Un modelo de madurez de IA para Auditoría Interna
Una función de Auditoría Interna puede tener licencias de inteligencia artificial para todo el equipo, un repositorio de prompts y varios pilotos en marcha y, aun así, seguir siendo inmadura. Otra puede utilizar una solución sencilla y estar más avanzada si es segura, repetible, está integrada en la metodología y opera bajo controles claros.
Ese es el problema de medir la madurez de IA por la sofisticación de la tecnología. Confunde herramientas con capacidad organizativa.
La propuesta de este artículo es evaluar la madurez de IA de Auditoría Interna en dos direcciones simultáneas: su capacidad para usar IA de manera responsable dentro de la función y su capacidad para proporcionar aseguramiento sobre la IA que utiliza la organización. El resultado no debería ser una carrera hacia agentes autónomos, sino una hoja de ruta ajustada al mandato y los riesgos.
El modelo que sigue es una síntesis editorial de Auditena. No es un modelo oficial emitido por el IIA, ISO, NIST o COSO. Toma como referencia la lógica progresiva del Internal Audit Capability Model (IA-CM), las exigencias de las Normas Globales de Auditoría Interna y marcos actuales de gobierno y riesgo de IA.
La madurez no es una escala de complejidad tecnológica
El IA-CM utiliza una progresión de cinco niveles —Initial, Infrastructure, Integrated, Managed y Optimizing— para describir cómo una función pasa de capacidades dependientes de individuos a prácticas repetibles, integradas, gestionadas y sujetas a mejora continua. La lógica importa más que la etiqueta: una capacidad sostenible se construye sobre fundamentos repetibles.
La misma lógica aparece en el Audit Analytics Maturity Model del IIA, publicado en 2026 como punto de partida para evaluar capacidades, planificar mejoras y seguir el progreso. El material aclara que no todas las funciones necesitan llegar al nivel más alto: el objetivo debe responder al contexto.
Las Normas Globales de Auditoría Interna refuerzan ese enfoque. La Norma 9.2 exige una estrategia de Auditoría Interna alineada con los objetivos de la organización y las expectativas del Consejo y la Alta Dirección. La Norma 10.3 exige procurar tecnologías apropiadas, evaluarlas regularmente y buscar oportunidades para mejorar eficacia y eficiencia. La Norma 12.2 exige objetivos y una metodología de medición del desempeño para promover la mejora continua. La madurez, por tanto, debe conectar estrategia, recursos, tecnología, calidad y resultados.
Una función madura no es la que utiliza la IA más compleja. Es la que puede explicar por qué la utiliza, bajo qué controles, con qué evidencia, para qué decisiones y con qué resultados.
Cinco niveles para una función de auditoría capaz de trabajar con IA
Una adaptación útil de la lógica del IA-CM es la siguiente:
| Nivel | Estado de capacidad | Qué lo distingue |
|---|---|---|
| 1. Inicial / consciente de IA | La función entiende que la IA cambia su entorno, pero depende de iniciativas individuales. | Experimentos aislados, reglas incompletas, poca formación y cobertura limitada del riesgo de IA. |
| 2. Infraestructura / preparada para IA | Se crean las condiciones mínimas para trabajar de forma controlada. | Herramientas aprobadas, directrices de uso, formación básica, acceso inicial a datos y primeros trabajos sobre gobierno de IA. |
| 3. Integrada / habilitada por IA | La IA deja de ser un experimento y entra en procesos repetibles. | Casos de uso reutilizables, metodología y revisión documentadas, integración en partes del ciclo de auditoría y cobertura regular de riesgos de IA. |
| 4. Gestionada / capaz de asegurar IA | La función mide, escala y gobierna sus capacidades. | Métricas de calidad y valor, aseguramiento del ciclo de vida de IA, acceso a especialistas, monitoreo y coordinación con riesgo, cumplimiento, seguridad y tecnología. |
| 5. Optimización / IA nativa | La función aprende continuamente y adapta su modelo operativo. | IA integrada selectivamente donde aporta valor, capacidades predictivas o continuas cuando son justificadas, retroalimentación sistemática y mejora rápida de controles, metodología y portafolio. |
“IA nativa” no significa que cada actividad deba automatizarse ni que la función deba utilizar agentes autónomos. Significa que la función puede seleccionar conscientemente la arquitectura más simple que resuelva el problema, gobernarla y cambiarla cuando deje de ser adecuada.
Seis dimensiones evitan que la puntuación oculte debilidades
Un modelo de una sola dimensión puede premiar tecnología sofisticada mientras oculta debilidades de gobierno o aseguramiento. El Artificial Intelligence Auditing Framework del IIA cubre gobierno, gestión y auditoría de IA; ISO/IEC 42001 exige, entre otros elementos, liderazgo, responsabilidades, competencia, información documentada, evaluación del desempeño y mejora; y el NIST AI RMF organiza la gestión del riesgo alrededor de Govern, Map, Measure y Manage. Estos marcos apuntan a una conclusión común: la capacidad es sistémica.
Para Auditoría Interna, conviene evaluar al menos seis dimensiones:
| Dimensión | Qué debe madurar | Evidencia que debería existir |
|---|---|---|
| Gobierno y mandato | Patrocinio del DAI, expectativas del Consejo, reglas de uso, responsabilidades, decisiones sobre herramientas y coordinación con otras funciones. | Estrategia, políticas, RACI, registro de herramientas y actas de gobierno. |
| Personas y competencias | Alfabetización en IA, prompting, analítica, conocimiento regulatorio, juicio profesional y acceso a especialistas. | Matriz de competencias, plan de formación, rutas de desarrollo y estrategia de co-sourcing. |
| Metodología y calidad | Reglas para evidencia, revisión humana, documentación, supervisión, validación, cambios y aseguramiento de calidad. | Metodología actualizada, plantillas, puntos de revisión y métricas de calidad. |
| Capacidad de aseguramiento sobre IA | Cobertura del riesgo de IA en el universo, gobierno, ciclo de vida, GenAI, RAG, agentes y pruebas especializadas cuando proceda. | Plan de auditoría, programas de trabajo, inventario de riesgos, especialistas y seguimiento de hallazgos. |
| Auditoría habilitada por IA | Uso de IA en planificación, análisis, documentación, conocimiento y seguimiento, con reutilización y valor medible. | Portafolio de casos de uso, bibliotecas reutilizables, métricas de adopción, calidad y beneficios. |
| Datos y tecnología | Acceso seguro, arquitectura, datos, permisos, registros, integraciones, repositorios de conocimiento y gestión de proveedores. | Diagramas de arquitectura, controles de acceso, logs, acuerdos de servicio y controles de terceros. |
Separar asegurar IA de usar IA para auditar es deliberado. Una función puede ser fuerte en automatización interna y débil para auditar modelos, RAG o agentes; también puede ocurrir lo contrario. Mezclar ambas capacidades en una sola puntuación oculta una diferencia estratégica.
Cómo evaluar sin convertir el modelo en un ejercicio de puntuación
La evaluación debe basarse en evidencia observable. Para cada dimensión, el equipo puede asignar un nivel actual y otro objetivo, documentar la evidencia y definir qué condición permitiría avanzar.
No recomiendo promediar automáticamente las seis puntuaciones. Un promedio de 3,7 puede parecer sólido aunque la función tenga nivel 1 en gobierno o metodología. Es más útil presentar un perfil de madurez y señalar la capacidad que limita el progreso. Si existe una brecha crítica en confidencialidad, revisión, calidad o independencia, aumentar la automatización puede incrementar el riesgo en lugar de la madurez.
También evita tratar el nivel 5 como destino obligatorio. El modelo del IIA para analítica reconoce que no todas las funciones necesitan llegar al máximo nivel. Una función pequeña puede decidir que un nivel 3 bien gobernado es suficiente en auditoría habilitada por IA, mientras busca un nivel 4 en aseguramiento porque su organización depende intensamente de sistemas de IA de alto impacto.
La madurez objetivo debe responder a cuatro preguntas: ¿qué espera el Consejo?, ¿qué riesgos de IA tiene la organización?, ¿qué servicios debe prestar Auditoría Interna? y ¿qué capacidades puede sostener con calidad?
De la evaluación a una hoja de ruta de 90 días y 12 meses
El modelo crea valor cuando cambia decisiones. En los primeros 90 días, una función incipiente debería priorizar fundamentos: definir guardrails y herramientas aprobadas, establecer un inventario de casos de uso, evaluar competencias, incorporar el riesgo de IA a su evaluación de riesgos, seleccionar uno o dos pilotos de bajo riesgo y acordar métricas de calidad, adopción y valor.
Durante los siguientes 12 meses, el foco puede desplazarse hacia integración y sostenibilidad: incorporar IA a la metodología y al programa de aseguramiento y mejora de la calidad, ampliar acceso seguro a datos y tecnología, desarrollar programas repetibles para auditar gobierno y ciclo de vida de IA, asegurar acceso a especialistas para pruebas técnicas y reportar al Consejo no solo horas ahorradas, sino cobertura ampliada, velocidad del insight, calidad, errores, retrabajo, incidentes y capacidad de aseguramiento creada.
ISO/IEC 42001 aporta una disciplina útil aquí: recursos, competencia, monitoreo, auditoría interna y mejora continua deben formar parte de un sistema, no de un conjunto de pilotos desconectados. El NIST AI RMF añade una lógica igualmente importante: gobernar, contextualizar, medir y gestionar el riesgo debe ser continuo. Y la guía de COSO de 2026 para GenAI recuerda que el control no desaparece cuando la tecnología cambia; debe adaptarse a riesgos como alucinaciones, prompt injection, deriva, configuraciones cambiantes y dependencia de terceros.
Trabajos de madurez anteriores, como el modelo de KPMG de analítica y aseguramiento continuo, ya advertían que comprar herramientas o contratar especialistas no basta si no cambia la metodología y la relación con el negocio. Con IA, esa advertencia es todavía más relevante.
La meta es capacidad adecuada, no tecnología máxima
Un buen modelo de madurez debería ayudar al DAI a decir tres cosas con claridad: dónde está la función, qué capacidad limita su siguiente paso y qué inversión tiene mayor sentido ahora.
La mejor señal de madurez no será cuántos copilotos, modelos o agentes utiliza Auditoría Interna. Será si puede adoptar IA sin perder trazabilidad, juicio profesional, confidencialidad ni calidad; si puede auditar de forma creíble los riesgos de IA de la organización; y si puede demostrar que su capacidad mejora resultados que importan al Consejo y a la organización.
Cuando el modelo produce esas decisiones, deja de ser una puntuación y se convierte en una herramienta de estrategia.
Fuentes
- The Institute of Internal Auditors — Normas Globales de Auditoría Interna
- The Institute of Internal Auditors — Internal Audit Capability Model (IA-CM) for the Public Sector
- The Institute of Internal Auditors — Artificial Intelligence Auditing Framework, 2nd Edition
- The Institute of Internal Auditors — Data Analytics Guidance and Audit Analytics Maturity Model
- ISO — ISO/IEC 42001:2023, Artificial intelligence management systems
- NIST — AI Risk Management Framework
- COSO — Achieving Effective Internal Control Over Generative AI
- KPMG — Transforming Internal Audit: A Maturity Model from Data Analytics to Continuous Assurance