Inteligencia artificial en auditoría interna: qué es y cómo puede ayudar

Una auditoría suele exigir revisar muchos registros, leer documentos, comparar información y explicar qué significan los resultados. Algunas de esas actividades pueden recibir apoyo de la inteligencia artificial (IA). El punto de partida es entender qué hace esta tecnología, qué no puede garantizar y dónde conviene utilizarla.

La IA no convierte automáticamente una revisión en una buena auditoría. Su utilidad depende de la calidad de la información, de la tarea solicitada y, sobre todo, de lo que el auditor compruebe después.

¿Qué es la inteligencia artificial?

La inteligencia artificial es un conjunto de tecnologías que permite a los sistemas informáticos realizar ciertas tareas que normalmente requieren capacidades humanas, como reconocer patrones, clasificar información, interpretar textos o generar respuestas. No significa que la herramienta comprenda una operación de negocio de la misma forma que una persona responsable de auditarla.

Para empezar conviene diferenciar tres conceptos:

• Automatización tradicional: sigue instrucciones definidas. Por ejemplo, una hoja de cálculo marca como duplicado cada registro que comparte número de factura y proveedor.

• IA para analizar información: puede identificar relaciones y patrones a partir de los datos. Por ejemplo, agrupar descripciones de gastos que usan palabras diferentes para referirse a una misma clase de compra.

• IA generativa: produce texto, tablas, resúmenes o propuestas a partir de una instrucción. Por ejemplo, ayuda a preparar preguntas para una entrevista o un primer borrador del programa de auditoría.

En la práctica, una solución puede combinar las tres. Que una herramienta anuncie que utiliza IA no es motivo suficiente para preferirla frente a una regla sencilla y verificable.

¿Cómo puede ayudar al auditor interno?

Pensemos en una revisión del proceso de compras. El equipo recibe facturas, órdenes de compra, registros de recepción y pagos. La IA podría ayudar a ordenar descripciones, localizar posibles coincidencias y proponer preguntas para entender diferencias. Pero corresponde al auditor comprobar los documentos originales, conocer los controles y valorar si existe un incumplimiento.

Otras posibilidades son resumir procedimientos extensos, comparar versiones de políticas, agrupar comentarios de entrevistas, señalar registros que merecen revisión o redactar un esquema de informe. Cada resultado es un apoyo de trabajo, no una conclusión definitiva.

El beneficio esperado no es únicamente hacer las tareas más rápido. También puede permitir dedicar más atención a las excepciones, a las conversaciones con responsables y a entender la causa de los problemas. Ese beneficio debe comprobarse en cada caso: una herramienta que obliga a corregir muchos errores quizá no ahorre tiempo.

Dos usos diferentes que no deben confundirse

Usar IA para realizar una auditoría significa apoyarse en ella para organizar información, preparar pruebas o revisar resultados. El auditor y su equipo siguen siendo responsables de las decisiones.

Auditar la IA que utiliza una organización es otra actividad: revisar si la empresa tiene responsables definidos, controles, datos confiables y medidas para gestionar los riesgos de sus sistemas de IA. El Instituto de Auditores Internos (IIA) publicó un marco para orientar esta segunda tarea y el análisis de los riesgos asociados a la IA [1].

Ambos trabajos pueden relacionarse, pero no son lo mismo. Una organización podría utilizar IA en atención a clientes y necesitar una auditoría de sus controles; al mismo tiempo, auditoría interna podría usar una herramienta diferente para revisar documentos.

¿Qué cambia y qué permanece igual?

La tecnología puede ayudar a localizar información. Sin embargo, el auditor debe continuar definiendo el objetivo y el alcance, elegir los criterios de revisión, reunir evidencia suficiente y presentar resultados debidamente sustentados.

Las Normas Globales de Auditoría Interna del IIA, vigentes desde enero de 2025, mantienen requisitos de conducta profesional, evaluación crítica de la información y documentación del trabajo. La IA no elimina esas responsabilidades [2].

El marco de gestión de riesgos de IA del NIST propone prestar atención a la fiabilidad, la privacidad, la seguridad y el manejo de riesgos [3]. Son elementos útiles cuando una función de auditoría decide incorporar nuevas herramientas, aunque el marco del NIST es de uso voluntario y no sustituye las normas profesionales.

Ejemplo sencillo: de una petición a una decisión

Supongamos que el auditor tiene un procedimiento de autorización de gastos inventado para fines de aprendizaje. Puede pedir a una herramienta aprobada: «Resume las etapas de autorización y sugiere cinco preguntas de revisión; no agregues requisitos que no estén en el documento».

La herramienta podría identificar aprobaciones, límites y responsables. Después el auditor debería:

1. Comparar el resumen contra el procedimiento original.

2. Revisar si la versión del documento está vigente.

3. Confirmar que las preguntas se relacionan con los riesgos del proceso.

4. Decidir cuáles preguntas son útiles y cuáles deben corregirse o eliminarse.

5. Guardar la versión final y la evidencia que se utilice durante la auditoría.

Si la herramienta inventa un límite de autorización, esa respuesta no puede utilizarse como criterio de incumplimiento. El hecho de que la frase suene razonable no la hace correcta.

¿Por dónde comenzar?

Una primera experiencia prudente puede realizarse con un documento público o con datos ficticios. Conviene elegir una tarea pequeña cuyo resultado sea fácil de comprobar, como organizar preguntas de entrevista. Después se comparan tiempos, errores y utilidad frente a la forma habitual de trabajar.

Antes de utilizar documentos reales, hay que revisar las reglas de confidencialidad y las herramientas autorizadas por la organización. No debe cargarse información reservada en servicios externos solo porque sea cómodo.

Para conocer las áreas de auditoría donde puede aplicarse la IA, revisa ejemplos por proceso. Si primero necesitas evaluar los riesgos, consulta qué revisar antes de usar IA con información de auditoría. Y para entender el límite más importante de la tecnología, continúa con la función del juicio profesional del auditor.

La mejor forma de comenzar no es automatizar todo, sino elegir una tarea concreta, comprobar sus resultados y aprender qué aporta realmente.