Aseguramiento de calidad en auditorías asistidas por IA
La inteligencia artificial puede reducir horas de análisis, acelerar borradores y ampliar la capacidad de una función de Auditoría Interna. Pero en cuanto una herramienta de IA contribuye a la planificación, al análisis de evidencia, a los papeles de trabajo, a un hallazgo o a una comunicación final, deja de ser solo una herramienta de productividad. Su uso pasa a formar parte del sistema de calidad de la función.
La idea central es sencilla: la IA no necesita un sistema de calidad paralelo. Debe integrarse en la supervisión, documentación, revisión y mejora continua que ya exigen las Normas Globales de Auditoría Interna. Lo que cambia es el perfil de error. A los riesgos tradicionales se suman resultados inventados o desactualizados, pérdida de contexto, referencias incorrectas, variaciones entre ejecuciones y cambios en modelos o configuraciones que pueden alterar el resultado sin que el auditor lo perciba.
La IA no reduce el estándar de calidad del trabajo
Las Normas Globales de Auditoría Interna siguen siendo el punto de partida. La Norma 8.3 exige al Director de Auditoría Interna desarrollar, implementar y mantener un Programa de Aseguramiento y Mejora de la Calidad que cubra todos los aspectos de la función. La Norma 12.1 incorpora el monitoreo continuo y las autoevaluaciones periódicas; y la Norma 12.3 exige metodologías para supervisar los trabajos, verificar la finalización de los programas y confirmar que los papeles de trabajo respaldan los hallazgos, conclusiones y recomendaciones.
La IA no modifica esas obligaciones. Si un resumen, clasificación, comparación o borrador generado por IA influye en el trabajo, el supervisor sigue necesitando evidencia suficiente para concluir que el resultado es fiable y que el trabajo cumple la metodología. La Norma 14.6 refuerza esta expectativa al exigir documentación que permita a una persona informada y competente repetir el trabajo y obtener los mismos resultados, además de revisión sobre la precisión, relevancia e integridad de la documentación.
Esto no significa que cada interacción con IA deba conservarse indefinidamente o que cada prompt deba convertirse en un papel de trabajo. Significa que cuando el uso de IA sea material para una decisión de auditoría, la función debe dejar una pista suficiente para entender qué se hizo, con qué información, cómo se validó y quién asumió la responsabilidad profesional.
El QAIP debe absorber el riesgo de IA, no observarlo desde fuera
El Programa de Aseguramiento y Mejora de la Calidad (QAIP, por sus siglas en inglés) ya combina supervisión diaria, evaluaciones internas, medición del desempeño y mejora continua. Por eso es el lugar natural para incorporar controles sobre el uso de IA.
La herramienta AI Prompting for Internal Auditors del IIA aporta una capa práctica importante: recomienda que el uso de IA se ajuste a las herramientas aprobadas, requisitos de tratamiento de datos y marcos de control de la organización; que existan reglas claras sobre cuándo se permite la asistencia de IA; y que el contenido generado por IA que llegue a papeles de trabajo, informes o entregables sea verificado contra fuentes autorizadas. Es orientación, no un nuevo requisito obligatorio de las Normas, pero encaja directamente con el escepticismo profesional, la supervisión y la documentación exigidos por el GIAS.
COSO aporta otra perspectiva útil. Su guía de 2026 sobre control interno y GenAI aplica los cinco componentes del Internal Control—Integrated Framework a riesgos como alucinaciones, cambios rápidos de configuración, deriva del modelo, falta de trazabilidad y resultados inconsistentes. Para Auditoría Interna, el valor de COSO no es sustituir el QAIP, sino proporcionar un vocabulario de control para diseñar validaciones, monitoreo, gestión de cambios y métricas.
Una regla práctica ayuda a separar ambos planos: GIAS define la obligación profesional de calidad; la orientación del IIA y COSO ayuda a diseñar controles específicos para el uso de IA.
Qué debe cambiar en la supervisión cuando interviene IA
La revisión tradicional suele preguntar si el procedimiento fue ejecutado, si la evidencia es suficiente y si la conclusión se sostiene. Con IA conviene añadir una segunda dimensión: ¿puede el supervisor reconstruir y desafiar la contribución de la herramienta?
La intensidad de la revisión debería aumentar según el impacto del uso de IA. Un brainstorming inicial de riesgos puede requerir una comprobación ligera. Un resumen de entrevistas necesita contraste con las fuentes originales. Una comparación de evidencia con criterios requiere trazabilidad explícita. Y una salida que influya en un hallazgo, una calificación o una conclusión necesita validación independiente y aprobación humana antes de incorporarse al expediente.
Un modelo operativo simple puede estructurarse en cinco controles:
| Etapa | Pregunta de control | Evidencia útil | Señal de calidad |
|---|---|---|---|
| Uso aprobado | ¿La herramienta, el propósito y los datos están permitidos? | política, registro de herramientas, clasificación de datos | excepciones de uso |
| Trazabilidad | ¿Puede vincularse el resultado con fuentes identificables? | referencias, archivos fuente, contexto recuperado | afirmaciones sin soporte |
| Validación | ¿Un auditor contrastó lo relevante con evidencia fiable? | marcas de revisión, reejecución o comprobación | tasa de correcciones |
| Supervisión | ¿El supervisor resolvió excepciones y aprobó el uso material? | revisión documentada y aprobación | retrabajo posterior |
| QAIP | ¿Los errores se miden y alimentan mejoras? | tendencias, análisis de causa, acciones | recurrencia y severidad |
Este diseño es deliberadamente proporcional. El objetivo no es convertir el uso de IA en una carga administrativa, sino impedir que un ahorro de tiempo en producción se convierta en una pérdida de calidad en revisión.
La documentación debe explicar la contribución de la IA
Para usos materiales, la documentación debería permitir responder, como mínimo, qué herramienta se utilizó, para qué tarea, qué fuentes o datos recibió, qué salida influyó en el trabajo, qué validación se realizó y quién revisó el resultado. Estos campos son una buena práctica de diseño de control, no una lista adicional de requisitos creada por el GIAS.
En tareas con mayor riesgo también puede ser útil conservar la versión del modelo o de la aplicación, instrucciones relevantes, restricciones aplicadas, referencias recuperadas y excepciones identificadas. Esta información ayuda especialmente cuando una herramienta cambia con frecuencia o cuando una reejecución puede producir resultados distintos.
La reproducibilidad no debe interpretarse de forma mecánica. En sistemas generativos, repetir exactamente una salida puede no ser técnicamente posible. Lo importante para la calidad de auditoría es que otra persona competente pueda reconstruir el procedimiento, evaluar las fuentes, entender las decisiones tomadas y llegar razonablemente a la misma conclusión de auditoría.
De revisar resultados a monitorear errores
Una función madura no debería limitarse a revisar individualmente las salidas de IA. También debería aprender de sus patrones de fallo. El monitoreo continuo del QAIP puede incorporar indicadores específicos, siempre que sean útiles para la toma de decisiones y no métricas decorativas.
Algunos ejemplos son la proporción de resultados con afirmaciones sin soporte, correcciones materiales después de la revisión del supervisor, referencias a fuentes equivocadas, excepciones por uso de datos no permitidos, variaciones significativas después de cambios de herramienta o modelo, y casos en los que el auditor aceptó una recomendación de IA sin evidencia suficiente. También puede medirse el beneficio: tiempo ahorrado, cobertura adicional o reducción de tareas manuales, pero nunca de forma aislada de la calidad.
El valor aparece cuando estos datos alimentan acciones: ajustar la metodología, modificar plantillas, retirar un caso de uso, cambiar una configuración, reforzar formación o exigir una revisión más intensa para determinadas tareas. Ese ciclo convierte el uso de IA en una capacidad controlada y no en una colección de experimentos independientes.
La métrica de madurez es la capacidad de revisar, no la autonomía
Una función de Auditoría Interna no es más madura porque utilice el modelo más sofisticado o porque automatice más pasos. Es más madura cuando puede demostrar que la tecnología mejora el trabajo sin debilitar el juicio profesional, la fiabilidad de la evidencia ni la trazabilidad de las conclusiones.
Para gerentes y equipos de calidad, la decisión más importante es incorporar la IA dentro de la metodología existente desde el principio. Cada caso de uso debería tener un propósito permitido, una expectativa de evidencia, un nivel de revisión humana, una forma de documentar su contribución y un mecanismo para aprender de errores recurrentes.
La IA puede acelerar un procedimiento. No puede reducir el estándar de evidencia que sostiene la conclusión. Esa distinción es la base de un uso responsable y escalable de IA en Auditoría Interna.