Cómo usar IA para analizar evidencia de auditoría
Un auditor recibe 180 contratos, tres versiones de una política, minutas de comité, extractos de un sistema y una carpeta de correos. Antes de la IA generativa, gran parte del tiempo se consumía buscando cláusulas, copiando datos y construyendo comparaciones. Hoy un modelo puede extraer fechas, resumir obligaciones, agrupar excepciones y señalar inconsistencias en minutos.
Eso no convierte su respuesta en evidencia.
La oportunidad real de la IA en auditoría no es sustituir el juicio profesional, sino reducir el trabajo mecánico sin romper la cadena entre la fuente, el análisis y la conclusión. Si esa cadena se pierde, el auditor puede producir una síntesis convincente que ya no puede defenderse, reproducirse ni revisarse.
La IA puede analizar evidencia; no puede decidir qué evidencia merece confianza
La Norma 14.1 de las Normas Globales de Auditoría Interna exige recopilar información relevante, fiable y suficiente para los análisis y evaluaciones. La fiabilidad aumenta, entre otros factores, cuando la información se obtiene directamente o de una fuente independiente, se corrobora o procede de sistemas con procesos eficaces de gobierno, gestión de riesgos y control.
Ese principio no cambia porque intervenga un modelo de IA. Un contrato firmado no se vuelve más fiable porque un LLM lo resuma correctamente; tampoco un correo no corroborado adquiere mayor peso porque la IA lo clasifique como “evidencia fuerte”.
La distinción práctica es importante:
| La IA puede ayudar a… | El auditor sigue teniendo que… |
|---|---|
| extraer campos y hechos de documentos | evaluar la fiabilidad y procedencia de la fuente |
| comparar versiones, cláusulas o cifras | decidir qué criterio y qué evidencia son pertinentes |
| agrupar temas y excepciones | valorar suficiencia y necesidad de corroboración |
| detectar aparentes contradicciones | investigar si la contradicción es real y material |
| sintetizar grandes volúmenes | formular y asumir la conclusión profesional |
La IA actúa mejor como capa de análisis sobre evidencia controlada que como sustituto de la evidencia misma.
Un flujo útil comienza con extracción verificable, no con un resumen
El error más común es cargar una carpeta y pedir: “resume los principales problemas”. El resultado puede ser útil para orientarse, pero mezcla extracción, interpretación y conclusión en una sola respuesta. Eso dificulta saber qué parte proviene de qué documento.
Un flujo más sólido separa las tareas.
Primero, preparar las fuentes. Antes de usar IA, conviene definir qué documentos están dentro del alcance, su versión, fecha, propietario y procedencia. Si existen duplicados o versiones obsoletas, deben identificarse antes del análisis. También debe confirmarse que la herramienta está aprobada para el tipo de información que se cargará.
Después, extraer hechos con anclaje. En vez de pedir una narrativa, se puede solicitar una tabla con campos como documento, sección o página, afirmación extraída y dato relevante. Para contratos, por ejemplo: parte, obligación, importe, fecha, requisito de aprobación y referencia exacta.
Luego, comparar. La IA puede contrastar políticas con procedimientos, contratos entre sí, actas con decisiones posteriores o controles descritos con evidencias de ejecución. La clave es exigir que cada diferencia conserve la referencia a las fuentes que la originaron.
Finalmente, sintetizar. Solo cuando los hechos y diferencias son trazables conviene pedir temas, patrones o posibles implicaciones.
Una buena síntesis de auditoría no solo dice qué parece ocurrir. Permite regresar rápidamente a la evidencia que sostiene cada afirmación.
Las contradicciones son una función de alto valor, pero también una prueba de escepticismo
La Norma 14.2 exige analizar información relevante, fiable y suficiente para desarrollar potenciales hallazgos y determinar diferencias entre los criterios de evaluación y la condición existente. Si el análisis inicial no proporciona evidencia suficiente, el auditor debe determinar si necesita análisis adicional.
La IA puede ser especialmente útil en ese punto porque compara grandes volúmenes con consistencia. Puede señalar, por ejemplo:
- una política que exige aprobación dual mientras varias actas describen una aprobación individual;
- dos contratos con condiciones divergentes para servicios equivalentes;
- una respuesta de entrevista que contradice un procedimiento documentado;
- fechas, importes o responsables que no coinciden entre sistemas y documentos;
- excepciones repetidas que parecen aisladas cuando se revisan caso por caso.
Pero una contradicción señalada por IA no es automáticamente un hallazgo. Puede provenir de una versión antigua, un contexto diferente, una extracción errónea o una excepción autorizada. El trabajo del auditor comienza precisamente cuando la herramienta dice “esto no coincide”.
Un prompt útil debería pedir a la IA que separe hechos, inferencias y preguntas pendientes. También puede exigir una columna de “evidencia faltante para confirmar” en lugar de permitir que el modelo complete la historia con supuestos.
La trazabilidad debe diseñarse desde el prompt y mantenerse en los papeles de trabajo
La Norma 14.6 exige documentar la información y evidencia que respalda los resultados del trabajo de forma que una persona informada y competente pueda repetir el trabajo y obtener los mismos resultados. La documentación, además, debe ser revisada en cuanto a precisión, relevancia y completitud.
Por eso, la pregunta no es solo “¿fue buena la respuesta de la IA?”, sino “¿puede otra persona reconstruir cómo llegamos a ella?”.
En la práctica, un análisis asistido por IA debería conservar, según el riesgo y la metodología de la función:
- las fuentes utilizadas y sus versiones;
- el objetivo del análisis;
- el prompt o instrucciones materiales;
- el resultado generado que influyó en el trabajo;
- las referencias entre afirmaciones y fuentes;
- las verificaciones realizadas por el auditor;
- las correcciones o exclusiones relevantes;
- la conclusión finalmente aceptada por el auditor.
No todo intercambio con una herramienta necesita convertirse en un papel de trabajo. Sí deberían conservarse los elementos necesarios para explicar y reproducir un análisis que sustenta un hallazgo o conclusión.
La revisión humana no es una formalidad al final
La herramienta del IIA AI Prompting for Internal Auditors advierte que los modelos pueden producir resultados incorrectos, obsoletos o inventados y que el contenido generado por IA utilizado en papeles de trabajo, informes o entregables debe verificarse independientemente contra fuentes fiables. También recomienda tratar el resultado como un punto de partida, no como un producto final.
Esto cambia cómo debería organizarse la revisión. No basta con leer la respuesta y preguntarse si “suena razonable”. La revisión debe dirigirse a los puntos en los que la IA puede introducir una nueva afirmación.
Un control práctico es revisar por capas:
- extracción: ¿el dato coincide con la fuente?
- comparación: ¿las dos piezas realmente son comparables?
- clasificación: ¿la etiqueta asignada responde a criterios definidos?
- síntesis: ¿cada afirmación material está respaldada?
- interpretación: ¿el modelo distinguió hechos de inferencias?
- conclusión: ¿es del auditor y no una aceptación automática del texto generado?
Para análisis de mayor impacto, puede ser apropiado revisar una muestra de extracciones además de todas las excepciones, recalcular resultados críticos o repetir el análisis con una segunda técnica.
Un caso simple: 120 contratos de proveedores
Supongamos que auditoría interna quiere evaluar si los contratos contienen las cláusulas de seguridad y derecho de auditoría exigidas por la política de terceros.
Un uso débil de IA sería pedir: “revisa estos contratos y dime cuáles incumplen”. Un uso controlado sería construir primero una matriz con proveedor, versión del contrato, cláusula requerida, texto localizado, página o sección, clasificación preliminar y nivel de confianza. Después, el auditor verifica los casos marcados como ausentes o ambiguos, revisa una muestra de los casos clasificados como conformes y contrasta la interpretación con el criterio aprobado.
La IA reduce drásticamente el tiempo de búsqueda. El auditor conserva la responsabilidad sobre el criterio, la validación y la conclusión.
Ese patrón se puede trasladar a políticas, facturas, minutas, expedientes de recursos humanos, evidencia de controles, respuestas de entrevistas y otros conjuntos documentales. El beneficio aumenta cuando hay volumen y repetición; el riesgo aumenta cuando la evidencia es ambigua, sensible o requiere interpretar contexto jurídico, técnico o humano.
El objetivo no es automatizar la evidencia, sino mejorar la calidad del análisis
El Artificial Intelligence Auditing Framework del IIA enfatiza gobernanza, transparencia, trazabilidad y responsabilidad en el uso de IA. Aplicado al trabajo diario de auditoría, eso conduce a una regla simple: cuanto más influye la IA en una conclusión, más importante es poder explicar qué recibió, qué hizo y qué revisó el auditor.
La mejor adopción no empieza con “¿qué documentos podemos cargar?”. Empieza con “¿qué tarea analítica consume tiempo, puede estructurarse, deja una pista verificable y sigue permitiendo que el auditor evalúe la evidencia por sí mismo?”.
En ese espacio, la IA puede ser extraordinariamente útil: extraer, comparar, ordenar, sintetizar y revelar contradicciones que merecen atención. Pero la calidad de una auditoría seguirá dependiendo de algo que el modelo no puede asumir: decidir qué evidencia es suficiente, qué contradicción importa y qué conclusión está realmente respaldada.