Cómo usar la IA en la evaluación de riesgos de auditoría interna

Una función de auditoría interna termina su ronda anual de entrevistas con decenas de notas, un registro de riesgos de la dirección, hallazgos de auditorías previas, indicadores operativos y nuevas señales externas. El problema ya no es obtener información. Es detectar qué cambió, qué se está repitiendo y qué riesgo importante podría no estar todavía en la conversación.

La inteligencia artificial puede ayudar precisamente ahí. Puede leer y organizar grandes volúmenes de texto, comparar periodos, agrupar temas, detectar contradicciones y proponer preguntas que un equipo quizá no habría formulado al inicio. Pero existe una diferencia esencial entre usar IA para ampliar la evaluación de riesgos y delegar la evaluación de riesgos a la IA.

La primera práctica puede fortalecer la auditoría. La segunda puede producir una apariencia de precisión sin suficiente evidencia, contexto ni juicio profesional.

La IA debe ampliar el campo de visión, no decidir qué riesgo importa

La Norma 9.4 de las Normas Globales de Auditoría Interna exige que el Director de Auditoría Interna base el Plan de Auditoría Interna en una evaluación documentada de las estrategias, objetivos y riesgos de la organización. Esa evaluación debe considerar información del Consejo y de la Alta Dirección, y el plan debe ser dinámico y actualizarse cuando cambien el negocio, los riesgos, los sistemas, los controles o la cultura.

A nivel de trabajo, la Norma 13.2 exige que los auditores internos comprendan la actividad bajo revisión, identifiquen los riesgos relevantes, consideren el fraude y evalúen la importancia de los riesgos para priorizarlos. En ninguno de los dos niveles la norma traslada la responsabilidad profesional a una herramienta tecnológica.

Esto define el papel correcto de la IA: acelerar la recopilación, ampliar las perspectivas y estructurar información para que el auditor pueda evaluar mejor.

La distinción también importa frente a la gestión empresarial de riesgos. En su Statement of Position sobre el papel de Auditoría Interna en ERM, el IIA mantiene una separación clara: la dirección gestiona el riesgo; Auditoría Interna proporciona aseguramiento y asesoramiento objetivos. Una herramienta de IA utilizada por auditoría no cambia esa distribución de responsabilidades.

Una buena evaluación asistida por IA produce mejores preguntas y mejor evidencia para decidir. No sustituye la decisión.

Dónde aporta valor la IA en una evaluación de riesgos

El potencial más inmediato no está en pedir a un modelo que “califique los riesgos del 1 al 5”. Está en tareas previas donde los auditores suelen invertir mucho tiempo y donde la amplitud de información importa.

Uso de IA	Qué puede aportar	Riesgo principal	Control práctico
Ampliar señales	Revisar estrategia, ERM, incidentes, KRIs/KPIs, hallazgos, políticas y fuentes externas para sugerir riesgos o cambios.	Omitir contexto o inventar relaciones.	Exigir fuente y evidencia para cada señal relevante.
Estructurar información	Agrupar riesgos similares, eliminar duplicados y mapear temas a una taxonomía o universo auditable.	Clasificación incorrecta o excesiva simplificación.	Mantener categorías editables y revisión por el auditor.
Preparar entrevistas	Proponer preguntas específicas según riesgos, cambios y contradicciones detectadas.	Sesgo hacia los temas presentes en los documentos iniciales.	Añadir preguntas abiertas y perspectivas de desafío.
Sintetizar entrevistas	Comparar respuestas, identificar patrones y señalar opiniones divergentes.	Perder matices o atribuir conclusiones no expresadas.	Conservar notas originales y validar cada síntesis.
Monitorear cambios	Comparar periodos y detectar nuevas señales que puedan justificar una actualización del plan.	Confundir cambio de datos con cambio material de riesgo.	Definir disparadores y umbrales que requieran revisión humana.

Esta lógica coincide con recursos recientes del IIA sobre analítica y con ejemplos profesionales de uso de IA en auditoría. La guía de apoyo AI Prompting for Internal Auditors incluye aplicaciones para el desarrollo de un universo auditable basado en riesgos y para la evaluación de riesgos a nivel de trabajo. El IIA también ha reforzado en 2026 que la analítica, la IA y las tecnologías emergentes pueden apoyar un aseguramiento más oportuno y enfocado en riesgos, siempre sobre bases adecuadas de gobierno y calidad de datos, como resume su página de Data Analytics Guidance and Resources.

Un flujo sencillo: descubrir, estructurar, desafiar y decidir

Para un equipo que empieza, la forma más segura de incorporar IA es separar las tareas de generación y organización de las tareas de evaluación y decisión.

1. Definir el objetivo antes de abrir la herramienta. El auditor debe saber qué quiere evaluar: riesgos que amenazan una estrategia, cambios en un proceso, señales emergentes para el plan o riesgos específicos de un trabajo. Sin esa pregunta, la IA tenderá a producir listas genéricas.

2. Trabajar con un conjunto de fuentes controlado. La estrategia, el registro ERM, incidentes, métricas, auditorías anteriores, cambios regulatorios y otra información relevante deberían formar un corpus identificable. Cuando sea posible, conviene utilizar soluciones empresariales aprobadas que permitan trabajar con documentación interna sin exponer información sensible.

3. Pedir estructura, no autoridad. Un buen prompt solicita identificar temas, indicar la fuente, explicar por qué una señal podría ser relevante y marcar incertidumbre. Un mal prompt pide “determina los diez riesgos más importantes y asígnales una puntuación final”.

Un punto de partida práctico sería:

Analiza únicamente las fuentes proporcionadas. Identifica posibles riesgos que puedan afectar a los objetivos indicados. Para cada riesgo, muestra la evidencia o fuente que lo sustenta, qué cambió respecto del periodo anterior, posibles relaciones con otros riesgos y preguntas que un auditor debería validar con la dirección. No asignes una calificación final de riesgo. Señala expresamente cualquier conclusión con evidencia insuficiente.

4. Desafiar la salida. El equipo debe buscar omisiones, duplicidades, causalidades débiles y sesgos. También debería contrastar la perspectiva generada por IA con entrevistas, indicadores y conocimiento del negocio. Si todos los resultados parecen demasiado coherentes, puede ser señal de que el modelo solo reorganizó los supuestos existentes.

5. Decidir y documentar fuera de la IA. La prioridad, la cobertura de auditoría, la frecuencia de revisión y la decisión de modificar el plan requieren juicio profesional, conocimiento del apetito y tolerancia al riesgo, y conversación con las partes interesadas apropiadas.

El mayor riesgo es una falsa sensación de exhaustividad

Una respuesta bien redactada puede parecer más completa de lo que realmente es. Ese efecto es especialmente peligroso en evaluación de riesgos, porque el valor del proceso depende tanto de lo que se identifica como de lo que todavía no se conoce.

El IIA advierte en su herramienta de prompting que los resultados generados por IA pueden ser incorrectos, obsoletos o inventados y que deben verificarse de forma independiente conforme a la metodología, los procesos de calidad y las normas de documentación de la función. La consecuencia práctica es clara: la salida de IA debe tratarse como material de trabajo preliminar, no como evidencia concluyente.

Para controlar el riesgo, una función de auditoría debería, como mínimo:

utilizar herramientas aprobadas y reglas claras para datos confidenciales;
conservar la trazabilidad entre cada riesgo sugerido y sus fuentes;
separar la identificación de riesgos de su valoración final;
documentar prompts, fuentes y versiones cuando la IA influya materialmente en el análisis;
probar la consistencia del enfoque con casos conocidos antes de usarlo en decisiones importantes;
revisar periódicamente si la herramienta introduce sesgos, omite categorías o favorece patrones históricos.

Deloitte, en su publicación de 2025 sobre Internal Audit 4.0, incluye entre los casos de uso de IA generativa el apoyo a la investigación de riesgos, la creación del universo auditable y el desarrollo del plan. En el mismo documento también destaca riesgos de exactitud, trazabilidad, seguridad de datos y propagación de sesgos. Es una combinación importante: la misma capacidad que expande la cobertura puede deteriorar el juicio si se utiliza sin controles.

De la evaluación anual al riesgo que cambia durante el año

La oportunidad más interesante aparece cuando la IA se combina con analítica y un proceso de actualización más frecuente. En lugar de reemplazar la evaluación anual, puede ayudar a detectar señales que justifiquen revisarla antes.

Una investigación de PwC sobre evaluación de riesgos de auditoría interna publicada en agosto de 2026 encontró que muchas funciones siguen dependiendo fuertemente de entrevistas y ciclos anuales, mientras que solo una minoría actualiza la evaluación y el plan de forma trimestral o continua. PwC identifica la detección de señales de riesgo habilitada por IA como una de las capacidades de una evaluación más dinámica y propone combinar entrevistas con indicadores, incidentes, estrategia y señales externas.

Ese es probablemente el cambio más útil para una función que empieza: no construir un “motor autónomo de riesgo”, sino utilizar IA para conectar información que ya existe y alertar al auditor cuando merece la pena volver a mirar.

La prueba de madurez es sencilla. Si la IA hace que el equipo vea más señales, formule mejores preguntas, documente mejor sus fuentes y actualice el plan con mayor rapidez, está fortaleciendo la evaluación. Si únicamente produce puntuaciones más rápido, probablemente está automatizando una conclusión que todavía necesitaba juicio.