Aseguramiento continuo con IA: por dónde empezar

Una empresa puede revisar cada mañana todas sus órdenes de compra y aun así descubrir demasiado tarde una excepción importante. El tablero mostraba alertas, pero nadie comprobaba si los datos estaban completos, quién debía investigar cada señal o cuándo elevar un caso. Añadir inteligencia artificial (IA) a ese tablero podría multiplicar las alertas sin mejorar la respuesta.

La tesis es sencilla: el aseguramiento continuo empieza por una cadena de decisiones verificables, no por un algoritmo. Una prueba frecuente solo produce valor cuando sus datos son fiables, la señal corresponde a un riesgo definido y una persona puede actuar sobre ella.

Qué significa «continuo» y quién es responsable

La guía del IIA sobre auditoría y monitoreo continuos, tercera edición (2025) describe la auditoría continua como una forma de realizar evaluaciones recurrentes de riesgos y controles mediante tecnología. Es orientación recomendada, no una obligación de automatizar todos los trabajos ni una promesa de aseguramiento en tiempo real. La frecuencia puede ser diaria, semanal o activada por un evento; debe responder al riesgo y a la oportunidad de intervención.

El monitoreo operativo pertenece a quienes gestionan el proceso y sus controles. Auditoría interna puede utilizar pruebas continuas para orientar su trabajo, contrastar el funcionamiento de controles y comunicar resultados con independencia. El Modelo de las Tres Líneas actualizado por el IIA en 2026 insiste en la claridad de responsabilidades y las salvaguardas de independencia cuando el director de auditoría interna asume otras funciones. Una alerta producida por auditoría no transfiere a auditoría la responsabilidad de corregir una transacción o aceptar un riesgo.

COSO aporta la perspectiva del monitoreo de la calidad del sistema de control interno. Las Normas del IIA gobiernan la práctica profesional de auditoría interna; COSO ayuda a pensar el sistema de controles de la organización. Ambos marcos se complementan, pero cumplen propósitos distintos.

Elija una pregunta de control antes que una herramienta

Un buen primer caso tiene un riesgo material, datos accesibles, una condición observable y un responsable que pueda resolver excepciones. En compras, por ejemplo: «¿Se aprobaron órdenes después de recibir bienes o servicios?» La condición no prueba por sí sola fraude ni ineficacia del control: puede existir una excepción autorizada, un error en la fecha o una práctica que requiera investigación.

Documente en una ficha breve el objetivo, la población, los criterios de evaluación, las exclusiones, la frecuencia, las fuentes, la ruta de escalamiento y el uso previsto del resultado. La Norma 13.4 de las Normas Globales de Auditoría Interna exige identificar los criterios relevantes para evaluar la actividad examinada. Eso obliga a acordar qué constituye una excepción antes de escribir una regla o entrenar un modelo.

Decisión inicial	Pregunta que debe quedar resuelta	Evidencia práctica
Cobertura	¿Qué entidades, periodos y tipos de operación entran?	Definición de población y conciliación con la fuente
Lógica	¿Qué regla identifica el evento y qué excepciones son legítimas?	Especificación versionada y casos de prueba
Respuesta	¿Quién valida, investiga, decide y cierra?	Registro de alertas con fechas y responsables
Resultado	¿Mejora la detección sin saturar al equipo?	Cobertura, retraso, alertas útiles y falsos positivos

Los datos y el diseño de la señal fijan el límite del aseguramiento

La Norma 14.1 requiere información relevante, fiable y suficiente para el análisis y la evaluación. La orientación de analítica del IIA desarrolla cuestiones de gobierno y calidad de datos. En el piloto, concilie importes y recuentos con el sistema de origen; examine registros faltantes, duplicados, cambios de esquema, zonas horarias y fechas modificables. Conserve la procedencia y la versión de cada extracción. Si el flujo llega incompleto, suspenda o marque la prueba: una tasa baja de excepciones también puede ser síntoma de datos ausentes.

Empiece con reglas deterministas cuando el criterio sea explícito. La IA puede ayudar a ordenar alertas, agrupar descripciones o detectar patrones que las reglas no captan, pero exige validar rendimiento, sesgos y cambios en el tiempo. El AI RMF 1.0 de NIST es voluntario y está dirigido a gestionar riesgos de sistemas de IA; sus funciones Govern, Map, Measure, Manage ofrecen una referencia para ese segundo problema. No convierte un puntaje del modelo en evidencia suficiente de una deficiencia de control.

Para cualquier modelo utilizado en la prueba, registre su versión, datos de referencia, umbrales, población prevista, acceso y resultados de validación. Compare una muestra de alertas y de operaciones no señaladas contra expedientes reales. Si cambia el proceso o el origen de datos, vuelva a comprobar la lógica. Una persona con criterio profesional debe decidir si la señal merece investigación.

Diseñe la escalada antes de encender las alertas

Cada alerta necesita estados y tiempos definidos: creada, validada, enviada al responsable del proceso, investigada, resuelta o elevada. Priorice por exposición y urgencia; agrupe duplicados y conserve el motivo de las decisiones. Una señal de alto impacto sin respuesta debe escalar según una ruta acordada con la dirección y la metodología de auditoría. La Norma 14.3 exige evaluar la importancia de los potenciales hallazgos; el conteo de alertas, por sí solo, no equivale a un hallazgo.

La separación de roles es concreta: el dueño del proceso investiga y remedia; el equipo de analítica mantiene el flujo y la lógica; auditoría interna cuestiona los criterios, revisa evidencia, evalúa el riesgo y comunica sus conclusiones. Cuando una misma persona diseña la lógica y valida sus resultados, introduzca revisión independiente. Controle el acceso a datos sensibles y registre ajustes de umbrales para evitar que el sistema oculte señales incómodas.

Un piloto de 90 días con una decisión de salida

Durante las primeras semanas, seleccione un proceso y una prueba, identifique al dueño y establezca una línea de base con datos históricos. Después ejecute la prueba en paralelo con el proceso actual: mida completitud, retraso de datos, volumen de alertas, proporción de casos confirmados y tiempo hasta la decisión. Revise tanto falsos positivos como posibles casos omitidos. Al cierre, decida si ampliar, corregir o detener el piloto; documente también el costo de mantenerlo.

No prometa cobertura total ni aseguramiento permanente por tener una ejecución diaria. El alcance efectivo depende de los datos, de la prueba, del periodo y de la investigación realizada. La Norma 10.3 exige al director de auditoría interna procurar recursos tecnológicos adecuados, evaluar su uso y formar al equipo al introducir tecnología; esa obligación no sustituye el juicio profesional.

La madurez aparece cuando una excepción recorre un camino corto y trazable desde el dato hasta la acción. La IA puede acelerar una parte del trayecto. La confianza depende de que alguien sepa qué cubre la prueba, qué deja fuera y quién responde cuando aparece una señal.