Preguntas frecuentes sobre auditoría interna e inteligencia artificial
Veinte respuestas directas a lo que auditores internos, directores de auditoría y equipos de control, riesgos y cumplimiento preguntan sobre la profesión y sobre el uso de IA. Cada respuesta va al grano primero y profundiza después.
Publicado el 14 de julio de 2026 · Autora: Laura Lamprea Quiroga · Escala IA
Ver las preguntas Solicitar diagnósticoInteligencia artificial en el trabajo del auditor
¿Cómo aplicar inteligencia artificial en auditoría interna?
La inteligencia artificial se aplica en auditoría interna en cuatro frentes: planificación (análisis de riesgos y priorización), ejecución (revisión de poblaciones completas en lugar de muestras), documentación (borradores de informes y papeles de trabajo) y monitoreo continuo. La condición es que cada resultado sea reproducible, trazable y verificable por el auditor.
El error más común es empezar por la herramienta y no por el proceso. Primero se identifica la tarea repetitiva o el análisis que no se puede hacer a mano, después se define cómo se verificará el resultado y solo entonces se elige la tecnología. Sin ese orden, la IA agrega velocidad pero no evidencia. El Método RTA-IA fija esos criterios de verificación.
¿La inteligencia artificial va a reemplazar a los auditores internos?
No. La inteligencia artificial automatiza tareas de revisión, cruce y documentación, pero no reemplaza el juicio profesional, el escepticismo ni la responsabilidad del auditor ante el comité. Lo que sí está ocurriendo: los auditores que usan IA con método están desplazando a los que no la usan.
El rol no desaparece: cambia de ejecutor de pruebas manuales a supervisor de análisis, capaz de cuestionar, documentar y frenar a la máquina cuando corresponde. El auditor que delega sin verificar no se vuelve más productivo, se vuelve responsable de errores que no puede explicar. Adquirir esas competencias es la respuesta racional al cambio; la formación en IA aplicada al ciclo auditor existe para eso.
¿Qué tareas de auditoría se pueden automatizar con inteligencia artificial?
Se pueden automatizar las conciliaciones y cruces de bases de datos, las pruebas sobre poblaciones completas (pagos, nómina, cartera, inventarios), la detección de duplicados y anomalías, la lectura de contratos y actas, la elaboración de borradores de informes y el monitoreo continuo de indicadores de riesgo.
La regla práctica: automatizar lo repetitivo, voluminoso y verificable, y dejar en manos del auditor la definición de criterios, la evaluación de hallazgos y la conversación con el auditado. Una automatización que no deja bitácora de lo que hizo no ahorra trabajo, lo traslada a la etapa de sustentar el resultado. Cada automatización debe registrar sus pasos.
¿Es seguro usar ChatGPT u otras IA públicas con información de auditoría?
No es seguro pegar información confidencial de la organización en una herramienta de IA pública, porque los datos salen del control de la empresa y pueden usarse para entrenar modelos. Lo seguro es trabajar con datos sintéticos o anonimizados, o usar entornos empresariales con acuerdos de no retención de datos.
La distinción no es un detalle técnico: las versiones empresariales ofrecen condiciones contractuales sobre el uso de los datos que las gratuitas no dan. Y una regla que no admite excepciones: los datos reales de la operación se tratan como solo lectura y nunca viajan a una IA pública. La comodidad de pegar un archivo no compensa un incidente de seguridad con el nombre del auditor encima. Sobre cómo usar estas salidas como insumo de trabajo, este artículo del blog desarrolla el criterio.
¿Qué habilidades necesita un auditor interno para trabajar con inteligencia artificial?
Un auditor interno necesita cuatro habilidades para trabajar con IA: entender datos (estructuras, calidad, cruces), formular instrucciones precisas y verificables a las herramientas, evaluar críticamente los resultados en lugar de aceptarlos, y documentar el proceso de forma que otro auditor pueda reproducirlo. No necesita saber programar para empezar.
La programación ayuda, pero no es la puerta de entrada; el criterio profesional sí. Un auditor que sabe qué preguntar y cómo verificar la respuesta obtiene más de una herramienta de IA que un técnico que la domina pero no conoce el riesgo del proceso. Los programas de formación parten de ese orden: del juicio del auditor hacia la herramienta, no al revés.
¿Cómo puede un equipo de auditoría empezar con IA sin un gran presupuesto?
Un equipo de auditoría puede empezar con IA eligiendo un solo proceso repetitivo y de bajo riesgo, definiendo por escrito qué resultado se espera y cómo se verificará, usando datos de prueba, y comparando el resultado de la herramienta contra el método tradicional. Ese piloto controlado genera evidencia para escalar.
El mayor costo inicial no es la licencia sino el método. Un piloto mal documentado destruye la confianza del equipo y del comité; uno bien documentado la construye y justifica el siguiente. Conviene medir el piloto contra el método tradicional antes de declararlo un éxito. Un diagnóstico inicial ayuda a elegir ese primer proceso con criterio.
Cuando la inteligencia artificial es el objeto de la auditoría
¿Cómo se audita un sistema de inteligencia artificial?
Auditar un sistema de inteligencia artificial implica evaluar su gobernanza (quién responde por el sistema), sus datos (origen, calidad, sesgos), su funcionamiento (precisión, límites, explicabilidad), sus controles (supervisión humana, registro de decisiones) y su cumplimiento normativo. El resultado es una opinión sobre si el sistema opera dentro del riesgo aceptado.
No todos los casos de uso tienen el mismo riesgo: la auditoría se prioriza según el impacto en decisiones, en personas y en cumplimiento. Auditar una IA no es probar que funciona, es evaluar si sigue funcionando dentro del riesgo aceptado cuando cambian los datos o el contexto. Este tipo de evaluación hace parte de los servicios de auditoría y consultoría.
¿Qué es la norma ISO 42001 y para qué le sirve a auditoría interna?
ISO/IEC 42001 es la norma internacional de sistemas de gestión de inteligencia artificial, publicada en 2023. Define 39 controles en 10 dominios: gobernanza, evaluación de impacto, transparencia, trazabilidad y supervisión humana, entre otros. A auditoría interna le sirve como marco de referencia para evaluar el uso de IA en la organización.
Para auditoría, la norma es un marco de referencia, no una lista de verificación que se aprueba: ordena la evaluación, no sustituye el juicio sobre cada caso de uso. Combinada con ISO 27001, la norma de seguridad de la información, cubre tanto la gestión responsable de la IA como la protección de los datos que la alimentan.
¿Cuáles son los principales riesgos de la inteligencia artificial que auditoría debe evaluar?
Los principales riesgos de la IA que auditoría interna debe evaluar son: resultados incorrectos presentados con apariencia de certeza, sesgos en datos y algoritmos, fuga de información confidencial, decisiones sin trazabilidad ni responsable claro, dependencia de terceros proveedores del modelo, y uso no autorizado de IA por empleados (la llamada IA en la sombra).
El último riesgo merece atención especial: empleados usando herramientas públicas sin control es hoy más frecuente que los proyectos formales de IA, y más difícil de detectar. Prohibirlo por circular no funciona; se necesita una vía autorizada y vigilada. El video sobre gobierno de IA para auditoría interna resume los controles que deben existir antes de cada uso.
¿Qué es una automatización auditable?
Una automatización auditable es aquella cuyo resultado puede reconstruirse y verificarse: tiene reglas explícitas y documentadas, registra en una bitácora cada paso que ejecuta, identifica la fuente y la versión de los datos que usa, y permite que una persona recalcule el resultado por una vía independiente. Si no se puede verificar, no sirve como evidencia de auditoría.
Ese es el estándar que define el Método RTA-IA: cualquier resultado se puede repetir, rastrear hasta su origen y sustentar ante una revisión independiente. La prueba no es que el resultado parezca correcto, sino que otra persona pueda reconstruirlo sin depender de quien lo produjo.
La función de auditoría interna y sus normas
¿Qué es la auditoría interna y para qué sirve?
La auditoría interna es una función independiente y objetiva dentro de la organización que evalúa la gestión de riesgos, el control interno y el gobierno corporativo, y asesora para mejorarlos. Sirve para dar a la alta dirección y al comité seguridad razonable de que los riesgos importantes están controlados.
No es lo mismo que la revisoría fiscal ni que la auditoría de estados financieros, dos figuras con las que suele confundirse en Colombia: la auditoría interna trabaja para la propia organización y cubre operaciones, tecnología, cumplimiento y estrategia, no solo cifras contables. Su valor no está en encontrar errores del pasado, sino en reducir el riesgo antes de que se materialice.
¿Cuál es la diferencia entre auditoría interna y auditoría externa?
La auditoría interna la realizan profesionales de la propia organización, evalúa riesgos, controles y operaciones durante todo el año, y reporta al comité de auditoría. La auditoría externa la realiza una firma independiente, se concentra en los estados financieros, se ejecuta normalmente una vez al año y reporta a accionistas y terceros.
Son funciones complementarias, no competidoras: la externa opina sobre las cifras una vez al año; la interna ayuda a controlar los riesgos durante todo el año, antes de que lleguen a esas cifras. Esperar de una lo que solo la otra puede dar es una causa frecuente de expectativas mal puestas en el comité.
¿Qué son las Normas Globales de Auditoría Interna del IIA y qué cambió?
Las Normas Globales de Auditoría Interna son el marco obligatorio del Instituto de Auditores Internos (IIA), publicado en enero de 2024 y vigente desde el 9 de enero de 2025. Integran en un solo documento la misión, los principios, la ética y las normas, y exigen un plan de auditoría dinámico basado en riesgos.
Incorporan además requisitos temáticos para riesgos críticos como ciberseguridad y gestión de terceros, y elevan la exigencia sobre la calidad y el desempeño de la propia función. El cambio de fondo no es documental: obliga a que el plan responda al riesgo real del año, no a una lista heredada. Las auditorías que ejecutamos se alinean a este marco.
¿Cómo se elabora un plan de auditoría basado en riesgos?
Un plan de auditoría basado en riesgos se elabora en cinco pasos: entender los objetivos estratégicos de la organización, construir el universo auditable, evaluar cada elemento por impacto y probabilidad, priorizar los trabajos según riesgo y recursos disponibles, y revisar el plan durante el año cuando cambien las condiciones. El plan es dinámico, no anual y fijo.
Una evaluación de riesgos alimentada con datos reales de la operación es más defendible ante el comité que una basada solo en entrevistas. Ahí entra la analítica a la planificación, no solo a la ejecución. El plan que no se revisa cuando cambian las condiciones deja de estar basado en riesgos el día que se aprueba.
¿Qué es la auditoría continua y cómo se implementa?
La auditoría continua es el uso de pruebas automatizadas que se ejecutan de forma permanente o frecuente sobre los datos de la operación, en lugar de revisiones puntuales una vez al año. Se implementa definiendo indicadores y reglas de excepción, conectándolos a las fuentes de datos y estableciendo quién responde a cada alerta.
Conviene distinguirla del monitoreo continuo: el monitoreo es responsabilidad de la gerencia sobre sus propios controles; la auditoría continua es responsabilidad de auditoría y produce evidencia independiente. Confundir ambas termina con auditoría vigilando lo que ya vigila la gerencia y descuidando su propia opinión. Las automatizaciones auditables son la base técnica de las dos.
El trabajo del auditor sobre los datos
¿Qué es la analítica de datos en auditoría y por qué importa?
La analítica de datos en auditoría es el uso de técnicas de análisis sobre poblaciones completas de transacciones para identificar excepciones, patrones y anomalías, en lugar de revisar solo una muestra. Importa porque aumenta la cobertura, reduce el riesgo de no detectar irregularidades y produce hallazgos respaldados en evidencia cuantificable.
Un ejemplo aplicado: en una base de compras, la analítica permite cruzar proveedores, valores y fechas para detectar pagos duplicados o fraccionamiento de contratos en toda la población, algo que una muestra de treinta registros casi nunca encuentra. La cobertura total cambia la conversación con el auditado: ya no se discute si el caso es aislado. El ejemplo de análisis de compras con IA muestra ese recorrido completo.
¿Qué herramientas de análisis de datos usa un auditor interno moderno?
Un auditor interno moderno combina hojas de cálculo avanzadas, herramientas de visualización como Power BI, lenguajes de análisis como SQL o Python, software especializado de auditoría y, cada vez más, asistentes de inteligencia artificial para preparar, cruzar y documentar análisis. La herramienta importa menos que la trazabilidad del análisis.
El criterio de selección es uno solo: cualquier herramienta sirve si el resultado se puede reproducir y verificar; ninguna sirve si no. Cambiar de herramienta cada año importa menos que documentar el análisis de forma que sobreviva a ese cambio. En recursos hay materiales prácticos para bajar estas técnicas al trabajo real.
Crecer en la profesión
¿Qué se necesita para ser auditor interno?
Para ser auditor interno se necesita un título universitario en contaduría, administración, economía, ingeniería o áreas afines, experiencia en auditoría, control interno o riesgos (normalmente uno a tres años para cargos junior), y formación continua. Las certificaciones internacionales como el CIA del IIA fortalecen el perfil y la remuneración.
Una tendencia a favor de perfiles nuevos: profesionales de tecnología y datos están entrando a los equipos de auditoría sin ser contadores, porque la función necesita esas competencias tanto como las contables. El título abre la puerta; lo que sostiene la carrera es el criterio para evaluar riesgos y sustentar conclusiones.
¿Qué es la certificación CIA y qué requisitos tiene?
La certificación CIA (Certified Internal Auditor) es la credencial internacional de auditoría interna otorgada por el IIA y reconocida como el estándar global de la profesión. Requiere cumplir requisitos de elegibilidad académica, aprobar tres exámenes y acreditar 24 meses de experiencia en auditoría interna o equivalente; una maestría puede sustituir 12 meses.
Exige además adherirse al Código de Ética del IIA y mantener horas de educación continua para conservar la credencial. La certificación no reemplaza la experiencia: acredita un estándar común, pero el valor del auditor sigue estando en cómo aplica ese estándar a un negocio concreto.
¿Cuánto gana un auditor interno?
El salario de un auditor interno varía según país, sector, tamaño de la empresa y nivel del cargo, desde posiciones junior hasta direcciones de auditoría. Dos factores elevan la remuneración de forma consistente: las certificaciones internacionales (el IIA reporta que un auditor certificado CIA gana hasta 40% más que un colega no certificado) y las competencias en datos e inteligencia artificial.
Las cifras absolutas envejecen rápido; los diferenciales no. Dos palancas mueven la remuneración de forma sostenida: la certificación y las competencias en datos e IA aplicada. Invertir en competencias de IA aplicada es hoy la palanca salarial más clara de la profesión, porque escasea la oferta y crece la demanda.
¿Su pregunta no está aquí?
Escríbanos por cualquiera de los canales o solicite un diagnóstico: la conversación inicial no tiene costo y define si podemos ayudar.
Solicitar diagnóstico Conocer el Método RTA-IA