Cómo construir una hoja de ruta de IA de 90 días para Auditoría Interna

Una función de Auditoría Interna puede comprar una herramienta de inteligencia artificial en una semana y seguir sin tener una capacidad de IA meses después. El problema no suele ser la falta de tecnología. Es la ausencia de una secuencia que conecte gobierno, competencias, casos de uso, aseguramiento y responsabilidad.

Por eso, una hoja de ruta de 90 días no debería intentar “transformar” completamente la función ni llevarla al nivel más avanzado de automatización. Su objetivo es más concreto: crear una base gobernada y repetible que permita aprender con rapidez sin perder control profesional.

Las Normas Globales de Auditoría Interna no exigen una “hoja de ruta de IA” como tal. Sí exigen que el Director de Auditoría Interna desarrolle e implemente una estrategia para la función, gestione los recursos humanos y tecnológicos y mida el desempeño. Una hoja de ruta de 90 días es una forma práctica de convertir esas obligaciones y objetivos estratégicos en iniciativas con responsables, fechas y resultados observables.

La hoja de ruta debe avanzar por dos carriles, no por uno

El error más común es tratar la IA únicamente como una herramienta de productividad para auditores. Eso deja sin responder la otra pregunta: ¿cómo obtendrá la función capacidad para dar aseguramiento sobre la IA que ya utiliza la organización?

Una hoja de ruta sólida avanza en paralelo por dos carriles:

Usar IA dentro de Auditoría Interna, por ejemplo para sintetizar documentos, preparar análisis, apoyar la planificación o estructurar borradores, siempre dentro de herramientas aprobadas y con revisión humana.
Auditar la IA de la organización, incorporando al universo y al plan de auditoría temas como gobierno, inventario, propietarios, datos, terceros, supervisión humana, monitoreo e incidentes.

Este enfoque evita experimentar internamente sin controles suficientes y, al mismo tiempo, intentar auditar sistemas complejos antes de desarrollar alfabetización tecnológica básica.

El Artificial Intelligence Auditing Framework del IIA es especialmente útil para conectar estos dos carriles porque aborda gobierno, gestión y auditoría de la IA. ISO/IEC 42001:2023 puede complementar la perspectiva cuando la organización utiliza un sistema de gestión de IA, pero no debe presentarse como una obligación universal para Auditoría Interna: es una norma de sistema de gestión que la organización puede adoptar según su contexto.

Una hoja de ruta de 90 días funciona cuando al final existe una capacidad repetible, no cuando existe la mayor cantidad posible de herramientas.

Días 1–30: fundar antes de acelerar

El primer mes debería producir decisiones, no demostraciones tecnológicas. La prioridad es establecer dónde puede utilizarse IA, quién responde por ese uso y qué riesgos deben ser controlados desde el inicio.

La Norma 9.2 exige que la estrategia de Auditoría Interna incluya visión, objetivos estratégicos e iniciativas de apoyo. La Norma 10.3 añade que, al implementar nueva tecnología, el Director de Auditoría Interna debe establecer formación apropiada, evaluar regularmente la tecnología y colaborar con TI y seguridad de la información. Eso convierte el gobierno temprano en una condición de implementación, no en un trabajo que pueda dejarse para el final.

Durante estos primeros 30 días, la función debería lograr cuatro resultados:

Definir un propietario y un patrocinador. El Director de Auditoría Interna mantiene la responsabilidad sobre la función, pero puede designar un responsable operativo de la iniciativa de IA y un pequeño grupo transversal con metodología, analítica, TI o seguridad cuando sea necesario.
Establecer reglas mínimas de uso. Herramientas aprobadas, tipos de información permitidos, revisión de resultados, documentación, conservación de evidencia, acceso y escalamiento de incidentes deben quedar suficientemente claros antes de los pilotos.
Crear una línea base de capacidad. Evaluar, al menos, gobierno, competencias, metodología y calidad, tecnología y datos, casos de uso internos y capacidad de aseguramiento sobre IA.
Mapear la exposición de la organización. Identificar dónde se usa IA, qué procesos son más sensibles y qué cobertura de aseguramiento ya existe por parte de riesgo, cumplimiento, seguridad, privacidad u otros proveedores.

Días 31–60: formar, pilotar y construir evidencia

El segundo mes convierte la estrategia en experiencia práctica. Aquí conviene seleccionar pocos pilotos y elegirlos por valor y riesgo, no por novedad tecnológica.

Un buen primer piloto utiliza una herramienta aprobada, maneja información segura, produce resultados verificables y tiene una línea base para medir mejora. Ejemplos razonables incluyen comparación de documentos, síntesis de políticas, estructuración de riesgos y controles o preparación inicial de procedimientos.

La formación debe acompañar a los pilotos. La Norma 10.2 exige evaluar competencias y apoyar su desarrollo; la Norma 10.3 exige formación apropiada cuando se introduce nueva tecnología. Para un equipo que comienza, esto significa enseñar menos “trucos de prompts” y más disciplina profesional: qué datos pueden compartirse, cómo formular una tarea, cómo verificar una respuesta, cómo conservar trazabilidad y cuándo dejar de utilizar la IA.

En paralelo, debería comenzar el carril de aseguramiento. No es necesario iniciar con validación de modelos o pruebas técnicas profundas. Una revisión de gobierno de IA puede evaluar cuestiones que un auditor generalista ya puede abordar: existencia de inventario, asignación de responsabilidades, políticas, evaluación de riesgos, terceros, formación, monitoreo e incidentes. Para pruebas de mayor profundidad, la hoja de ruta debe identificar desde temprano cuándo se requerirá apoyo de especialistas.

Días 61–90: integrar, medir y decidir qué escalar

Los controles que funcionaron durante los pilotos deben incorporarse a la metodología: criterios para uso de IA, revisión humana, evidencia, documentación, calidad, tratamiento de datos y escalamiento. El objetivo no es crear una metodología paralela de IA, sino integrar las nuevas prácticas en los procesos de Auditoría Interna que ya existen.

La medición también debe comenzar aquí. La Norma 12.2 requiere una metodología de medición del desempeño; el Performance Measurement Tool del IIA conecta las medidas con estrategia, objetivos y expectativas de las partes interesadas.

Para una iniciativa de IA, conviene evitar métricas de vanidad como “número de prompts” o “número de usuarios”. Un cuadro inicial puede combinar cuatro perspectivas:

Perspectiva	Pregunta útil	Ejemplo de medida
Adopción	¿La capacidad está siendo utilizada de forma controlada?	personal formado y usuarios activos en herramientas aprobadas
Calidad	¿Los resultados son suficientemente fiables para apoyar el trabajo?	retrabajo, errores detectados y cumplimiento de revisión humana
Valor	¿La IA mejora el proceso de auditoría?	reducción de tiempo en tareas seleccionadas o mayor cobertura
Riesgo	¿La adopción permanece dentro de los límites definidos?	excepciones de datos, incidentes o usos no autorizados

Al día 90, el Director de Auditoría Interna debería poder responder tres preguntas ante el consejo o comité de auditoría: qué capacidad se construyó, qué riesgos permanecen y qué se propone hacer durante los siguientes 12 meses.

El entregable final no es una lista de proyectos

Una hoja de ruta de 90 días debería terminar con una arquitectura de trabajo más que con una colección de ideas. Un paquete mínimo de salida puede incluir:

Resultado	Qué debería existir al día 90
Gobierno y propiedad	reglas de uso, responsables, mecanismos de aprobación y escalamiento
Personas	formación básica completada y brechas de competencias identificadas
Casos de uso	pilotos evaluados con decisión explícita de detener, mejorar o escalar
Aseguramiento	riesgos de IA incorporados a la evaluación de riesgos y cobertura priorizada
Metodología	requisitos de revisión, evidencia y documentación integrados en procesos existentes
Medición	indicadores iniciales y un proceso de revisión periódica de la hoja de ruta

La guía de IIA Netherlands e ISACA Netherlands propone una evolución desde prompting hasta capacidades más avanzadas como RAG y agentes. Esa progresión puede ayudar a visualizar posibilidades, pero no debería convertirse en una carrera por alcanzar el nivel tecnológicamente más complejo. Una función madura puede decidir conscientemente que un caso de uso se mantenga simple porque el valor adicional de automatizarlo no compensa el riesgo, el costo o la pérdida de control.

Lo que debe ocurrir después del día 90

Los primeros 90 días deberían producir suficiente evidencia para construir una hoja de ruta de 12 meses. Esa etapa puede ampliar casos de uso, integrar repositorios internos, analítica avanzada, RAG, automatización o agentes, pero solo cuando gobierno, datos, competencias y controles estén preparados.

Del lado del aseguramiento, el horizonte debe ampliarse desde revisiones de gobierno hacia sistemas o casos de uso concretos. ISO/IEC 42001:2023 ofrece un marco estructurado para política, roles, riesgos, evaluaciones de impacto, competencia, información documentada, operación, monitoreo y mejora en organizaciones que adoptan un sistema de gestión de IA. Para Auditoría Interna, esos elementos pueden servir como fuente de criterios cuando sean relevantes, junto con políticas internas, requisitos legales y otros marcos aplicables.

La disciplina central es sencilla: cada nueva capacidad tecnológica debe venir acompañada de un propietario, un control, una competencia, una medida y una decisión sobre aseguramiento. Si esos cinco elementos avanzan juntos, 90 días son suficientes para pasar de interés disperso a una capacidad gestionada. Si no avanzan juntos, incluso una herramienta muy sofisticada seguirá siendo solo un experimento.