Cómo diseñar un modelo operativo de IA para Auditoría Interna

Una función de auditoría puede tener acceso a Copilot, ChatGPT Enterprise, una plataforma de analítica y varios pilotos de agentes y, aun así, no tener una capacidad de inteligencia artificial realmente gestionada. El síntoma aparece pronto: cada equipo prueba algo distinto, los criterios de revisión cambian entre trabajos, nadie sabe qué datos pueden utilizarse y el valor se mide casi exclusivamente en horas ahorradas.

El problema no es la falta de tecnología. Es la ausencia de un modelo operativo que convierta la estrategia de IA en una forma repetible de trabajar.

Para Auditoría Interna, ese modelo debe responder una pregunta más exigente que “¿qué herramienta compramos?”: ¿cómo vamos a seleccionar, gobernar, utilizar, controlar, soportar y mejorar la IA sin debilitar el juicio profesional, la calidad del trabajo ni la independencia de la función?

La IA no escala con una colección de pilotos

Las Normas Globales de Auditoría Interna no exigen un documento denominado “modelo operativo de IA”. Sí establecen obligaciones que hacen insuficiente tratar la IA como una iniciativa tecnológica aislada. La Norma 9.2 exige una estrategia de auditoría interna alineada con los objetivos de la organización y las expectativas del consejo y la alta dirección. La Norma 9.3 exige metodologías para implementar esa estrategia. Las Normas 10.2 y 10.3 abordan recursos humanos y tecnológicos, mientras que las Normas 12.1 y 12.2 conectan la gestión de la función con calidad, desempeño y mejora continua.

Por tanto, un modelo operativo de IA no es una nueva capa normativa. Es una traducción práctica de la estrategia de Auditoría Interna a decisiones sobre responsabilidades, capacidades, flujos de trabajo y controles.

Esta distinción importa porque la adopción suele fracasar en el salto entre experimento y operación. La guía de IIA Netherlands e ISACA Netherlands sobre IA generativa propone precisamente pasar de iniciativas aisladas a una estrategia, una hoja de ruta, gobierno, competencias y etapas de madurez. KPMG llega a una conclusión similar en The Future of Internal Audit with AI: la adopción sostenible requiere desarrollar de forma equilibrada el posicionamiento de la función, las capacidades de las personas y los procesos de auditoría.

Una función madura no es la que utiliza la IA más sofisticada. Es la que puede explicar por qué la utiliza, quién responde por cada decisión, qué evidencia conserva y cómo sabe que el resultado sigue siendo fiable.

El modelo debe partir del mandato, no de la herramienta

Antes de diseñar flujos con IA, el Director de Auditoría Interna debería separar dos capacidades que suelen mezclarse:

Usar IA para realizar auditoría interna: por ejemplo, apoyar evaluaciones de riesgo, analizar documentos, preparar pruebas, resumir evidencia o redactar borradores.
Auditar la IA utilizada por la organización: evaluar gobierno, riesgos, datos, modelos, controles, proveedores, monitoreo y supervisión humana.

Ambas capacidades comparten conocimientos, datos, especialistas y tecnología, pero su responsabilidad es distinta. La primera exige gobernar el uso de IA de la propia función. La segunda exige preservar la posición independiente de Auditoría Interna frente a los procesos y controles que después deberá evaluar.

El Artificial Intelligence Auditing Framework del IIA es útil para mantener esa separación: organiza la mirada sobre IA en gobierno, gestión y Auditoría Interna y reconoce que la función puede proporcionar asesoramiento y aseguramiento sin asumir la responsabilidad de gestión.

Por eso, el modelo operativo debería comenzar por el mandato y la estrategia: qué resultados espera el consejo, qué servicios de IA apoyarán esos resultados, qué actividades deben permanecer dirigidas por una persona y qué límites no deben cruzarse. Solo después tiene sentido decidir arquitectura o proveedores.

Ocho decisiones de diseño que deben funcionar como un sistema

Un modelo operativo práctico puede estructurarse en ocho componentes. No son departamentos independientes; son decisiones interdependientes que deben producir una forma coherente de operar.

Componente	Pregunta de diseño	Evidencia de una capacidad madura
Mandato y estrategia	¿Qué problema de auditoría resuelve la IA y qué resultados apoyará?	Casos de uso vinculados a objetivos de la función, prioridades y métricas.
Gobierno	¿Quién aprueba, prioriza, acepta riesgos y puede detener un uso?	Derechos de decisión, responsables, escalamiento y revisión periódica.
Personas	¿Qué debe saber el auditor y cuándo se requiere un especialista?	Matriz de competencias, formación, co-sourcing y responsables de producto o uso.
Metodología	¿En qué fases puede intervenir la IA y qué revisión humana exige cada una?	Procedimientos, puntos de revisión, documentación y criterios de supervisión.
Datos	¿Qué información puede procesarse y bajo qué reglas?	Clasificación, acceso, calidad, linaje, retención y fuentes autorizadas.
Herramientas	¿Qué debe comprarse, construirse o reutilizarse de la plataforma corporativa?	Catálogo aprobado, arquitectura, integración, pruebas y gestión de cambios.
Controles	¿Cómo se previenen errores, divulgación, sesgos y dependencia excesiva?	Validación, trazabilidad, registro, límites, monitoreo, incidentes y revisión humana.
Soporte	¿Quién mantiene la capacidad cuando deja de ser un piloto?	Soporte de TI, seguridad, legal, datos, compras, proveedor y un propietario operativo claro.

El valor del esquema está en sus conexiones. Una herramienta aprobada sin metodología produce uso inconsistente. Una metodología sin competencias produce cumplimiento aparente. Un buen modelo con datos deficientes produce resultados poco fiables. Y un piloto sin soporte operativo termina dependiendo de la persona que lo construyó.

El Internal Audit Excellence Framework de IIA-Australia refuerza esta visión multidimensional al conectar estrategia, gobierno, personas y cultura, prestación de servicios, excelencia operativa, habilitación digital y comunicación de resultados. No es un estándar obligatorio, pero ofrece una referencia útil para evitar que la transformación digital se gestione como un proyecto separado de la función.

Los controles deben seguir el riesgo del uso, no una lista universal

El error contrario a la experimentación sin control es aplicar el mismo control a todo. No tiene sentido exigir el mismo nivel de validación a una herramienta que propone preguntas para una entrevista que a un agente que consulta sistemas, ejecuta acciones o prepara evidencia que podría influir en una conclusión de auditoría.

El modelo operativo debería clasificar los usos según factores como sensibilidad de los datos, autonomía, impacto sobre una conclusión, posibilidad de acción sobre sistemas, dependencia de conocimiento corporativo y dificultad para detectar un error. A mayor riesgo, mayor necesidad de aprobación, pruebas, registros, revisión humana y monitoreo.

Hay, sin embargo, un límite que no debería diluirse: el auditor conserva la responsabilidad por la evidencia, el juicio y la conclusión. La IA puede estructurar, buscar, comparar o redactar; no convierte una afirmación no verificada en evidencia suficiente ni desplaza la responsabilidad profesional hacia el proveedor del modelo.

Esto también exige integrar la IA en el programa de aseguramiento y mejora de la calidad. Si una herramienta participa de forma recurrente en planificación, análisis, documentación o comunicación, la función debe poder revisar si su uso respeta la metodología, si los controles funcionan y si los beneficios declarados se materializan.

La madurez se construye institucionalizando capacidades

El Internal Audit Capability Model (IA-CM) fue desarrollado para el sector público y no es un marco de IA. Su lógica, sin embargo, es valiosa: la capacidad madura evoluciona cuando las prácticas dejan de depender de esfuerzos individuales y pasan a estar institucionalizadas, gestionadas y mejoradas.

Aplicado a IA, esto evita un error frecuente: equiparar madurez con complejidad tecnológica. Una función puede usar únicamente prompts y alcanzar un nivel sólido si tiene herramientas aprobadas, casos de uso bien definidos, formación, criterios de evidencia, revisión, métricas y mejora continua. Otra puede desplegar agentes avanzados y seguir siendo inmadura si no puede explicar quién los supervisa, qué datos utilizan o cómo responde ante un fallo.

La secuencia más sensata es construir capacidad por etapas: primero reglas y casos de uso controlados; después activos reutilizables y datos gobernados; luego integración con la metodología y los sistemas de auditoría; finalmente automatización más profunda cuando exista evidencia de valor y control. La hoja de ruta debe avanzar por capacidad demostrada, no por presión para adoptar la tecnología más reciente.

Qué debería decidir el CAE en los próximos 90 días

Un modelo operativo no necesita comenzar con una reorganización. Puede empezar con decisiones concretas que reduzcan ambigüedad:

definir de tres a cinco casos de uso prioritarios y qué resultado de auditoría deben mejorar;
establecer qué herramientas están autorizadas y qué categorías de datos pueden utilizar;
asignar derechos de decisión: patrocinador, propietario operativo, revisión de seguridad, responsable metodológico y escalamiento;
incorporar a la metodología requisitos mínimos de validación, documentación y revisión humana;
evaluar brechas de competencias y decidir qué desarrollar internamente y qué obtener mediante especialistas o co-sourcing;
medir valor con una combinación de cobertura, calidad, tiempo de ciclo, adopción, retrabajo, incidentes y esfuerzo de revisión, no solo horas ahorradas.

La decisión estratégica no es si Auditoría Interna “adopta IA”. Esa etapa ya es demasiado general. La decisión es qué capacidad quiere institucionalizar y con qué nivel de control. Cuando mandato, gobierno, personas, metodología, datos, herramientas, controles y soporte funcionan como un solo sistema, la IA deja de ser una serie de pruebas interesantes y se convierte en una capacidad de auditoría defendible, escalable y alineada con la calidad profesional.