Auditoría Interna

Por: CP Iván Rodríguez. Colaborador de Auditool

En un mundo cada vez más interconectado y volátil, la auditoría interna ha pasado de ser una herramienta de control financiero para convertirse en un pilar estratégico en la gestión de riesgos organizacionales. El Instituto de Auditores Internos (IIA, por sus siglas en inglés) ha venido liderando una transformación profunda en esta profesión, lo cual se evidencia con la entrada en vigor de nuevos estándares globales en 2025. A esto se suma un panorama dinámico en cuanto a las tendencias de riesgo a nivel mundial.

En el caso del nuevo conjunto de estándares globales de auditoría interna, se marca un hito importante en la profesión. Este proceso de revisión, que duró tres años y contó con la participación de representantes de más de 100 países, respondió a la necesidad de adaptar la normativa a un entorno de riesgos en constante cambio. Los objetivos principales de estos estándares incluyen elevar la calidad de la auditoría interna, incorporar mayores requisitos de comunicación con el comité de auditoría y la alta dirección, y establecer exigencias más estrictas en materia de documentación. Una de las innovaciones clave es la mayor claridad y comprensibilidad de los estándares, diseñados para ser más accesibles no solo para los auditores, sino también para los comités de auditoría y otros stakeholders. Es así como se busca fomentar una mayor flexibilidad, permitiendo que las prácticas se alineen mejor con el contexto actual de las organizaciones. En esencia, estos estándares, además de ser una actualización técnica, se constituyen en un esfuerzo por hacer que la auditoría interna sea más relevante y efectiva en un panorama donde los riesgos tradicionales han dado paso a amenazas emergentes como la ciberseguridad y la disrupción digital.

Históricamente, la auditoría interna se enfocaba principalmente en el control interno sobre la información financiera y la detección de fraudes. Sin embargo, ahora que el panorama de riesgos ha evolucionado drásticamente, este hecho impulsó al IIA a revisar y modificar los estándares. En ese sentido, el nuevo marco adopta un enfoque basado en principios en lugar de reglas rígidas, lo que permite una mayor adaptabilidad a diferentes contextos organizacionales. Esta evolución incorpora una estructura más intuitiva, dividida en áreas como la gestión de la auditoría, la ejecución de trabajos y los reportes. Además, se ha priorizado la comprensibilidad para los miembros de los comités de auditoría, reconociendo que una percepción limitada de la función puede restringir su impacto estratégico. Hoy en día, la auditoría interna, más que verificar controles, asesora en la gestión integral de riesgos, integrando perspectivas sobre tecnología, cultura y resiliencia.

Dentro de los cambios introducidos a los nuevos estándares, se destacan los "requisitos temáticos", que establecen una línea base uniforme para emitir informes de aseguramiento en áreas de riesgo críticas. Estos requisitos no pretenden replicar marcos existentes como NIST o COSO; buscan exigir la adopción de un marco reconocido, acordado entre la dirección, el consejo y la auditoría interna y aplicado de manera consistente. Hasta ahora, se han desarrollado cuatro requisitos temáticos^[1], cada uno enfocado en riesgos emergentes:

• Ciberseguridad: Identificado como el riesgo número uno durante 21 años consecutivos, este requisito enfatiza la definición y acuerdo sobre el marco utilizado, priorizando la coherencia metodológica. Solo aplica en informes de aseguramiento, no en asesorías, y busca mitigar vulnerabilidades en un mundo cada vez más digitalizado.
• Riesgo de terceros: Ante un incremento del 300% en ataques a través de proveedores, este requisito exige la evaluación de proveedores críticos, analizando la interconexión de riesgos, incluyendo ciberseguridad y controles internos. Promueve una visión holística de la cadena de suministro.
• Cultura organizacional: Más allá de un "buen ambiente laboral", este enfoque se centra en cómo la cultura influye en la capacidad de la organización para responder a riesgos. Analiza patrones de comportamiento, empoderamiento de empleados y mecanismos de escalamiento de riesgos, reconociendo que la cultura puede ser más determinante que los controles técnicos.
• Resiliencia organizacional: Este requisito evalúa la capacidad real de respuesta ante crisis, incluyendo habilidades, agilidad y preparación frente a disrupciones como la inteligencia artificial (IA) y la transformación digital. Enfatiza la necesidad de organizaciones ágiles en entornos inciertos.

Estos requisitos temáticos permiten a las organizaciones demostrar ante reguladores y stakeholders que la auditoría interna opera con estándares coherentes y verificables, fortaleciendo la credibilidad de la profesión.

De otra parte, en relación con los riesgos, el IIA realizó una encuesta global a más de 4,000 auditores senior, revelando las principales tendencias en este tema. Los riesgos más destacados incluyen:

• Ciberseguridad: Sigue dominando, reflejando la creciente dependencia de la tecnología.
• Disrupción digital (incluyendo IA): Representa un desafío en la adopción de nuevas herramientas y la gestión de cambios tecnológicos.
• Resiliencia empresarial: La capacidad de recuperación ante shocks externos.
• Capital humano: Problemas como la retención de talento y el desarrollo de habilidades.
• Riesgo geopolítico: Ha experimentado el mayor crecimiento interanual, impulsado por tensiones internacionales, cambios regulatorios y políticas comerciales.

Otra de las iniciativas del IIA, es el lanzamiento del Global Audit Committee Center^[2], una iniciativa destinada a mejorar la percepción de la auditoría interna entre los comités de auditoría. Sus objetivos incluyen capacitar a los miembros de estos comités, difundir una comprensión más amplia del alcance actual de la auditoría y promover su valor estratégico. Más que una percepción negativa, los comités suelen tener una percepción limitada o inexistente. En ese sentido, se busca posicionar a la auditoría interna como un socio clave en la gobernanza corporativa.

Como se aprecia, la auditoría interna está experimentando una transformación profunda, alineándose con riesgos emergentes como la ciberseguridad, la IA, el riesgo geopolítico, la cultura organizacional y la resiliencia empresarial. Los nuevos estándares globales y los requisitos temáticos garantizan consistencia, calidad y relevancia en un entorno cada vez más complejo, ampliando el alcance de la profesión más allá de los controles financieros. Estos avances, además de elevar la calidad de la auditoría, fortalecen su rol como guardián estratégico del riesgo organizacional.

 ^[1] Basado en: A new world of risk in internal audit

^[2] Ver: Global Audit Committee Center  

CP Iván Rodríguez - CIE AF

Auditor y consultor, diplomado en Alta Gerencia de Seguros y Derecho de Seguros. Especialista en Dirección Financiera y Desarrollo Organizacional, diplomado en Gerencia de la Calidad. Contador público (CP) de la Pontificia Universidad Javeriana con 20 años de experiencia en diversas empresas. Tiene amplia experiencia en la elaboración y ejecución de auditorías y revisorías fiscales. Dirección y ejecución de asesorías, consultorías y capacitaciones. Colaborador de Auditool.

Bogotá DC, Colombia.