Las habilidades de IA que necesita una función de Auditoría Interna
Una función de Auditoría Interna puede comprar licencias de inteligencia artificial en una semana y seguir sin estar preparada para utilizarlas o auditarlas. El problema no suele ser la falta de acceso a la tecnología, sino una definición equivocada de la capacidad: asumir que todos los auditores deben convertirse en especialistas de IA o, en el extremo opuesto, que basta con ofrecer una sesión introductoria y habilitar una herramienta generativa.
La capacidad que realmente necesita Auditoría Interna es diferenciada. Todo auditor necesita una alfabetización mínima para trabajar con criterio en un entorno donde la IA ya forma parte de los procesos, los datos y las decisiones. Un grupo más reducido necesita habilidades prácticas para utilizar IA de forma controlada y evaluar controles relacionados con ella. Y, para pruebas de alta complejidad, la función necesita acceso fiable a especialistas, aunque no estén en plantilla.
Esta lógica encaja mejor con las Normas Globales de Auditoría Interna que una estrategia de formación uniforme. La Norma 3.1 exige que los auditores internos reúnan u obtengan las competencias necesarias para sus responsabilidades y que la función, colectivamente, disponga u obtenga las competencias requeridas para prestar los servicios previstos en su Estatuto. La Norma 10.2 traslada esa idea a la gestión de personas: el Director de Auditoría Interna debe definir cómo seleccionar, desarrollar y retener recursos cualificados, evaluar competencias y abordar las brechas.
El objetivo no es que todos sepan lo mismo
El Marco de Competencias de Auditoría Interna del IIA refuerza una idea útil para la IA: las competencias deben adaptarse a las prioridades de la organización y evaluarse a nivel individual y colectivo. El marco utiliza niveles progresivos de dominio, desde competencia básica hasta experta, y no presupone que cada persona deba alcanzar el máximo nivel en todas las áreas.
Aplicado a inteligencia artificial, eso cambia la pregunta de “¿cuántos auditores han recibido formación en IA?” a otras más relevantes: ¿qué debe ser capaz de hacer cualquier auditor?, ¿qué capacidades necesita el equipo para ejecutar el plan?, ¿qué conocimientos deben existir dentro de la función y cuáles pueden obtenerse cuando se necesiten?
Una función madura no convierte a todos sus auditores en científicos de datos. Sabe qué competencias necesita, dónde deben residir y cómo obtenerlas cuando el riesgo lo exige.
El resultado es una arquitectura de capacidades, no un catálogo de cursos.
Capa 1: alfabetización en IA para todo auditor
La alfabetización base no requiere programar modelos ni dominar matemáticas avanzadas. Requiere entender lo suficiente para utilizar la IA sin abandonar el juicio profesional y para reconocer cuándo un proceso auditado introduce nuevos riesgos.
Como mínimo, todo auditor debería poder:
- explicar, en términos prácticos, la diferencia entre automatización tradicional, aprendizaje automático e IA generativa;
- reconocer limitaciones como resultados incorrectos o inventados, variabilidad de respuestas, sesgo, falta de trazabilidad y dependencia de los datos utilizados;
- aplicar las reglas de la organización sobre herramientas aprobadas, confidencialidad, clasificación de datos y propiedad de la información;
- verificar de forma independiente la información generada por IA antes de incorporarla a papeles de trabajo, análisis o comunicaciones;
- formular instrucciones suficientemente claras para tareas de bajo riesgo y saber cuándo una tarea no debería delegarse a un sistema de IA;
- mantener el escepticismo profesional y distinguir entre una sugerencia de la herramienta y evidencia de auditoría;
- identificar señales básicas de riesgos de gobierno de IA: ausencia de propietario, inventario incompleto, supervisión humana ambigua, monitoreo insuficiente o dependencia excesiva de terceros.
El Artificial Intelligence Auditing Framework del IIA es útil precisamente porque sitúa la IA dentro de gobierno, gestión de riesgos y control, en lugar de tratarla únicamente como un asunto técnico. Para la mayoría de los auditores, esa perspectiva es más importante que conocer la arquitectura interna de un modelo.
Capa 2: practicantes que saben usar y poner a prueba la IA
Una función que pretende incorporar IA a la evaluación de riesgos, análisis documental, preparación de pruebas o redacción necesita un segundo nivel de capacidad. Aquí el objetivo ya no es solo comprender la tecnología, sino utilizarla de forma reproducible y controlada.
Estos practicantes deberían saber diseñar prompts estructurados, trabajar con fuentes de contexto, evaluar cuándo un caso de uso requiere RAG u otra forma de fundamentación, comparar resultados contra criterios esperados, documentar entradas y salidas relevantes y reconocer cuándo una respuesta necesita escalamiento. También deberían comprender conceptos básicos de datos, analítica, calidad de datos, trazabilidad y muestreo para no confundir una salida sofisticada con una conclusión fiable.
La guía del IIA Data Analytics Skills for Internal Auditors recomienda orientar el desarrollo a las tecnologías y necesidades reales de la organización, incluyendo formación práctica en analítica y, cuando sea pertinente, estadística, minería de datos, lenguajes de scripting y aplicaciones de IA. La implicación para un Director de Auditoría Interna es importante: el currículo debe seguir al plan y al entorno tecnológico, no a la moda del mercado.
Para equipos que además auditan sistemas de IA, este nivel debería extenderse a diseño de pruebas de comportamiento, evaluación de controles sobre datos y proveedores, revisión de monitoreo, comprensión de métricas básicas y capacidad para traducir una cuestión técnica en riesgo, control, evidencia y procedimiento de auditoría.
Capa 3: liderazgo de aseguramiento y acceso a especialistas
Auditar IA no significa que Auditoría Interna deba construir internamente todas las capacidades de validación técnica. Las propias Normas permiten que las competencias se obtengan cuando no existen dentro de la función. Esta distinción protege tanto la calidad como la eficiencia.
Un gerente o líder de aseguramiento de IA sí necesita suficiente profundidad para formular las preguntas correctas, definir el alcance, evaluar la calidad del trabajo de un especialista e integrar sus resultados en una conclusión de auditoría. Pero pruebas como validación estadística avanzada, evaluación de sesgos complejos, revisión de MLOps, pruebas adversariales, seguridad especializada o interpretación jurídica pueden requerir apoyo de ciencia de datos, ciberseguridad, privacidad, model risk o asesoría legal.
El criterio práctico no es “¿podemos hacerlo nosotros?”, sino “¿tenemos competencia suficiente para emitir una conclusión defendible?”. Cuando la respuesta es no, las alternativas incluyen contratación, rotaciones, centros de excelencia, colaboración con otras funciones y co-sourcing. La Norma 10.2 exige precisamente que el Director de Auditoría Interna determine cómo obtener recursos cuando los disponibles no son apropiados o suficientes.
Una ruta de aprendizaje debe producir evidencia de competencia
Un error frecuente es medir el desarrollo por horas de capacitación. El marco del IIA es más exigente: los niveles de competencia se relacionan con demostraciones progresivas de capacidad y el propio marco advierte que la formación, por sí sola, puede no ser suficiente para avanzar de nivel.
Una ruta de aprendizaje más útil combina exposición, práctica y evidencia:
| Nivel | Resultado esperado | Desarrollo recomendado | Evidencia de capacidad |
|---|---|---|---|
| Alfabetización base | Usar y cuestionar IA de forma segura | Microlearning, casos, ejercicios con herramientas aprobadas | Identifica riesgos, verifica fuentes y aplica guardrails correctamente |
| Practicante | Aplicar IA en tareas de auditoría y probar resultados | Laboratorios, casos reales, coaching y revisión por pares | Produce análisis reproducibles y documentados con criterio profesional |
| Líder de aseguramiento | Diseñar y supervisar trabajos sobre IA | Formación avanzada, shadowing, participación en auditorías de IA | Convierte riesgos técnicos en procedimientos, evidencia y conclusiones defendibles |
| Especialista | Resolver pruebas técnicas de alta complejidad | Especialización formal o contratación/co-sourcing | Entregables técnicos revisables e integrables en el trabajo de auditoría |
El desarrollo debería comenzar con una evaluación de brechas vinculada al plan de auditoría y a la estrategia de la función. Después, cada competencia objetivo debería tener una ruta clara: formación, práctica supervisada, aplicación en trabajos, retroalimentación y reevaluación. Así, una certificación o un curso dejan de ser el objetivo final y pasan a ser uno de los mecanismos para construir capacidad demostrable.
Qué debería hacer ahora un Director de Auditoría Interna
El punto de partida puede ser simple. Primero, identifique dónde aparece la IA en el próximo plan: tanto en los procesos que serán auditados como en las herramientas que utilizará el propio equipo. Segundo, traduzca esas necesidades a competencias objetivo por rol. Tercero, evalúe qué existe ya y qué debe desarrollarse u obtenerse. Cuarto, priorice las brechas que condicionan trabajos reales, no las que parecen más sofisticadas. Finalmente, incorpore el seguimiento de capacidades a la gestión de recursos, desempeño y calidad de la función.
La ventaja de este enfoque es que evita dos extremos costosos: formar superficialmente a todos en todo, o concentrar la IA en un pequeño grupo que se convierte en cuello de botella. La función más preparada será la que distribuya la alfabetización, concentre la práctica avanzada donde genera valor y mantenga acceso oportuno a especialización cuando el riesgo supera la competencia generalista.
La pregunta estratégica, por tanto, no es cuánta IA conoce el equipo. Es si la combinación de competencias de la función permite utilizar y auditar IA con la misma disciplina con la que se espera abordar cualquier otro riesgo material.