Cómo construir una biblioteca de prompts para auditores
Un auditor encuentra una forma de pedir a una herramienta de IA que convierta una política extensa en una primera lista de riesgos y controles. El resultado es útil, así que comparte el prompt con el equipo. Semanas después existen cinco variantes del mismo texto, nadie sabe cuál fue probada, una incluye datos que ya no deberían cargarse en la herramienta y otra utiliza instrucciones que contradicen la metodología vigente.
El problema no es la falta de prompts. Es la falta de gobierno.
Una biblioteca de prompts bien diseñada convierte experimentos individuales en una capacidad reutilizable de la Función de Auditoría Interna. Pero para hacerlo debe gestionar cada prompt como un activo metodológico: con propósito definido, propietario, pruebas, reglas de uso, versión aprobada y evidencia de revisión. El valor no está en acumular instrucciones ingeniosas, sino en reducir variabilidad sin trasladar el juicio profesional a la IA.
Una biblioteca de prompts no es una carpeta compartida
La guía de 2026 de IIA Netherlands e ISACA Netherlands sobre IA generativa en auditoría interna sitúa la biblioteca de prompts como un paso de madurez posterior al uso individual de prompting. Su lógica es sencilla: recopilar y refinar prompts que funcionen, organizarlos por fase o tema, mantener control de versiones y hacerlos accesibles al equipo. Es orientación profesional, no un requisito obligatorio.
Las Normas Globales de Auditoría Interna tampoco exigen una “biblioteca de prompts”. Sin embargo, sí crean el marco que vuelve razonable gobernarla. La Norma 9.3 exige al Director de Auditoría Interna establecer, evaluar y actualizar metodologías, además de proporcionar formación sobre ellas. La Norma 10.3 exige gestionar los recursos tecnológicos, formar a los auditores cuando se implementan nuevas tecnologías y considerar los riesgos derivados de su uso.
Por eso, cuando los prompts empiezan a influir de forma repetida en la planificación, el análisis, los papeles de trabajo o la comunicación, dejan de ser simples trucos de productividad. Se convierten en parte de cómo la función ejecuta su metodología.
Una buena biblioteca no estandariza el juicio del auditor. Estandariza la forma de pedir, limitar, revisar y documentar la asistencia de la IA.
Cada prompt debería ser un activo controlado
Guardar únicamente el texto del prompt es insuficiente. Su comportamiento depende también del contexto, de la herramienta utilizada, de los datos aportados y, en muchos casos, del modelo disponible en ese momento. Una ficha mínima debería conservar suficiente información para que otro auditor entienda cuándo utilizarlo y cómo revisar el resultado.
| Elemento | Qué debería contener | Por qué importa |
|---|---|---|
| Identidad y propósito | ID, nombre, caso de uso, fase de auditoría, propietario y nivel de riesgo | Evita prompts huérfanos y usos fuera de alcance |
| Instrucción controlada | Texto aprobado, variables, formato de salida y restricciones | Reduce variabilidad y facilita el uso consistente |
| Reglas de uso | Herramientas autorizadas, datos permitidos/prohibidos, revisión humana y límites de decisión | Integra privacidad, confidencialidad y juicio profesional |
| Evidencia de calidad | Casos de prueba, resultados esperados, versión, fecha de aprobación y cambios | Permite demostrar que el prompt fue evaluado y sigue siendo adecuado |
La herramienta del IIA AI Prompting for Internal Auditors refuerza esta lógica al recomendar guardas claras para el uso de IA, herramientas aprobadas, requisitos de tratamiento de datos, validación de resultados y documentación. También propone construir prompts con elementos como rol, contexto, tarea, formato, restricciones y ejemplos.
Una biblioteca puede convertir esos elementos en una plantilla obligatoria. Por ejemplo, un prompt para generar hipótesis iniciales de riesgos podría exigir que el modelo identifique supuestos, separe hechos de inferencias, no invente controles y solicite información adicional cuando el contexto sea insuficiente. El prompt deja entonces de ser una pregunta abierta y se convierte en un procedimiento asistido.
Probar antes de aprobar
El mayor error es aprobar un prompt porque “dio una buena respuesta” una vez. Una biblioteca reutilizable necesita pruebas deliberadas.
Para usos de riesgo moderado, un paquete de pruebas puede incluir cuatro perspectivas: utilidad, para confirmar que el resultado cumple el objetivo; fidelidad, para comprobar que no añade hechos que no estén en las fuentes suministradas; robustez, para observar qué ocurre cuando faltan datos o aparecen instrucciones ambiguas; y seguridad, para verificar que el prompt no fomenta el uso de información prohibida ni evita controles de revisión.
La prueba no debería buscar que la IA produzca siempre exactamente las mismas palabras. Los modelos generativos pueden variar. Lo importante es definir comportamientos aceptables y fallos inaceptables. Si un prompt se utiliza para resumir evidencia, por ejemplo, un criterio de aprobación podría ser que nunca presente una inferencia como hecho y que marque explícitamente cualquier conclusión que no pueda respaldarse con la documentación suministrada.
El IIA advierte que los resultados de IA pueden ser incorrectos, desactualizados o inventados, y que el contenido utilizado en papeles de trabajo, informes o entregables debe verificarse frente a fuentes fiables. Por ello, el plan de pruebas debería evaluar también cómo el auditor validará el resultado, no solo la calidad aparente de la respuesta.
Propiedad, versiones y guardas deben viajar con el prompt
La gobernanza se vuelve visible cuando alguien puede responder cinco preguntas: ¿quién es responsable?, ¿qué versión está aprobada?, ¿para qué herramienta?, ¿qué datos pueden utilizarse? y ¿qué revisión humana es obligatoria?
El propietario natural puede ser metodología, un responsable de dominio o un equipo de innovación de Auditoría Interna, pero la responsabilidad final sobre las metodologías permanece con el Director de Auditoría Interna. Tecnología, seguridad de la información, privacidad o legal pueden necesitar participar cuando el caso de uso lo requiera. La Artificial Intelligence Auditing Framework del IIA es útil para mantener esa conversación dentro de una lógica de gobierno, gestión y control.
El control de versiones debería activarse, como mínimo, cuando cambie el texto del prompt, la herramienta o modelo autorizado, la metodología de auditoría, una fuente normativa relevante, las reglas de datos o los criterios de revisión. La versión publicada debe mostrar fecha de aprobación, propietario y estado: borrador, piloto, aprobado, suspendido o retirado.
Aquí aparece una conexión importante con las Normas. La Norma 5.2 exige proteger la información y respetar las reglas aplicables de confidencialidad, privacidad y seguridad. La Norma 14.6 exige documentar la información y evidencia que respalda los resultados de un trabajo y revisar la documentación para comprobar que sea precisa, relevante y completa. Cuando la IA influye materialmente en un procedimiento o resultado, conservar la versión del prompt, la herramienta utilizada y la evidencia de validación puede formar parte razonable de esa trazabilidad.
Eso no significa almacenar cada conversación de bajo riesgo. Significa definir en la metodología cuándo el uso de IA es suficientemente relevante para requerir registro en los papeles de trabajo.
Empiece con una biblioteca pequeña y medible
La mejor biblioteca inicial puede contener diez prompts, no cien. Conviene seleccionar tareas repetitivas con valor claro y riesgo controlable, por ejemplo: estructurar preguntas para entrevistas, resumir políticas, generar hipótesis de riesgos, proponer procedimientos para revisión humana o mejorar la claridad de un borrador sin alterar hechos.
Después, el equipo puede aplicar un ciclo sencillo: seleccionar el caso de uso, asignar propietario, diseñar con una plantilla común, probar con casos conocidos, aprobar, publicar y monitorear. Los prompts que generan mucho retrabajo, se utilizan poco o producen errores deben revisarse o retirarse.
Las métricas también deberían ir más allá del tiempo ahorrado. Una función madura puede observar adopción, tasa de retrabajo, errores detectados en revisión, consistencia entre usuarios, tiempo de supervisión, incidentes de datos y satisfacción de los auditores. Una biblioteca que acelera el primer borrador pero duplica el esfuerzo de revisión no está creando el valor esperado.
El paso estratégico es tratar la biblioteca como la interfaz entre la metodología de Auditoría Interna y la IA generativa. Esa interfaz debe evolucionar cuando cambian la tecnología, los riesgos y la propia metodología. Así, los prompts dejan de depender de quién sea “bueno preguntando” y se convierten en una capacidad institucional que puede ser enseñada, supervisada, mejorada y defendida.