cambia; la lógica no.
Únete a la comunidad de profesionales que ya están transformando su práctica con IA
Más de 1,000 contadores, financieros y auditores en Latinoamérica ya están aplicando estas técnicas en su día a día. El Programa Ejecutivo en IA para Auditoría no es solo un curso: es una comunidad de profesionales que lideran el cambio.
Autor: Francisco Moreno Díaz - CP - MBA - MBAN - CAIO Publicado en: IA Contable
ver abajo
