Qué significa realmente una Auditoría Interna nativa en IA

Una función de Auditoría Interna puede utilizar agentes, automatizar revisiones y generar borradores en segundos y, aun así, tener una capacidad de IA poco madura. Otra puede usar soluciones más sencillas, mantener varias tareas manuales y estar mucho mejor preparada para crear valor de forma consistente.

La diferencia está en una idea que conviene aclarar antes de diseñar cualquier roadmap: ser una función de Auditoría Interna nativa en IA no significa maximizar la automatización ni delegar el juicio profesional a sistemas autónomos. Significa que la función sabe integrar la IA de forma deliberada en su estrategia, metodología, conocimiento, competencias, controles y procesos de calidad, y sabe también cuándo no utilizarla.

Esa distinción importa porque una visión lineal de la madurez puede empujar a los líderes de auditoría hacia una meta equivocada: pasar de prompts a RAG, de RAG a agentes y de agentes a autonomía creciente, como si cada salto tecnológico fuera necesariamente una mejora de la función. La tecnología puede avanzar de esa forma. La madurez organizativa, no.

El error de confundir madurez con autonomía

Los modelos de evolución tecnológica son útiles para ordenar inversiones y capacidades. La guía de IIA Netherlands e ISACA Netherlands sobre IA generativa, por ejemplo, presenta una progresión desde prompting hasta agentes de IA. Pero la propia guía advierte que alcanzar el nivel más alto no es un fin en sí mismo. El valor depende de la estrategia, el gobierno, las competencias y el contexto del caso de uso.

El mismo principio aparece en otros recursos del IIA. Su Audit Analytics Maturity Model se presenta como un punto de partida para evaluar capacidades, planificar mejoras y seguir el progreso, no como una obligación de que todas las funciones terminen en el mismo estado. En paralelo, las Normas Globales de Auditoría Interna no exigen “automatizar más”. La Norma 10.3 exige al Director de Auditoría Interna procurar tecnologías apropiadas, evaluarlas regularmente y buscar oportunidades para mejorar la eficacia y eficiencia de la función.

La palabra clave es apropiadas. Una solución técnicamente más avanzada puede ser peor si introduce riesgos de confidencialidad, reduce la trazabilidad de la evidencia, dificulta la revisión o cuesta más de lo que aporta.

La autonomía es una decisión de diseño. La madurez es la capacidad de tomar esa decisión de forma consistente, informada y controlada.

Qué significa realmente ser nativa en IA

Una función nativa en IA no es una función que “usa ChatGPT” ni una que dispone del mayor número de automatizaciones. Es una función cuyo modelo operativo está preparado para decidir, desplegar, controlar y mejorar usos de IA de manera repetible.

En la práctica, eso implica al menos seis dimensiones que deben evolucionar juntas:

Dimensión	Capacidad madura	Señal de falsa madurez
Estrategia y valor	Los casos de uso responden a objetivos de Auditoría Interna y necesidades de partes interesadas.	Se prioriza lo que es técnicamente llamativo.
Gobierno y riesgo	Existen reglas sobre herramientas, datos, aprobaciones, supervisión, terceros y usos prohibidos.	Cada equipo experimenta sin criterios comunes.
Datos y conocimiento	La función controla calidad, acceso, clasificación, actualización y procedencia de la información utilizada.	Se conecta IA a repositorios sin gobernar su contenido.
Metodología	La IA está integrada en planificación, ejecución, documentación, revisión y comunicación cuando aporta valor.	La IA funciona como un “plugin” separado de la metodología.
Personas y competencias	Los auditores entienden capacidades, límites, validación y escalamiento a especialistas.	Se confunde facilidad de uso con competencia profesional.
Calidad y monitoreo	Se miden errores, beneficios, excepciones, desempeño y riesgos residuales.	Se mide adopción por número de prompts, licencias o bots.

Esta visión es coherente con la lógica de las Normas Globales de Auditoría Interna. La Norma 9.2 exige una estrategia para la función; la 10.3 conecta la tecnología con eficacia, eficiencia, capacitación y colaboración con TI y seguridad; y el Principio 12 exige mejorar la calidad y evaluar el progreso hacia objetivos de desempeño. La IA, por tanto, no debería administrarse como un programa tecnológico aislado, sino como parte de la capacidad global de la función.

También coincide con el enfoque de sistemas de gestión de ISO/IEC 42001: el uso responsable de IA depende de política, roles, competencia, evaluación de riesgos, controles, seguimiento y mejora continua. El estándar no establece que una organización sea más madura cuanto más autonomía otorgue a sus sistemas.

La función madura selecciona el nivel de automatización por tarea

El error más común en un roadmap de IA es asumir que todas las actividades deberían moverse hacia el mismo punto final. La realidad de Auditoría Interna es más heterogénea.

Pensemos en cuatro tareas:

Resumir una política de 80 páginas. Puede ser un buen candidato para asistencia de IA con verificación relativamente sencilla.
Comparar cientos de hallazgos históricos para identificar temas recurrentes. Puede justificar RAG, analítica o clasificación automatizada si la calidad del repositorio y los accesos están controlados.
Evaluar la credibilidad de una explicación de la dirección frente a evidencia contradictoria. Puede beneficiarse de IA como apoyo analítico, pero el juicio y el escepticismo siguen siendo del auditor.
Emitir una conclusión de aseguramiento. Delegarla a un agente autónomo plantea un problema distinto: la responsabilidad profesional no desaparece porque una herramienta produzca una respuesta convincente.

La decisión debería depender de variables como riesgo, variabilidad de la tarea, sensibilidad de los datos, calidad y verificabilidad de la evidencia, consecuencias del error, necesidad de explicabilidad, frecuencia, volumen y economía del caso de uso.

El NIST AI Risk Management Framework refuerza esta lógica al tratar la gestión del riesgo de IA como una actividad continua y contextual mediante las funciones Govern, Map, Measure y Manage. No todos los sistemas ni todos los usos necesitan los mismos controles. Tampoco todas las tareas de auditoría necesitan el mismo grado de automatización.

Una función nativa en IA sabe mantener tareas manuales

Puede parecer paradójico, pero decidir conscientemente no automatizar una tarea puede ser una señal de madurez.

Si una actividad es poco frecuente, altamente variable, depende de conversaciones sensibles o requiere un nivel de juicio difícil de validar, automatizarla puede destruir más valor del que crea. Lo mismo ocurre cuando la evidencia disponible es débil o cuando el ahorro potencial no compensa el costo de diseñar, probar, asegurar y mantener la solución.

Esto evita una trampa habitual de los programas de transformación: convertir el porcentaje de automatización en un KPI de éxito. Una meta como “automatizar 50% del proceso de auditoría” puede ser útil como hipótesis inicial, pero es peligrosa si empieza a dirigir decisiones independientemente del riesgo y del valor.

La pregunta correcta no es “¿cuánto podemos automatizar?”, sino “¿qué combinación de personas, datos y tecnología produce la mejor evidencia, la mejor decisión y el mejor uso de nuestros recursos?”.

Cómo reconocer una capacidad realmente AI-native

Para un comité de auditoría o un Director de Auditoría Interna, la madurez debería ser visible en decisiones y comportamientos, no solo en herramientas. Algunas preguntas son especialmente reveladoras:

¿Los casos de uso de IA están vinculados con la estrategia y los objetivos de desempeño de Auditoría Interna?
¿Existe una cartera priorizada con criterios explícitos de valor, riesgo, factibilidad y necesidad de juicio profesional?
¿La metodología establece cuándo un resultado de IA puede utilizarse, cómo debe validarse y qué debe documentarse?
¿La función sabe qué datos pueden entrar en cada herramienta y qué información está prohibida o restringida?
¿Los auditores tienen competencias diferenciadas: alfabetización básica, práctica avanzada y acceso a especialistas?
¿Se mide la calidad de los resultados, no solo la velocidad o el número de usuarios?
¿Existen mecanismos para suspender, rediseñar o retirar un caso de uso que no entregue valor o genere riesgo excesivo?

El marco de excelencia de IIA-Australia resulta útil como recordatorio de que la excelencia de Auditoría Interna es multidimensional: estrategia, gobierno, personas, entrega de servicios, excelencia operacional, habilitación digital y comunicación de resultados evolucionan de manera conjunta. La IA pertenece a ese sistema; no lo sustituye.

La meta no es la IA; es una mejor Auditoría Interna

La expresión “AI-native” puede sonar como una invitación a reconstruir la función alrededor de la tecnología. Conviene invertir la lógica. La función debe construirse alrededor de su mandato, sus partes interesadas, sus riesgos, su metodología y su responsabilidad profesional. La IA se vuelve nativa cuando deja de ser un experimento periférico y pasa a formar parte controlada de ese sistema.

Eso puede conducir a agentes en algunos procesos, RAG en otros, prompting estructurado en otros y trabajo deliberadamente humano donde el juicio lo exige. La arquitectura final será distinta para cada función y probablemente cambiará con el tiempo.

Una función verdaderamente madura no es la que entrega más decisiones a la máquina. Es la que puede explicar, con evidencia, por qué una determinada tarea debe ser humana, asistida, automatizada o parcialmente autónoma, y demostrar que esa elección mejora la eficacia, la eficiencia y la calidad de Auditoría Interna.