Casos de uso de IA en auditoría interna
Un equipo de auditoría puede ahorrar veinte minutos redactando un correo con inteligencia artificial y, aun así, no haber cambiado de forma material la manera en que trabaja. El salto importante aparece cuando la tecnología reduce fricción en puntos que consumen capacidad de auditoría: comprender grandes volúmenes de información, recuperar conocimiento disperso, identificar excepciones, mantener trazabilidad, coordinar solicitudes, revisar calidad y convertir señales fragmentadas en decisiones de aseguramiento.
La adopción ya se está moviendo en esa dirección. Una publicación del Institute of Internal Auditors de julio de 2026 señala que 83% de los líderes de auditoría interna encuestados esperaba aumentar el uso de IA durante el año siguiente. En esa misma investigación, las áreas con mayor uso eran planificación, reporting, evaluación de riesgos y trabajo de campo. El mensaje no es que todas las funciones deban automatizar todo el ciclo. Es que la conversación ya pasó de “¿puede la IA ayudar a un auditor?” a “¿qué parte del trabajo merece ser rediseñada y bajo qué controles?”
Las Normas Globales de Auditoría Interna no prescriben una arquitectura de IA. Sí exigen una función basada en riesgos, con recursos tecnológicos apropiados, metodología, supervisión, documentación, calidad y comunicación efectiva. La IA, por tanto, debe entrar como una capacidad dentro de ese sistema profesional, no como un atajo que reduzca evidencia, escepticismo o responsabilidad.
Las tablas de este artículo combinan tres fuentes de ideas: usos documentados por el IIA y la Internal Audit Foundation; actividades profesionales que las Normas ya exigen a la función; y oportunidades de diseño derivadas de capacidades actuales como prompting, RAG, extracción documental, analítica y agentes. No todas las filas representan una práctica desplegada en el mercado ni una recomendación formal del IIA. Deben leerse como un catálogo de candidatos que cada función debe validar contra su contexto, datos, riesgos y arquitectura tecnológica.
La IA debería eliminar fricción, no responsabilidad
Una forma poco útil de construir una estrategia de IA es empezar preguntando qué puede hacer la herramienta y después buscarle una tarea. Una mejor secuencia es comenzar con el trabajo de auditoría:
¿Dónde existe fricción, repetición, información difícil de encontrar, cobertura limitada o variabilidad de calidad?
Después conviene preguntar si la IA puede cambiar ese punto sin trasladar a la tecnología una decisión que debería seguir siendo profesional.
El estudio de la Internal Audit Foundation sobre GenAI encontró utilidad a lo largo de planificación, trabajo de campo, reporting y seguimiento. Investigación más reciente del IIA también describe usos en aseguramiento de calidad, análisis de información no estructurada y flujos agentic para solicitar, revisar y enrutar evidencia. Esto amplía la oportunidad mucho más allá de redactar textos.
Sin embargo, la madurez no aumenta automáticamente con la complejidad. Un asistente RAG limitado a metodología aprobada, con citas y control de versiones, puede ser más maduro que un agente autónomo conectado a varios sistemas sin límites claros. La pregunta correcta no es “¿cuál es el caso de uso más avanzado?”, sino “¿cuál crea valor demostrable con un nivel de autonomía que sabemos gobernar?”
Seis patrones de IA que conviene distinguir
Los nombres comerciales cambian rápido. Para diseñar casos de uso de forma más estable, conviene pensar en patrones tecnológicos:
- Prompting. Un modelo genera, transforma, resume, estructura o cuestiona información dentro del contexto proporcionado. Es apropiado para ideación, redacción y análisis asistido, siempre con validación.
- RAG —retrieval-augmented generation—. El modelo recupera contenido desde fuentes aprobadas antes de responder. Es especialmente útil cuando importan metodología, políticas, estándares, informes previos o evidencia y se necesitan referencias a la fuente.
- IA documental. Clasifica documentos y extrae campos, fechas, firmas, cláusulas, atributos o entidades de grandes volúmenes de archivos.
- Analítica, ML y optimización. Encuentra anomalías, patrones, predicciones, segmentos o combinaciones óptimas en datos estructurados. No todo caso de uso valioso necesita un LLM.
- Agentes y flujos agentic. El sistema puede ejecutar varios pasos, usar herramientas, mover información o iniciar acciones. El riesgo aumenta cuando pasa de proponer a actuar.
- Híbridos. Combinan recuperación, modelos generativos, reglas, analítica y automatización. Muchos casos de uso realmente valiosos terminarán aquí.
NIST AI RMF, ISO/IEC 42001:2023 y la guía de COSO sobre control interno para GenAI son referencias útiles para pensar en gobernanza, riesgos, supervisión, monitoreo y controles. No sustituyen la metodología de auditoría interna ni convierten cada buena práctica en un requisito aplicable a la función.
Casos de uso a través del ciclo del trabajo (encargo)
Planificación: desde el plan de auditoría hasta el alcance de un trabajo
La planificación tiene dos niveles distintos. En el nivel de función, la IA puede ampliar la capacidad para detectar señales, mantener el universo auditable y construir escenarios del plan. En el nivel de trabajo, puede reducir el tiempo necesario para comprender el proceso, recuperar antecedentes, identificar criterios y convertir riesgos en un programa inicial.
Planificación a nivel de función
| Caso de uso | Qué hace | Señal de valor | Control clave |
|---|---|---|---|
| Escáner de riesgos y horizonte (RAG + agente) | Revisa fuentes internas y externas aprobadas para detectar riesgos emergentes, cambios regulatorios, incidentes y señales estratégicas. | Detección más rápida de cambios relevantes | Fuentes curadas, reglas de vigencia y validación del auditor |
| Motor de triaje del universo de riesgos (RAG + analítica) | Agrupa y prioriza señales de riesgo antes de la evaluación formal, destacando temas que requieren atención de auditoría. | Tiempo ahorrado en síntesis; cobertura de señales de riesgo | La IA propone; el DAI y los auditores deciden prioridades |
| Mapa de completitud del universo auditable (Híbrido) | Compara estructuras, procesos, sistemas, entidades, proyectos y planes anteriores para identificar posibles brechas en el universo auditable. | Posibles omisiones identificadas y resueltas | Tratar coincidencias como hipótesis y reconciliar con datos maestros |
| Optimizador de escenarios del plan anual (Analítica + LLM) | Construye escenarios alternativos del plan con prioridad de riesgo, coberturas obligatorias, capacidad, competencias, calendario y solicitudes de partes interesadas. | Tiempo de elaboración; utilización de capacidad | Sin aprobación autónoma; supuestos visibles |
| Sintetizador de señales de partes interesadas (Prompting + IA documental) | Sintetiza entrevistas, encuestas, solicitudes del consejo, inquietudes de dirección y talleres de riesgo en temas estructurados para la planificación. | Tiempo ahorrado; temas trazables a fuentes | Conservar atribución y opiniones minoritarias |
| Mapeador de cobertura de aseguramiento (RAG + analítica) | Relaciona riesgos con auditoría interna, cumplimiento, riesgos, auditoría externa y otros proveedores para identificar duplicidades y brechas. | Brechas y duplicidades identificadas | Las decisiones de confianza siguen siendo juicio profesional |
Planificación a nivel de trabajo (cargo)
| Caso de uso | Qué hace | Señal de valor | Control clave |
|---|---|---|---|
| Asistente de alcance del trabajo (RAG) | Usa objetivos, información del proceso, hallazgos previos, riesgos actuales y solicitudes para proponer opciones de alcance y exclusiones. | Tiempo de planificación; menos cambios tardíos | El alcance lo aprueba el responsable del trabajo |
| Recuperador de auditorías y hallazgos previos (RAG) | Recupera informes, papeles de trabajo, hallazgos, planes de acción y temas recurrentes relevantes para la actividad revisada. | Historial relevante recuperado; tiempo de búsqueda | Permisos, versionado y precisión de citas |
| Generador de hipótesis de riesgos y controles (Prompting + RAG) | Genera hipótesis iniciales de riesgos, controles, fraude y modos de fallo para contrastarlas en walkthroughs y entrevistas de planificación. | Amplitud de hipótesis consideradas | No tratar riesgos o controles generados como hechos |
| Navegador de criterios de auditoría (RAG) | Recupera políticas, regulaciones, normas, contratos y marcos de control relevantes y los vincula con posibles objetivos del trabajo. | Tiempo para identificar criterios; cobertura de citas | Usar solo fuentes autoritativas y vigentes |
| Sugeridor de programas de trabajo históricos (RAG) | Encuentra programas de trabajo comparables y propone procedimientos reutilizables, señalando dónde los riesgos actuales requieren cambios. | Reutilización; tiempo de planificación ahorrado | Evitar copiar procedimientos obsoletos; revisar riesgos actuales |
| Constructor de solicitudes de evidencia (Prompting + RAG) | Redacta una lista inicial de solicitudes de evidencia alineada con objetivos, riesgos, controles y procedimientos previstos. | Menos solicitudes omitidas; menos ciclos PBC | El responsable aprueba necesidad y proporcionalidad |
El límite profesional es importante. La IA puede proponer una prioridad, un alcance o un procedimiento; no debería convertirse en la autoridad que decide qué riesgo merece cobertura. La Norma 9.4 sitúa la responsabilidad del plan en el Director de Auditoría Interna, mientras las Normas 13.2 a 13.6 estructuran la evaluación de riesgos, objetivos, alcance, criterios, recursos y programa de trabajo a nivel de cada auditoría.
Ejecución: de revisar documentos a trabajar con evidencia a escala
En ejecución, la oportunidad más relevante no es “hacer que la IA audite”. Es aumentar la cantidad y diversidad de información que el auditor puede considerar sin perder trazabilidad. La especificación vigente del examen CIA Parte 2 ya reconoce IA, machine learning, automatización, monitoreo continuo y analítica como tecnologías que pueden apoyar hallazgos y conclusiones; las Normas Globales, por su parte, mantienen la exigencia de información relevante, fiable y suficiente y de documentación adecuada.
| Caso de uso | Qué hace | Señal de valor | Control clave |
|---|---|---|---|
| Asistente de evidencia en PDF (RAG) | Consulta informes extensos, políticas, contratos, reportes SOC y otra evidencia conservando referencias a la fuente. | Tiempo de revisión; precisión de citas | No inferir más allá de la evidencia recuperada; verificar citas |
| Analizador de recepción PBC (Agente + IA documental) | Contrasta la evidencia recibida con lo solicitado, identifica faltantes o elementos no utilizables y prepara seguimientos. | Tiempo del ciclo PBC; tasa de faltantes | El agente puede pedir aclaraciones, no declarar suficiencia |
| Clasificador y extractor documental (IA documental) | Clasifica grandes conjuntos de evidencia y extrae campos, fechas, aprobaciones, cláusulas o atributos de control definidos. | Documentos procesados; precisión de extracción | Muestreo de calidad y revisión de excepciones |
| Comprobador de trazabilidad evidencia-criterio (RAG + reglas) | Relaciona evidencia con criterios y procedimientos, señalando afirmaciones sin respaldo o enlaces faltantes. | Afirmaciones sin respaldo detectadas | El auditor decide suficiencia y relevancia |
| Comparador de contratos y políticas (RAG + IA documental) | Compara contratos, políticas, procedimientos o versiones para identificar desviaciones, cláusulas faltantes o requisitos inconsistentes. | Excepciones encontradas; tiempo de revisión | La interpretación jurídica corresponde a profesionales cualificados |
| Sintetizador de entrevistas y walkthroughs (Prompting) | Convierte notas o transcripciones aprobadas en pasos de proceso, controles, preguntas abiertas, contradicciones y seguimientos. | Tiempo de documentación; preguntas pendientes identificadas | Conservar contexto y verificar afirmaciones materiales |
| Investigador de anomalías transaccionales (Analítica + LLM) | Combina analítica con explicaciones en lenguaje natural para priorizar transacciones inusuales y sugerir rutas de investigación. | Rendimiento de excepciones; tiempo de investigación | Una anomalía no prueba irregularidad; investigar |
| Selector de muestras basado en riesgo (Analítica / ML) | Prioriza muestras usando factores de riesgo, anomalías, importe, frecuencia, historial de controles o lógica de muestreo definida. | Cobertura de población de alto riesgo; reproducibilidad | Documentar la lógica de muestreo y evitar sesgos ocultos |
| Asistente para pruebas de controles (Híbrido) | Ejecuta verificaciones acotadas, como aprobaciones, fechas, umbrales, campos requeridos o atributos documentales, y resume excepciones. | Pruebas completadas; precisión de excepciones | Lógica predefinida, muestra QA y conclusión humana |
| Detector de contradicciones entre evidencias (RAG + LLM) | Busca inconsistencias de afirmaciones, fechas, responsables o controles entre entrevistas, políticas, tickets, informes y registros. | Contradicciones detectadas y resueltas | Tratar como pistas; revisar fuentes originales |
| Comprobador de completitud de papeles de trabajo (RAG + reglas) | Comprueba si los papeles de trabajo contienen objetivos, procedimientos, referencias de evidencia, notas de revisión, conclusiones y aprobaciones requeridas. | Notas de revisión evitadas; tasa de completitud | Metodología vigente; el revisor conserva responsabilidad |
| Agente de flujo de recopilación de evidencia (Agente) | Orquesta solicitudes aprobadas, recordatorios, recepción, nomenclatura, metadatos y enrutamiento a la línea de trabajo correcta. | Horas administrativas ahorradas; tiempo de respuesta | Sin acceso, borrado o aceptación no controlados |
Los casos agentic requieren una frontera adicional: una acción es más riesgosa que una sugerencia. Un agente puede organizar solicitudes o ejecutar pruebas acotadas, pero permitirle aceptar evidencia como suficiente, modificar papeles de trabajo sin trazabilidad o cerrar una prueba sin revisión cambia materialmente el perfil de control.
Reporting: la oportunidad no es escribir más rápido, sino elevar la consistencia
La redacción es uno de los usos más visibles de GenAI, pero un buen caso de uso de reporting debería mejorar algo más que la velocidad. Puede reforzar la lógica del hallazgo, comprobar trazabilidad, comparar calificaciones, desafiar planes de acción y llevar la revisión de calidad más cerca del momento en que se crea el contenido.
| Caso de uso | Qué hace | Señal de valor | Control clave |
|---|---|---|---|
| Optimizador de borradores de hallazgos (Prompting + RAG) | Convierte hechos validados en un primer borrador estructurado con criterio, condición, causa, riesgo/consecuencia y acción. | Tiempo de redacción; nivel de edición | Solo evidencia validada entra al contexto |
| Revisor lógico de hallazgos (RAG + reglas) | Comprueba la coherencia interna del hallazgo y si la conclusión está realmente respaldada por la evidencia indicada. | Lógica sin respaldo detectada antes de revisión | Señalar problemas, no adaptar hechos a la conclusión |
| Generador de hipótesis de causa raíz (Prompting) | Propone hipótesis plausibles de causa raíz y preguntas de seguimiento a partir de patrones de evidencia y diseño de controles. | Mejora de discusiones de causa raíz | Las hipótesis requieren corroboración |
| Comprobador de soporte de evidencia (RAG) | Verifica que hechos, cifras, fechas y conclusiones del borrador puedan trazarse a papeles de trabajo o fuentes aprobadas. | Afirmaciones sin respaldo eliminadas | La recuperación debe respetar permisos y versiones |
| Revisor de consistencia de calificaciones (RAG + analítica) | Compara calificaciones propuestas con criterios definidos y hallazgos similares para detectar posibles inconsistencias. | Consistencia; análisis de ajustes del revisor | La IA no asigna la calificación final |
| Analizador de respuestas de gestión (Prompting + RAG) | Evalúa si la respuesta de gestión aborda riesgo, causa raíz, responsable, plazo y evidencia esperada. | Ciclos de retrabajo; acciones débiles cuestionadas | El auditor negocia y aprueba acciones |
| Generador de resumen ejecutivo (Prompting + RAG) | Sintetiza resultados validados en mensajes concisos sobre relevancia, temas, exposición y decisiones necesarias. | Tiempo de redacción; comprensión de stakeholders | Sin hechos nuevos ni afirmaciones más fuertes |
| Asistente de comunicación adaptada (Prompting) | Adapta las mismas conclusiones aprobadas para responsables de proceso, alta dirección, consejo o reguladores sin cambiar el contenido sustantivo. | Menos revisiones; claridad del mensaje | Mantener una única fuente de verdad |
| Sintetizador de temas del portafolio (RAG + analítica) | Agrega múltiples trabajos para identificar fallos recurrentes, temas transversales, causas sistémicas o señales de riesgo emergente. | Temas escalados; conocimiento transversal | Evitar generalizar trabajos no comparables |
| Revisor de calidad de informes (RAG + agente) | Revisa borradores en precisión, objetividad, claridad, concisión, carácter constructivo, completitud, tono y requisitos metodológicos. | Notas de revisión; tiempo; legibilidad | Apoya, no sustituye, la supervisión |
| Constructor de briefing para comité de auditoría (RAG + prompting) | Construye una narrativa para el consejo a partir de informes aprobados, temas, acciones vencidas, aceptación de riesgos y desempeño. | Tiempo de preparación; completitud de mensajes | El DAI aprueba materialidad y escalamiento |
Un principio debe permanecer intacto: la IA no puede crear evidencia que no existe. Si el borrador contiene una afirmación que los papeles de trabajo no soportan, la solución no es pedirle al modelo que la redacte mejor. Es retirar la afirmación, obtener evidencia adicional o cambiar la conclusión.
Seguimiento: de perseguir fechas a evaluar si el riesgo realmente cambió
El seguimiento suele concentrar trabajo administrativo: recordatorios, recepción de soportes, actualización de estados y preparación de escalaciones. Esa fricción lo convierte en un buen terreno para automatización, siempre que la confirmación de implementación y la evaluación del riesgo residual continúen bajo responsabilidad de auditoría.
| Caso de uso | Qué hace | Señal de valor | Control clave |
|---|---|---|---|
| Validador de evidencia de remediación (RAG + IA documental) | Compara evidencia de cierre con la acción acordada y la prueba esperada, identificando faltantes o inconsistencias. | Tiempo de revisión; tasa de reapertura | La IA recomienda; el auditor confirma implementación |
| Revisor de suficiencia del plan de acción (Prompting + RAG) | Evalúa si una acción propuesta aborda la causa raíz y el riesgo, no solo el síntoma. | Acciones débiles corregidas antes de aceptar | Usar costo-beneficio y contexto; acuerdo humano |
| Asistente de recomendación de cierre (RAG) | Resume estado, evidencia, brechas restantes y riesgo residual para apoyar decisiones de cerrar, extender o escalar. | Decisiones consistentes; tiempo ahorrado | Sin cierre autónomo de hallazgos |
| Priorizador de acciones vencidas (Analítica + LLM) | Prioriza acciones vencidas por riesgo, antigüedad, exposición, recurrencia, dependencias y respuesta de gestión. | Acciones vencidas de alto riesgo atendidas antes | Ponderación transparente y ajuste manual |
| Agente de solicitudes de seguimiento (Agente) | Envía recordatorios aprobados, solicita evidencia, clasifica respuestas y enruta pendientes al auditor correspondiente. | Horas administrativas; tiempo de respuesta | Umbrales y plantillas aprobados |
| Detector de hallazgos recurrentes (RAG + analítica) | Encuentra temas, fallos de control, causas, unidades o responsables recurrentes entre hallazgos abiertos y cerrados. | Recurrencia identificada antes | Normalizar taxonomía y verificar comparabilidad |
| Monitor continuo de indicadores (Analítica / ML) | Monitorea indicadores seleccionados de control o riesgo y genera alertas que pueden requerir seguimiento o nuevo aseguramiento. | Precisión de alertas; tiempo de detección | Umbrales definidos, responsables y revisión de falsos positivos |
| Asistente de reevaluación de riesgo residual (Prompting + RAG) | Usa evidencia de remediación y contexto actual para estructurar una reevaluación de la exposición restante. | Consistencia de reevaluación; tiempo ahorrado | Aceptación y conclusiones de riesgo siguen siendo humanas |
| Constructor de expediente de escalamiento (RAG + prompting) | Reúne cronología, compromisos, evidencia, riesgo abierto, comunicaciones y decisiones para escalar a alta dirección o consejo. | Tiempo de preparación; completitud | El DAI decide si y cómo escalar |
| Clasificador de estados de gestión (IA documental) | Clasifica actualizaciones libres en estados estandarizados como en curso, retrasado, evidencia incompleta, discutido o listo para revisión. | Horas de triaje; precisión | No inferir implementación solo por el texto de gestión |
| Detector de riesgos reabiertos (RAG + analítica) | Busca incidentes, quejas, fallos de control o cambios de negocio que puedan invalidar una acción previamente cerrada. | Revisión de cierres cuando corresponda | Criterios de disparo definidos y juicio de auditoría |
La Norma 15.2 exige un proceso para confirmar la implementación de recomendaciones o planes de acción. La tecnología puede hacer que ese proceso sea más continuo y focalizado, pero “evidencia recibida” no debe convertirse automáticamente en “acción implementada”.
Casos de uso que fortalecen a la función, no solo al trabajo
Calidad: IQA, EQA, supervisión y mejora continua
La calidad no debería aparecer únicamente al final del informe. Las Normas Globales distribuyen la responsabilidad a través de la evaluación interna de calidad, medición del desempeño y supervisión y mejora del desempeño de los trabajos; además, la Norma 8.4 establece la evaluación externa de calidad. La IA puede ayudar a convertir esas actividades en un sistema más continuo y basado en evidencia.
| Caso de uso | Qué hace | Señal de valor | Control clave |
|---|---|---|---|
| Asistente de conocimiento del QAIP (RAG) | Responde preguntas de metodología y calidad con GIAS, manuales QA, metodología interna y procedimientos locales aprobados. | Tiempo de búsqueda; tasa de citas | Fuentes versionadas y verificación de citas |
| Mapeador de conformidad para IQA (RAG + reglas) | Mapea evidencia interna contra requisitos de las Normas para autoevaluaciones periódicas e identifica soporte faltante o conclusiones ambiguas. | Tiempo de preparación; brechas de evidencia | El evaluador cualificado emite el juicio de conformidad |
| Monitor continuo de calidad (Analítica + RAG) | Revisa trabajos terminados para detectar desviaciones recurrentes, revisiones tardías, aprobaciones faltantes, hallazgos sin soporte o brechas documentales. | Defectos detectados; reducción de tendencias | Reglas transparentes y validación de falsos positivos |
| Índice de evidencia para preparación EQA (RAG) | Crea un mapa de evidencia para la evaluación externa, vinculando normas, políticas, papeles de trabajo, comunicaciones al consejo, métricas e IQA previas. | Horas de preparación; evidencia faltante | No autocertificar conformidad ni independencia |
| Organizador del paquete documental EQA (Agente + RAG) | Recopila, etiqueta, indexa y enruta documentos aprobados solicitados por evaluadores externos respetando restricciones de acceso. | Horas administrativas; tiempo de respuesta | Control de acceso y aprobación humana antes de compartir |
| Asistente de supervisión del trabajo (RAG + reglas) | Señala notas de revisión abiertas, conclusiones inconsistentes, procedimientos incompletos, papeles vencidos y cambios de alcance sin resolver. | Tiempo de revisión; defectos detectados antes | El supervisor conserva responsabilidad |
| Comprobador de cumplimiento metodológico (Reglas + RAG) | Comprueba si están presentes plantillas, aprobaciones, pasos de planificación, documentación de pruebas y comunicaciones requeridas. | Excepciones metodológicas; retrabajo evitado | Reglas alineadas a metodología vigente y excepciones aprobadas |
| Revisor de consistencia entre trabajos (RAG + analítica) | Compara trabajos similares para detectar inconsistencias en calificaciones, expectativas de evidencia, redacción, profundidad de alcance o tratamiento de temas recurrentes. | Inconsistencias identificadas | El contexto puede justificar diferencias |
| Analista de métricas de desempeño (Analítica + LLM) | Analiza oportunidad, cobertura, tiempo de ciclo, productividad, feedback, ejecución del plan, defectos de calidad e indicadores de valor. | Mejor insight de KPI; tiempo ahorrado | Evitar optimizar una métrica sacrificando calidad |
| Sintetizador de feedback de partes interesadas (Prompting + analítica) | Resume comentarios de encuestas y entrevistas para identificar fortalezas, preocupaciones, expectativas y oportunidades recurrentes. | Temas de respuesta; accionabilidad | Proteger anonimato y evitar sobrerreaccionar al sentimiento |
| Benchmark de calidad de informes (RAG) | Compara informes aprobados con criterios internos de calidad y ejemplos curados para apoyar coaching y mejora continua. | Puntuaciones de calidad; temas de coaching | No premiar estilo sobre evidencia o sustancia |
| Rastreador de remediación de no conformidades (Agente + RAG) | Rastrea hallazgos de calidad, causas, responsables, acciones, evidencia, fechas y estado de cierre. | Remediación a tiempo; reducción de recurrencia | El DAI y el consejo mantienen la supervisión requerida |
Un sistema puede señalar una posible no conformidad; el juicio de conformidad pertenece al evaluador competente. Esa diferencia es especialmente importante en IQA y EQA, donde la independencia, la evidencia y la interpretación de requisitos no pueden reducirse a una puntuación generada automáticamente.
Operaciones: conocimiento, capacidad y administración de la función
La Norma 10.3 sobre recursos tecnológicos hace relevante una pregunta de gestión: ¿la función está usando la tecnología de manera que mejore su eficacia y eficiencia? La respuesta incluye los trabajos, pero también la infraestructura diaria que permite que la función opere.
| Caso de uso | Qué hace | Señal de valor | Control clave |
|---|---|---|---|
| Asistente de conocimiento del manual de auditoría (RAG) | Permite consultar metodología, plantillas, definiciones, ejemplos y procedimientos aprobados con citas. | Tiempo de búsqueda; adopción de metodología estándar | Permisos, versiones y citas |
| Biblioteca de prompts de IA (Prompting) | Proporciona patrones de prompts revisados para tareas comunes con ejemplos, restricciones y pasos de verificación. | Reutilización; tiempo ahorrado; calidad | Aprobación, responsable, control de versiones y retiro |
| Sintetizador de acciones de reuniones (Prompting) | Convierte notas aprobadas en decisiones, acciones, responsables, fechas, preguntas abiertas y seguimientos. | Tiempo de minutas; completitud de acciones | Confirmación humana antes de distribuir |
| Asistente de investigación y normas (RAG + agente web) | Busca fuentes internas y externas aprobadas sobre regulaciones, normas, asuntos sectoriales y guía de auditoría. | Tiempo de investigación; calidad de citas | Fuentes permitidas, vigencia y sin afirmaciones sin fuente |
| Coach de aprendizaje para auditores (RAG + prompting) | Crea rutas de aprendizaje, cuestionarios, escenarios y explicaciones por rol usando material formativo aprobado. | Finalización, mejora en evaluación, tiempo a competencia | No inventar políticas ni guía técnica |
| Asignador de personal y competencias (Analítica + LLM) | Relaciona requisitos del trabajo con competencias, certificaciones, experiencia, disponibilidad y necesidades de desarrollo. | Ajuste de competencias; tiempo de asignación | Evitar proxies discriminatorios; aprobación del manager |
| Optimizador del calendario de auditoría (Optimización + LLM) | Programa trabajos según dependencias, periodos bloqueados, disponibilidad, especialistas y hitos de reporte. | Conflictos; esfuerzo de reprogramación | Restricciones y prioridades transparentes |
| Pronosticador de presupuesto y esfuerzo (Analítica / ML) | Usa históricos y supuestos de alcance para estimar horas, apoyo externo, viajes y necesidades tecnológicas. | Precisión del pronóstico; desviación presupuestaria | Considerar novedad del alcance y calidad de datos |
| Asistente de due diligence de proveedores (RAG + prompting) | Estructura comparaciones de proveedores, especialistas, herramientas, SOW, competencias, conflictos y requisitos de seguridad. | Tiempo de selección; completitud de evaluación | Siguen siendo necesarias revisiones de compras, independencia, legal y seguridad |
| Generador de plantillas y comunicaciones (Prompting + RAG) | Redacta anuncios, agendas, estados, solicitudes de evidencia y comunicaciones internas desde plantillas aprobadas. | Tiempo administrativo; consistencia | Sin envío externo sin aprobación |
| Narrador del estado del portafolio (Analítica + LLM) | Convierte datos estructurados del portafolio en narrativas concisas sobre avance, retrasos, presión de recursos y decisiones necesarias. | Tiempo de reporte; visibilidad de problemas | Las cifras deben reconciliarse con sistemas fuente |
| Curador de lecciones aprendidas (RAG + agente) | Captura lecciones, procedimientos, prompts, errores y ejemplos reutilizables y los integra en bases de conocimiento gobernadas. | Reutilización; duplicidad evitada | Eliminar contenido sensible y asignar responsables |
Aquí suelen encontrarse los mejores primeros pilotos porque muchos resultados son reversibles y fáciles de revisar. Un asistente del manual de auditoría, una biblioteca de prompts o un sintetizador de reuniones pueden demostrar valor sin otorgar al sistema autoridad sobre conclusiones de aseguramiento.
Gobernanza: auditar con IA también crea un nuevo objeto de control
Cuando Auditoría Interna adopta IA, deja de ser únicamente un observador de la gobernanza de la organización. También se convierte en usuario de la tecnología. Eso crea riesgos propios: información confidencial en prompts, fuentes desactualizadas, permisos excesivos, dependencia de proveedores, agentes con demasiado acceso, fallos de trazabilidad o outputs que parecen convincentes sin estar respaldados.
El Artificial Intelligence Auditing Framework, 2nd Edition del IIA se centra principalmente en cómo comprender y evaluar riesgos, gobernanza y controles de IA en la organización. La misma disciplina resulta útil al diseñar la gobernanza del uso de IA dentro de Auditoría Interna.
| Caso de uso | Qué hace | Señal de valor | Control clave |
|---|---|---|---|
| Inventario de casos de uso de IA de Auditoría Interna (Agente + RAG) | Mantiene un catálogo de casos de uso con responsables, herramientas, datos, nivel de riesgo, estado, controles y medidas de valor. | Completitud del inventario; revisiones a tiempo | La detección debe incluir usos informales o locales |
| Clasificación de riesgo de casos de uso (Reglas + LLM) | Clasifica casos propuestos según sensibilidad de datos, consecuencia, autonomía, exposición externa, accesos y reversibilidad. | Tiempo de aprobación; consistencia | Criterios aprobados; ajustes documentados |
| Asistente de herramientas y uso de datos aprobados (RAG) | Responde si una herramienta y un tipo de dato están permitidos para una tarea, citando política y excepciones. | Menos incumplimientos; tiempo de decisión | Política vigente; casos ambiguos se escalan |
| Gobernanza y versionado de prompts (RAG + flujo) | Almacena prompts aprobados, responsables, versiones, resultados de prueba, contextos permitidos y fechas de retiro. | Reutilización; tasa de fallos; frecuencia de revisión | Control de cambios y pruebas antes de cambios materiales |
| Puerta de validación de resultados (Reglas + agente) | Exige pasos de verificación definidos antes de que análisis, resúmenes o borradores generados por IA entren en papeles o informes. | Validaciones completadas; defectos detectados | La puerta no puede omitirse en outputs de alto riesgo |
| Monitor de cambios de modelo y proveedor (RAG + agente) | Rastrea cambios materiales en modelos, asistentes, APIs, funciones, condiciones, retención y subprocesadores. | Cambios evaluados antes de uso; tiempo de reevaluación | Usar fuentes autoritativas del proveedor y empresa |
| Revisor de accesos y permisos (Analítica + reglas) | Revisa usuarios, agentes, conectores, repositorios y sistemas a los que puede acceder un caso y señala privilegios excesivos. | Accesos excesivos eliminados; revisiones completadas | Mínimo privilegio, segregación y recertificación |
| Orquestador de aprobaciones humanas (Flujo agente) | Inserta aprobaciones obligatorias antes de acciones sensibles como enviar solicitudes, cambiar registros, cerrar hallazgos o publicar informes. | Acciones no autorizadas evitadas; tiempo de aprobación | La aprobación debe ser real, informada y registrada |
| Monitor de actividad y trazabilidad de IA (Analítica + agente) | Revisa logs de prompts, fuentes recuperadas, llamadas a herramientas, resultados, aprobaciones, errores y excepciones. | Cobertura de trazabilidad; excepciones investigadas | Logs protegidos contra alteración y acceso restringido |
| Clasificador y registro de incidentes de IA (IA documental + agente) | Registra y clasifica alucinaciones, fugas de datos, acciones erróneas, fallos de acceso, incumplimientos, sesgos y near misses. | Tasa de captura; tiempo de resolución | Incidentes materiales requieren escalamiento y causa raíz |
| Monitor de desempeño y calidad de IA (Analítica / ML) | Monitorea precisión, calidad de citas, excepciones, overrides, modos de fallo, latencia y coste de casos productivos. | Tendencia de calidad; reducción de fallos; coste | Métricas alineadas al caso y riesgo |
| Rastreador de valor y ROI de IA (Analítica + LLM) | Mide tiempo ahorrado, cobertura ampliada, reducción de ciclo, mejora de calidad, adopción y coste incremental por caso. | Beneficio realizado vs. esperado | No equiparar horas ahorradas con valor si cae calidad o cobertura |
| Comprobador de segregación de funciones para agentes (Reglas + analítica de grafos) | Detecta cuando un agente o servicio puede solicitar, recibir, probar, aprobar y cerrar el mismo elemento sin separación suficiente. | Permisos conflictivos identificados | Aprobación independiente en acciones de alto impacto |
| Escáner de datos sensibles en prompts (Clasificación + reglas) | Detecta o bloquea información restringida antes de enviarla a un modelo o servicio externo según reglas aprobadas. | Incumplimientos bloqueados; falsos positivos | Complementa, no sustituye, formación y entornos aprobados |
La gobernanza debe ser proporcional. No necesita un comité independiente para cada prompt, pero sí reglas claras sobre herramientas aprobadas, datos, decisiones permitidas, trazabilidad, revisión humana, cambios y responsabilidad.
Cómo elegir los primeros cinco casos de uso
Un catálogo grande solo es útil si conduce a decisiones. Para priorizar, conviene puntuar cada caso en cinco dimensiones:
- Fricción actual. ¿Consume muchas horas, genera retrabajo o limita cobertura?
- Calidad de la fuente. ¿Existe información suficientemente completa, vigente y accesible para que el sistema trabaje con ella?
- Consecuencia de error. ¿Un error es fácil de detectar y revertir, o puede afectar una conclusión, una comunicación al consejo o una acción en un sistema?
- Valor medible. ¿Puede medirse tiempo, cobertura, calidad, ciclo, defectos o satisfacción antes y después?
- Gobernabilidad. ¿Existen herramienta aprobada, permisos, logs, responsables, reglas de validación y capacidad para detener el uso?
Para una función que comienza, una secuencia razonable sería manual de auditoría con RAG → biblioteca de prompts → asistente de alcance → asistente de evidencia PDF → revisor de calidad de informes. Los cinco tienen fuentes relativamente controlables, output revisable y métricas claras. Después pueden llegar casos con mayor integración: PBC agentic, pruebas automatizadas, monitoreo continuo o flujos de seguimiento.
Los casos más sensibles deberían esperar hasta que la gobernanza sea más madura. Entre ellos están aprobar el plan de auditoría, asignar la calificación final de un hallazgo, cerrar acciones de gestión, publicar un informe o permitir que un agente escriba en sistemas corporativos sin aprobación humana.
El IIA ha descrito en 2026 una evolución desde prompting hacia capacidades agentic y ha señalado que la calidad puede integrarse antes en el flujo, no únicamente al final. Esa evolución es prometedora precisamente si la función conserva trazabilidad, criterios, control de fuentes y revisión profesional.
Una función de auditoría no es más madura porque su IA haga más cosas. Es más madura cuando sabe qué delegar, qué verificar y qué nunca debe dejar de decidir.
La oportunidad estratégica es mayor que ahorrar horas. Si la IA reduce trabajo de búsqueda, clasificación, documentación y coordinación, la capacidad liberada puede convertirse en mayor cobertura, análisis más profundo, conversaciones más frecuentes con stakeholders y seguimiento más oportuno. Pero ese beneficio aparece solo cuando la tecnología amplía el juicio del auditor en lugar de ocultarlo.
Fuentes
- The Institute of Internal Auditors, Normas Globales de Auditoría Interna
- The Institute of Internal Auditors, Artificial Intelligence Auditing Framework, 2nd Edition
- The IIA, Internal Audit Upskilling for Critical AI Capabilities (2026)
- Internal Audit Foundation, Solving the Riddle: Harnessing Generative AI for Internal Audit Activities (2024)
- Internal Audit Foundation, Demystifying AI: Internal Audit Use Cases for Applying New Technology (2024)
- NIST, Artificial Intelligence Risk Management Framework
- ISO, ISO/IEC 42001:2023 — AI management systems
- COSO, Achieving Effective Internal Control Over Generative AI (2026)