Auditoría Interna

Por: CP Iván Rodríguez. Colaborador de Auditool.

En un entorno empresarial que se presenta cada vez más competitivo y dinámico, las organizaciones en procura de su supervivencia y crecimiento buscan constantemente formas de optimizar sus procesos, reducir costos y mejorar su rendimiento. Una de las herramientas más efectivas que puede emplearse para lograr estos objetivos es la auditoría operativa. Esta labor, además de evaluar el cumplimiento de normas y procedimientos, permite la identificación de oportunidades de mejora en los procesos, de manera que se logre eficiencia y efectividad de las operaciones.

Se suele entender por auditoría operativa al examen sistemático y objetivo de las actividades, procesos y procedimientos de una organización, con el propósito de evaluar su eficiencia, eficacia y economía. Una de las diferencias frente a la auditoría financiera, la cual se centra en la verificación de estados financieros, es que la auditoría operativa se enfoca en analizar cómo se llevan a cabo las operaciones y cómo estas pueden mejorarse. En ese sentido, el objetivo principal de la auditoría operativa es proporcionar recomendaciones que permitan a la organización optimizar sus recursos, mejorar sus procesos y alcanzar sus metas estratégicas de manera más efectiva. Esto implica, entre otras cosas, determinar si los recursos (humanos, financieros, tecnológicos) se utilizan de la mejor manera posible para alcanzar los objetivos de la organización, asegurar que los procesos y actividades están alineados con los objetivos estratégicos y que se están logrando los resultados deseados y detectar posibles riesgos que puedan afectar el normal funcionamiento de la organización, así como proponer medidas para mitigarlos. A su vez, se logra fomentar una cultura de mejora continua, puesto que se identifican áreas de oportunidad y se proponen soluciones innovadoras.

Ahora bien, los auditores, al iniciar un año normalmente revisan cuales son los principales riesgos que deben abordar con su trabajo. De acuerdo con diferentes publicaciones y expertos, los riesgos que deben tenerse en cuenta por su impacto en las organizaciones en 2025 consideran una combinación de factores tecnológicos, económicos, ambientales, regulatorios y sociales. Se muestran a continuación, algunos de los riesgos más relevantes y cómo la auditoría puede abordarlos:

Ataques cibernéticos: La ciberseguridad y los ataques cibernéticos siguen siendo motivo de especial preocupación. El aumento de los ciberataques (ransomware, phishing, etc.) y su nivel de sofisticación, representan una amenaza crítica para la integridad de los datos y la continuidad del negocio.

La auditoría debe entonces, revisar los controles de ciberseguridad, las políticas de acceso, los planes de respuesta a incidentes y el cumplimiento de normativas que apliquen según la jurisdicción o aquellas de organismos profesionales tales como el Reglamento General de Protección de Datos europeo (General Data Protection Regulation - GDPR) o la norma ISO 27001 sobre Sistemas de gestión de la seguridad de la información.

Inteligencia Artificial (IA) y automatización: El uso de IA si bien ofrece numerosos beneficios, también puede generar diversos riesgos asociados a sesgos, falta de transparencia y dependencia excesiva de sistemas automatizados, privacidad y seguridad.

Frente a ello, la auditoría puede evaluar la gobernanza de la IA, la calidad de los datos utilizados (entradas a los modelos y resultados obtenidos) y la existencia de controles para mitigar riesgos operativos. También es importante que los desarrolladores y usuarios de IA consideren los impactos éticos y sociales de estas tecnologías para garantizar que se utilicen de manera responsable y beneficiosa.

Privacidad de datos: Con el aumento de la digitalización, la protección de datos personales y sensibles sigue siendo un desafío, ya que la información puede estar expuesta o ser vulnerable, lo cual es delicado cuando son datos sensibles, ya sean financieros, de salud, laborales, o de cualquier otra índole.

La auditoría debe verificar el cumplimiento de leyes de privacidad y la implementación de medidas técnicas y organizativas para proteger la información. También puede velar por que se recopile solo la información necesaria para el análisis de riesgos, se empleen técnicas que permitan proteger la identidad de las personas y que se informe a los individuos sobre cómo se utilizarán sus datos y obtener su consentimiento. Otras acciones son verificar que se implementen medidas técnicas y organizativas para proteger la información contra accesos no autorizados.

Inestabilidad económica: Temas tales como la inflación, las fluctuaciones monetarias y las crisis geopolíticas pueden impactar la estabilidad financiera de las organizaciones.

La auditoría debe entonces revisar la gestión de riesgos financieros, la liquidez y la capacidad de adaptación a escenarios económicos adversos, para mitigar los riesgos económicos.

Regulaciones ambientales: Las normativas más estrictas sobre emisiones y sostenibilidad pueden generar costos adicionales y riesgos de incumplimiento.

Frente a ello, la auditoría debe verificar el cumplimiento de las normativas ambientales y la integración de prácticas sostenibles en la estrategia corporativa.

Desinformación y fake news: Las fake news o noticias falsas representan un riesgo significativo para las organizaciones, especialmente en la era digital donde la información se propaga rápidamente a través de redes sociales, medios de comunicación y otras plataformas en línea lo que facilita que se pueda dañar fácilmente la reputación de una organización, al desinformar y manipular.

La auditoría, en relación con este riesgo, debe evaluar los mecanismos de comunicación y gestión de crisis, así como la monitorización de la reputación en línea. Debe verificar que en la organización se identifiquen fuentes confiables y se promueva el uso de herramientas y organizaciones dedicadas a la verificación de noticias. También conviene que se establezcan normas para plataformas digitales y medios de comunicación que limiten la propagación de desinformación. Como complemento, se debe fomentar un espíritu crítico y cuestionar la información antes de compartir.

Los anteriores riesgos ponen de presente que la auditoría debe ser más dinámica, tecnológica y orientada a la anticipación de riesgos, debe integrar herramientas avanzadas en cuanto sea posible y emplear un enfoque multidisciplinario para mitigar los riesgos en las organizaciones en un entorno cada vez más complejo.

CP Iván Rodríguez - CIE AF

Auditor y consultor, diplomado en Alta Gerencia de Seguros y Derecho de Seguros. Especialista en Dirección Financiera y Desarrollo Organizacional, diplomado en Gerencia de la Calidad. Contador público (CP) de la Pontificia Universidad Javeriana con 20 años de experiencia en diversas empresas. Tiene amplia experiencia en la elaboración y ejecución de auditorías y revisorías fiscales. Dirección y ejecución de asesorías, consultorías y capacitaciones. Colaborador de Auditool.

Bogotá DC, Colombia.