Cómo usar IA para redactar informes de auditoría sin comprometer la evidencia

Un informe puede sonar impecable y seguir siendo incorrecto. Ese es uno de los riesgos más importantes cuando se utiliza inteligencia artificial generativa para redactar resultados de auditoría. El modelo puede mejorar la sintaxis, resumir veinte páginas en unos párrafos y adaptar el tono para un comité de auditoría. También puede completar una causa raíz que nadie demostró, suavizar una limitación de alcance o convertir una excepción puntual en una conclusión general.

La oportunidad, por tanto, no consiste en pedir a la IA que “escriba el informe”. Consiste en utilizarla como asistente de redacción sobre un conjunto cerrado de hechos y conclusiones que ya han sido sustentados por el trabajo de auditoría.

Las Normas Globales de Auditoría Interna ofrecen un buen punto de partida. La Norma 14.1 exige que la información utilizada para los análisis sea relevante, fiable y suficiente; la Norma 14.6 exige documentar la información y las evidencias que respaldan los resultados; y la Norma 15.1 exige que la comunicación final sea precisa, objetiva, clara, concisa, constructiva, completa y oportuna, además de ser revisada y aprobada antes de su emisión. Ninguna de estas responsabilidades desaparece porque una herramienta de IA haya producido el primer borrador.

La IA puede mejorar la redacción, pero no ampliar la evidencia

La mejor forma de pensar en este caso de uso es separar transformación de creación.

Transformar significa reorganizar hechos comprobados, reducir redundancias, mejorar claridad, convertir hallazgos a una plantilla o preparar un resumen ejecutivo a partir de resultados aprobados. Crear significa añadir nuevos hechos, inferir causalidad, decidir la importancia de un hallazgo o formular una conclusión que no estaba sustentada previamente.

La primera categoría suele ser un buen terreno para la IA. La segunda requiere juicio profesional.

Esta distinción coincide con la orientación de The IIA sobre prompting para auditores internos. La herramienta incluye ejemplos para preparar borradores de hallazgos, resúmenes ejecutivos y formatos de informes, pero también advierte que los resultados generados por IA deben tratarse como un punto de partida, verificarse de forma independiente y mantenerse dentro de la metodología, los controles de calidad y las reglas de documentación de la función de auditoría interna.

El mensaje práctico es sencillo: el modelo puede redactar una afirmación; el auditor debe poder demostrarla.

Qué conviene delegar y qué debe conservar el auditor

Actividad	Papel útil de la IA	Responsabilidad que permanece en el auditor	Riesgo principal
Estructurar el informe	Organizar secciones conforme a una plantilla aprobada	Confirmar que se incluyen los elementos exigidos y pertinentes	Omisiones o reordenación que altere el énfasis
Mejorar claridad y tono	Simplificar frases, eliminar redundancias y adaptar el lenguaje al destinatario	Verificar que el significado técnico no cambió	Distorsión semántica o exceso de seguridad
Preparar un borrador de hallazgo	Convertir hechos suministrados en una estructura coherente	Validar criterio, condición, causa, efecto, importancia y recomendación	Causa o riesgo inventado
Resumir resultados	Condensar conclusiones y hallazgos ya aprobados	Determinar prioridad, materialidad y mensaje global	Sobre-generalización o pérdida de matices

Hay tres decisiones que no deberían aparecer por primera vez en la respuesta de un modelo: qué ocurrió realmente, qué significa para el riesgo y qué conclusión profesional corresponde. La IA puede ayudar a revisar cómo se expresa cada una, pero no debe convertirse en la fuente de esas decisiones.

Un ejemplo frecuente es la causa raíz. Si los papeles de trabajo demuestran siete excepciones, pero no explican por qué ocurrieron, un modelo puede proponer con facilidad “falta de capacitación”, “supervisión insuficiente” o “diseño inadecuado del proceso”. Esas frases pueden ser plausibles y, aun así, no ser evidencia. La Norma 14.3 contempla documentar la causa raíz cuando sea posible; “cuando sea posible” no significa que deba inventarse para completar la plantilla.

Lo mismo aplica a las calificaciones de riesgo, compromisos de la Dirección y conclusiones globales. Si no están en el material fuente, la respuesta correcta de la IA debería ser señalar que falta información, no rellenar el espacio.

Un flujo seguro: de los papeles de trabajo al primer borrador

La forma más robusta de utilizar IA para reporting es diseñar un flujo en el que el modelo reciba menos libertad precisamente en los puntos donde aumenta la responsabilidad profesional.

Cierra el paquete de evidencia. Antes de redactar, identifica los papeles de trabajo, criterios, resultados de pruebas, hallazgos, respuestas de la Dirección y conclusiones que están suficientemente revisados para alimentar el borrador.
Limita la tarea. Indica al modelo qué debe hacer y qué no puede hacer. Es preferible “reescribe este hallazgo para mayor claridad” que “analiza el problema y redacta un hallazgo”.
Exige trazabilidad. Pide que cada dato cuantitativo, fecha o afirmación relevante conserve una referencia a la fuente suministrada. Cuando falte soporte, debe marcarse como pendiente.
Compara, no solo leas. Revisa el borrador contra los papeles de trabajo. Una frase elegante no es un criterio de calidad de evidencia.
Documenta el uso de IA. Cuando la metodología de la función lo requiera, conserva el prompt, el resultado, la versión utilizada y la evidencia de cómo se validó el contenido.
Mantén la revisión y aprobación humanas. La supervisión del trabajo y la aprobación de la comunicación final siguen siendo controles profesionales, no pasos opcionales después de automatizar la redacción.

Un prompt inicial puede ser tan sencillo como el siguiente:

Redacta un borrador del hallazgo utilizando únicamente la información incluida a continuación. No agregues hechos, cifras, causas raíz, calificaciones de riesgo, compromisos de la Dirección ni conclusiones que no estén expresamente respaldados. Si falta información para una sección, escribe “[pendiente de evidencia]”. Conserva las referencias a los papeles de trabajo y utiliza lenguaje claro, objetivo y conciso.

El valor de este tipo de instrucción no está en producir el “prompt perfecto”. Está en trasladar al modelo una regla básica de auditoría: la ausencia de evidencia es una limitación que debe hacerse visible, no un vacío que deba completarse creativamente.

Los controles importan tanto como el prompt

Una función de auditoría interna puede tener buenos prompts y, aun así, utilizar IA de forma deficiente. El control debe abarcar la herramienta, la información, el proceso y la revisión.

Primero, deben utilizarse herramientas aprobadas y respetarse las reglas de tratamiento de datos. La Norma 5.2 de las Normas Globales exige proteger la confidencialidad, privacidad y titularidad de la información. Copiar papeles de trabajo, datos personales o resultados sensibles en una herramienta no autorizada puede crear un riesgo mayor que el ahorro obtenido en la redacción.

Segundo, la función necesita reglas sobre qué puede hacer la IA. Un modelo puede proponer alternativas de lenguaje o señalar inconsistencias; no debería cambiar una calificación aprobada, incorporar una respuesta de la Dirección que no existe o eliminar una limitación porque “suena negativa”.

Tercero, debe existir un rastro suficiente para explicar cómo se produjo el borrador. La guía de prompting del IIA recomienda mantener registro de los prompts y resultados, documentar la validación y distinguir claramente entre análisis asistido por IA y conclusiones del auditor. Esa trazabilidad es especialmente útil cuando un revisor necesita determinar por qué apareció una frase en la comunicación final.

Finalmente, hay que asumir que la alucinación no es un defecto excepcional. El NIST AI RMF Generative AI Profile utiliza el término confabulation para describir resultados falsos o erróneos presentados con aparente confianza. En reporting de auditoría, el problema no es solo una cifra inventada. También puede ser una conexión causal, una referencia o una conclusión que parece razonable y por eso supera una revisión superficial.

El objetivo no es automatizar el juicio profesional

Las oportunidades son reales. Deloitte identifica usos de IA generativa en reporting como preparar un primer borrador, realizar revisión editorial, resumir informes, adaptar comunicaciones y apoyar traducciones. Bien gobernadas, estas tareas pueden reducir tiempo de edición y mejorar la consistencia entre trabajos.

Pero la medida del éxito no debería ser cuántos informes redacta la IA. Debería ser cuánto tiempo libera para que los auditores validen evidencia, discutan causas, desafíen explicaciones, afinen conclusiones y comuniquen lo que realmente importa.

Con el tiempo, las funciones más maduras podrán conectar modelos con repositorios aprobados, plantillas y metodologías mediante técnicas como RAG, incorporar referencias automáticas y realizar controles de consistencia más sofisticados. Eso puede reducir ciertos errores, pero no elimina el riesgo de generar contenido incorrecto ni transfiere la responsabilidad profesional.

Un buen uso de IA en informes de auditoría deja una frontera visible: la máquina ayuda a expresar; el auditor sigue siendo responsable de saber, demostrar y concluir.