Ingeniería de prompts para auditores internos

Un auditor puede escribir un prompt impecable y aun así obtener una respuesta equivocada. También puede formular una pregunta mediocre y recibir un texto que parece convincente. Esa combinación explica por qué la ingeniería de prompts importa en auditoría interna, pero también por qué no puede convertirse en un sustituto de la evidencia, el escepticismo profesional ni la revisión.

En agosto de 2026, The Institute of Internal Auditors publicó la herramienta AI Prompting for Internal Auditors, orientada a usos como planificación, pruebas, elaboración de informes y análisis. La idea de fondo es sencilla: una instrucción mejor estructurada suele producir resultados más útiles. Para un auditor, sin embargo, la calidad no termina cuando aparece una buena respuesta. Termina cuando el resultado puede ser entendido, contrastado, documentado y utilizado de forma responsable.

Un buen prompt mejora la conversación con la IA. Un buen proceso de auditoría determina si podemos confiar en lo que hacemos con esa respuesta.

La anatomía de un prompt útil para auditoría

La guía del IIA propone elementos como rol, contexto, tarea, formato, restricciones, ejemplos e interacción iterativa. Para la práctica de auditoría conviene añadir dos ideas explícitas: evidencia y verificación. No porque sean componentes técnicos obligatorios de todo prompt, sino porque evitan confundir generación de contenido con obtención de evidencia.

Un marco práctico puede resumirse así:

Elemento	Pregunta que debe responder	Ejemplo de aplicación
Rol y contexto	¿Desde qué perspectiva y en qué situación debe trabajar la IA?	“Actúa como auditor interno. Estamos revisando compras en una empresa industrial.”
Evidencia	¿Qué información puede utilizar y cuál no debe asumir?	“Usa únicamente la política adjunta y la matriz de riesgos. Señala cualquier dato que falte.”
Tarea	¿Qué resultado concreto necesitamos?	“Identifica posibles brechas de control relacionadas con altas de proveedores.”
Restricciones y formato	¿Qué límites y estructura debe respetar?	“No inventes controles. Presenta criterio, condición observada, riesgo y pregunta de seguimiento.”
Verificación	¿Cómo debe facilitar la revisión humana?	“Indica la fuente utilizada para cada punto y separa hechos, inferencias y supuestos.”

El rol ayuda a orientar terminología y perspectiva, pero no convierte al modelo en un auditor cualificado. El contexto reduce respuestas genéricas, pero solo si el usuario proporciona información suficiente. El formato facilita revisión y reutilización. Las restricciones son especialmente importantes cuando queremos impedir que el modelo complete vacíos con supuestos plausibles.

La evidencia merece un tratamiento separado. Si el auditor permite que la IA responda desde su conocimiento general cuando la tarea exige basarse en una política, contrato, procedimiento o conjunto de datos específico, el resultado puede ser útil como brainstorming, pero no debe confundirse con una conclusión sustentada en el trabajo.

Pedir evidencia es más importante que pedir elocuencia

La Norma 4.3 de las Normas Globales de Auditoría Interna exige aplicar escepticismo profesional, incluida la evaluación crítica de la fiabilidad de la información y la búsqueda de evidencia adicional cuando algo pueda ser incompleto, incoherente o engañoso. La Norma 14.6, por su parte, exige documentar la información y evidencia que respaldan los resultados del trabajo de forma que una persona informada y competente pueda repetirlo y obtener resultados comparables.

La implicación para los prompts es directa: la instrucción debería hacer visible de dónde sale cada afirmación importante.

En lugar de pedir:

“Revisa este proceso y dime si tiene controles adecuados.”

conviene formular algo más auditable:

“Revisa únicamente los documentos adjuntos. Para cada posible brecha, identifica el criterio o requisito utilizado, la evidencia encontrada, la evidencia que falta y una pregunta de seguimiento. No concluyas sobre eficacia operativa si solo existe evidencia de diseño.”

Ese cambio es pequeño, pero evita varios problemas frecuentes: mezclar hechos con inferencias, confundir diseño con operación y aceptar como “evidencia” una afirmación generada por el modelo.

El IIA recomienda además tratar los resultados de IA como punto de partida y verificarlos de forma independiente antes de incorporarlos a papeles de trabajo, informes o entregables de asesoramiento. También recomienda conservar el prompt utilizado y documentar cómo se revisó el resultado. Esto conecta la ingeniería de prompts con la trazabilidad del trabajo, no solo con productividad.

Los prompts deben incorporar los controles de la propia función

La ingeniería de prompts no existe al margen del gobierno de IA. La misma pregunta puede ser aceptable en una herramienta corporativa aprobada y totalmente inadecuada en un servicio público no autorizado si contiene datos personales, información privilegiada, hallazgos preliminares o documentos confidenciales.

Las Normas Globales requieren que los auditores utilicen y protejan la información de manera apropiada. Por eso, antes de mejorar un prompt, la función debería definir qué herramientas pueden utilizarse, qué categorías de datos están permitidas, qué información debe anonimizarse y cuándo se requiere revisión adicional.

ISO/IEC 42001:2023 refuerza esta lógica desde la perspectiva de un sistema de gestión de IA: políticas, roles, evaluación de riesgos, competencia, información documentada, controles operativos, monitoreo y mejora forman parte de una estructura de gobierno coherente. Para auditoría interna, esto significa que un prompt excelente dentro de un proceso sin controles sigue siendo un uso débil de IA.

El NIST AI RMF y su Generative AI Profile son recursos voluntarios, no normas de auditoría. Aun así, ayudan a recordar que la IA generativa introduce riesgos como información incorrecta, dependencia excesiva, problemas de privacidad, sesgos y otras fallas que deben gestionarse a lo largo del uso. COSO llega a una conclusión complementaria desde el control interno: los riesgos de GenAI no eliminan los principios clásicos de control; los obligan a aplicarse a nuevos flujos de información y decisión.

Un ejemplo: de una pregunta genérica a un prompt de auditoría

Supongamos que el equipo prepara una auditoría del proceso de cuentas por pagar.

Prompt débil: “Dame los principales riesgos de cuentas por pagar.”

Puede servir para iniciar una conversación, pero mezcla conocimiento general con la realidad de la organización.

Prompt mejorado:

“Actúa como auditor interno apoyando la planificación de un trabajo sobre cuentas por pagar en una empresa industrial. Utiliza únicamente la descripción de proceso, la política de pagos y la matriz de autorizaciones adjuntas. Identifica hasta ocho riesgos relevantes para los objetivos del proceso. Para cada riesgo, presenta: objetivo del proceso afectado, evidencia documental utilizada, control existente, posible brecha y pregunta que el auditor debería validar con el responsable del proceso. No asumas que un control opera eficazmente solo porque esté documentado. Si falta información para evaluar un riesgo, indícalo expresamente. Separa hechos observados de inferencias.”

El valor no está en que el texto sea más largo. Está en que define fuente, alcance, criterio de trabajo y límites de conclusión.

Después puede utilizarse prompting iterativo: seleccionar un riesgo, desarrollar un objetivo de auditoría, proponer procedimientos y, finalmente, determinar qué evidencia sería necesaria. El IIA propone precisamente este enfoque progresivo para tareas complejas. La conversación se vuelve más útil cuando cada paso tiene un propósito verificable.

Cinco errores que reducen la calidad del trabajo

Primero, pedir demasiadas cosas a la vez. Una sola instrucción que pretende evaluar riesgos, diseñar controles, redactar hallazgos y preparar el informe tiende a mezclar niveles de análisis. Dividir el trabajo mejora la revisión.

Segundo, no delimitar las fuentes. Si la conclusión depende de documentación específica, debe quedar claro qué fuentes puede usar la IA y cuándo debe reconocer que no tiene evidencia suficiente.

Tercero, confundir una respuesta plausible con una prueba. Un modelo puede describir el control que normalmente existiría en un proceso sin que dicho control exista realmente.

Cuarto, ignorar la confidencialidad. La comodidad de copiar información en una herramienta no elimina los requisitos de protección de datos, acceso y uso autorizado.

Quinto, no conservar trazabilidad. Si la IA influye de forma material en un análisis, la función necesita poder explicar qué se pidió, qué información se proporcionó, qué respuesta se obtuvo, qué revisión se realizó y qué parte de la conclusión pertenece al auditor.

La habilidad no es escribir prompts largos, sino diseñar trabajo verificable

La ingeniería de prompts para auditores internos no debería convertirse en una colección de “frases mágicas”. Las mejores plantillas son aquellas que ayudan a trabajar de forma consistente: definir el objetivo, aportar contexto suficiente, limitar las fuentes, estructurar la salida, revelar supuestos y facilitar una revisión independiente.

Una biblioteca de prompts puede ser útil cuando se prueba, mantiene y adapta a la metodología de la función. Pero el verdadero indicador de madurez no es cuántos prompts almacena el equipo. Es si su uso de IA mantiene los mismos principios que esperamos de cualquier trabajo de auditoría: competencia, escepticismo, confidencialidad, evidencia suficiente y fiable, supervisión y documentación.

La IA puede acelerar la preparación de preguntas, el análisis inicial o la redacción. La responsabilidad profesional no se delega con el prompt.