Cuándo no automatizar una tarea de auditoría

Una tarea de auditoría tarda tres horas cada semana. Se repite, consume capacidad y parece un candidato obvio para automatización. Pero esa misma tarea también determina qué excepciones se investigan, qué evidencia se considera suficiente y qué asuntos podrían terminar en un hallazgo. Reducir tres horas a tres minutos puede ser una mejora; convertir un juicio débil en una decisión rápida y repetible puede ser lo contrario.

La pregunta correcta no es “¿podemos automatizar esta tarea?”, sino “¿qué parte conviene automatizar sin degradar el juicio, la evidencia o el control?”.

Ese cambio de enfoque importa especialmente ahora que la analítica, la inteligencia artificial generativa y los agentes permiten automatizar actividades que antes parecían inseparables del trabajo humano. Una Función de Auditoría Interna madura no es la que automatiza más. Es la que sabe dónde la automatización crea valor, dónde debe permanecer como apoyo y dónde introducirla aumenta el riesgo.

Automatizar es una decisión de diseño, no una medida de madurez

Las Normas Globales de Auditoría Interna no plantean la tecnología como un objetivo independiente. La Norma 4.2 sobre debido cuidado profesional exige considerar, entre otros factores, el coste frente al beneficio potencial del servicio, la complejidad y significancia de los riesgos, la extensión y oportunidad del trabajo y el uso de técnicas, herramientas y tecnología apropiadas. La Norma 10.3 exige al Director de Auditoría Interna procurar recursos tecnológicos adecuados y evaluar oportunidades para mejorar eficacia y eficiencia.

El mensaje conjunto es importante: utilizar tecnología puede ser necesario; maximizar la automatización no lo es.

La orientación reciente del IIA sobre analítica de datos para auditores internos refuerza la misma lógica. La automatización puede ampliar cobertura, reducir manejo manual y acelerar pruebas repetitivas, mientras libera tiempo para interpretación de riesgos, evaluaciones intensivas en juicio e investigación. El valor aparece cuando la tecnología desplaza trabajo mecánico sin desplazar la responsabilidad profesional.

Por eso conviene separar tres conceptos que a menudo se mezclan:

Automatizar: el sistema ejecuta una tarea definida con intervención humana limitada en cada instancia.
Asistir: la tecnología prepara, resume, clasifica, propone o prioriza, pero una persona valida y decide.
Mantener humano: la ejecución principal permanece en el auditor porque el contexto, la ambigüedad o la consecuencia exigen juicio directo.

Seis señales de que una tarea no debería automatizarse por completo

Una tarea puede ser técnicamente automatizable y seguir siendo una mala candidata. Seis factores ayudan a detectar esa diferencia.

Factor	Señal de alerta	Respuesta preferida
Riesgo y consecuencia	Un error puede generar una conclusión material, una acusación, una escalada al consejo o una acción difícil de revertir.	Mantener aprobación humana y controles reforzados.
Juicio profesional	La tarea exige ponderar contexto, intención, causa raíz, credibilidad o información contradictoria.	Usar IA o analítica como apoyo, no como decisor.
Variabilidad	El proceso, los datos, las reglas o las excepciones cambian con frecuencia.	Favorecer asistencia flexible antes que automatización rígida.
Calidad de evidencia	Hay problemas de integridad, linaje, actualidad, acceso o posibilidad de corroboración.	Resolver la evidencia antes de automatizar la conclusión.
Sensibilidad	La tarea involucra denuncias, investigaciones, datos personales, secretos comerciales o restricciones regulatorias.	Limitar datos, herramientas y autonomía; mantener revisión humana.
Economía total	El volumen es bajo o el coste de integración, validación, supervisión y mantenimiento supera el ahorro.	Mantener el proceso manual o semiautomatizado.

El punto más fácil de ignorar es la variabilidad. Una conciliación con reglas estables y datos estructurados puede ser una excelente candidata. Una entrevista para entender por qué un control falló no lo es. Ambos procesos contienen información, pero solo uno ofrece suficiente repetibilidad para que la automatización reduzca riesgo de ejecución sin crear una falsa sensación de precisión.

No toda tarea debe elegir entre “manual” y “automática”

La decisión más útil suele estar en el medio. Muchas actividades de auditoría funcionan mejor como human-in-the-loop: la tecnología reduce trabajo operativo y el auditor conserva el control sobre las decisiones que afectan evidencia, hallazgos y conclusiones.

Tipo de tarea	Ejemplos	Enfoque razonable
Repetitiva y determinística	Extracciones programadas, conciliaciones, pruebas de reglas, recordatorios, clasificación basada en criterios estables.	Automatizar después de validar lógica, datos y excepciones.
Analítica con juicio posterior	Identificación inicial de riesgos, agrupación de comentarios, resumen de documentos, priorización de anomalías, borradores.	Automatizar preparación; revisión y decisión humanas.
Alta ambigüedad o consecuencia	Evaluar suficiencia de evidencia, determinar causa raíz disputada, valorar gravedad, entrevistar en investigaciones, aprobar conclusiones.	Liderazgo humano; usar tecnología solo para apoyo controlado.

Esta distinción es especialmente relevante con IA generativa. La herramienta del IIA sobre prompts de IA para auditores internos advierte que los resultados pueden ser incorrectos, desactualizados o inventados y que el contenido utilizado en papeles de trabajo, informes o entregables debe ser validado contra fuentes fiables. Un prompt mejor puede producir una respuesta mejor; no convierte la respuesta en evidencia por sí sola.

El principio práctico es sencillo: automatice la preparación cuando pueda; no automatice la responsabilidad.

La calidad de la evidencia debe pesar más que la velocidad

La Norma 14.1 de las Normas Globales exige recopilar información relevante, fiable y suficiente para realizar análisis y evaluaciones. Si una automatización produce una lista de excepciones, una puntuación de riesgo o un borrador de hallazgo, el equipo todavía necesita entender si los datos y la lógica que produjeron ese resultado son adecuados para el objetivo del trabajo.

Antes de depender de una salida automatizada, un auditor debería poder responder preguntas como estas:

¿De qué fuente provienen los datos y qué transformaciones se aplicaron?
¿La población es completa y corresponde al periodo y alcance del trabajo?
¿Qué reglas, umbrales, prompts o configuraciones determinan el resultado?
¿La salida puede reproducirse y explicarse suficientemente?
¿Cómo se identifican falsos positivos, falsos negativos y excepciones no previstas?
¿Quién revisa cambios en la lógica, el modelo, la fuente o la configuración?

La guía de COSO Achieving Effective Internal Control Over Generative AI, publicada en 2026, resulta útil porque traslada el Marco Integrado de Control Interno a riesgos de GenAI como manipulación de prompts, razonamiento opaco, cambios frecuentes, deriva y exposición de información. Para Auditoría Interna, la implicación no es que toda IA requiera un control complejo, sino que la intensidad del control debe aumentar cuando aumenta la dependencia del resultado.

Una herramienta que resume una política para facilitar una conversación necesita un nivel de validación. Una herramienta que selecciona automáticamente qué transacciones se excluirán de una prueba necesita otro.

La economía de la automatización incluye el coste de controlarla

El caso de negocio no termina con “horas ahorradas”. El coste real también incluye diseño, integración, licencias, accesos, formación, documentación, revisión, resolución de excepciones, pruebas de cambios y mantenimiento. En sistemas de IA se añaden, según el caso, validación de versiones, seguridad, privacidad, monitoreo de resultados y gestión del proveedor.

Esto cambia la decisión en tareas de bajo volumen o alta variabilidad. Automatizar un procedimiento que ocurre dos veces al año puede costar más que ejecutarlo manualmente, especialmente si cada ejecución requiere adaptar reglas y volver a validar la lógica. En cambio, una prueba de gran volumen, estable y basada en datos confiables puede justificar una inversión mayor porque el beneficio se repite.

Una forma sencilla de evaluar el caso es preguntar:

¿Se repite lo suficiente? La frecuencia y el volumen justifican la inversión.
¿Es estable? Las reglas no cambian más rápido de lo que podemos mantenerlas.
¿Es verificable? Podemos comprobar entradas, lógica, salidas y excepciones.
¿Es controlable? Existen responsables, accesos, supervisión y tratamiento de fallos.
¿Crea valor neto? Mejora cobertura, oportunidad, consistencia o calidad después de considerar el esfuerzo de control y revisión.

Si una tarea falla en varios de estos criterios, la mejor decisión puede ser mantenerla manual, rediseñarla primero o automatizar solo una parte.

La mejor automatización deja más espacio para auditar

La discusión sobre IA en auditoría puede caer fácilmente en una carrera por demostrar adopción. Pero la función no crea más valor porque un agente ejecute diez pasos en lugar de dos. Crea más valor cuando la tecnología permite dedicar más atención a los riesgos que requieren comprensión, desafío, escepticismo y conversación con las partes interesadas.

La experiencia recogida por el IIA en Transforming Audit Through AI mantiene al auditor en el centro del proceso y subraya que el juicio profesional sigue siendo necesario incluso cuando la IA mejora productividad.

La regla de diseño debería ser, por tanto, selectiva: automatizar tareas, no criterio profesional; automatizar pasos, no rendición de cuentas; automatizar volumen, no incertidumbre sin control.

Esa disciplina evita dos errores opuestos. El primero es rechazar automatización útil por temor. El segundo, más difícil de detectar, es confundir velocidad con calidad. Una Función de Auditoría Interna verdaderamente capaz de usar IA sabe hacer ambas cosas: identificar dónde la tecnología debe entrar y reconocer con la misma claridad dónde debe detenerse.