El desembarco de la IA lleva el papel del auditor interno más allá del 'vigilante corporativo'

El acelerón tecnológico refuerza la importancia de un rol que, con su visión transversal e independiente, es clave para comprender y anticipar vulnerabilidades y riesgos para el logro de objetivos

El auditor interno juega un papel decisivo para cualquier empresa. Detecta y corrige irregularidades, además de preparar a la organización para cumplir de manera eficiente con las auditorías obligatorias. Su trabajo se ha visto afectado por la irrupción de la IA en muchos de los ... procesos habituales de su día a día. Como indica Marcos Becerril de la Fuente, socio de Internal Audit & Risk Consulting de EY, «la IA está transformando la auditoría interna en dos grandes dimensiones: cómo auditamos y qué debemos auditar». Pero la tecnología no es nueva para esta profesión que lleva años utilizando automatización, analítica avanzada de datos y modelos de auditoría continua. Sin embargo, «la IA generativa y, especialmente, la evolución hacia sistemas agénticos representan un salto cualitativo», añade. Ya no se trata únicamente de procesar grandes volúmenes de información o detectar anomalías, «sino de tecnologías capaces de interpretar documentación, relacionar información de diferentes fuentes y desarrollar análisis que antes requerían una intervención humana mucho más intensiva», puntualiza.

A juicio de Becerril de la Fuente, el cambio más profundo está en los propios negocios. «A medida que las organizaciones incorporen agentes inteligentes capaces de ejecutar tareas y participar en determinadas decisiones, tendremos que replantearnos cómo están diseñados sus procesos, dónde se sitúan los controles y quién asume las responsabilidades», resalta. La IA abre ahora una nueva etapa para esta profesión. Pueden apoyarse en herramientas que no solo analizan datos estructurados, sino que también interpretan contratos, procedimientos, comunicaciones y otras fuentes de información, relacionan evidencias y ayudan a formular hipótesis sobre posibles riesgos o deficiencias de control.

Para el socio de Internal Audit & Risk Consulting de EY, la auditoría interna tiene ante sí una oportunidad extraordinaria para reforzar su relevancia dentro de las organizaciones, «aunque esa posición debe ganarse demostrando valor». La visión transversal e independiente que tiene el auditor interno del conjunto de la organización «le permite conectar cuestiones que, analizadas de forma aislada, podrían pasar inadvertidas», pone como ejemplo. En este contexto, entiende que su aportación debe ir más allá de identificar deficiencias de control. «Debe ayudar a los órganos de gobierno a comprender los riesgos para la consecución de los objetivos estratégicos de la organización, anticipar posibles vulnerabilidades, y evaluar si los mecanismos de control evolucionan al mismo ritmo que el negocio», matiza.

Reingeniería de procesos

Si bien cuenta con un rol estratégico para la organización, «no significa participar en las decisiones de gestión ni perder la independencia que caracteriza a nuestra función», deja claro Becerril de la Fuente. La IA puede ayudarles a evolucionar hacia modelos de auditoría más dinámicos, capaces de relacionar información de distintas áreas e identificar señales que, de otra forma, podrían pasar desapercibidas. «No podemos pretender auditar los procesos del futuro utilizando exclusivamente los enfoques y controles del pasado», reflexiona. Se debe avanzar hacia nuevos modelos y espera que en algunos casos, «esto supondrá una auténtica reingeniería de procesos, no una simple adaptación tecnológica».

Nuevas capacidades para un talento difícil de encontrar

En el estudio de EY «Radiografía de la Auditoría Interna en España», el 75% de los encuestados señalaba que resulta difícil o muy difícil hallar perfiles que respondan a las necesidades actuales de la función. Al tiempo, en el 49% de las funciones, menos del 5% de la plantilla cuenta con conocimientos de analítica avanzada de datos. «Estos datos reflejan el reto de incorporar nuevas capacidades tecnológicas y analíticas sin perder el conocimiento de auditoría, riesgos y negocio que sigue siendo esencial para la función», explica Marcos Becerril de la Fuente, socio de Internal Audit & Risk Consulting de EY. Llama la atención al hecho de que la auditoría interna del futuro necesitará profesionales que comprendan la tecnología, «pero también personas con un conocimiento profundo de los procesos, el control interno, la gestión de riesgos y el funcionamiento de las organizaciones». No se trata de sustituir perfiles sino «de una evolución de las capacidades». Así, un gran reto será lograr que perfiles con capacidades distintas trabajen de forma integrada. «Debemos crear equipos multidisciplinares que combinen experiencia, conocimiento del negocio y capacidades digitales», puntualiza.

Desde el Instituto de Auditores Internos de España (IAI) señalan que la IA está trayendo, a corto plazo, más trabajo para esta profesión, ya que les enfrenta también a un nuevo escenario, que es auditar cómo se utiliza la propia IA. «El desafío ya no consiste sólo en determinar qué podemos hacer con la tecnología, sino en comprobar si podemos confiar en sus resultados, por qué y si las organizaciones la están utilizando de forma adecuada y rigurosa», indica su presidente, Manuel de Alzúa. Por eso, además de permitir simplificar tareas, les incrementa la carga de trabajo, para evaluar si existen los mecanismos de gobierno corporativo, control y supervisión adecuados para garantizar su uso responsable y aportar confianza a la dirección y a los órganos de gobierno.

La IA puede utilizarse a lo largo de todo el proceso de auditoría. Desde su planificación estratégica y la identificación de riesgos, hasta el análisis, elaboración de conclusiones y seguimiento de las recomendaciones. «Su uso ha de estar alineado con los objetivos de la organización, y estar convenientemente supervisado», recuerda De Alzúa. El grado de implementación varía entre organizaciones y lo que dejan claro es que «no debe sustituir el criterio del auditor interno ni su responsabilidad sobre las conclusiones de su trabajo», puntualiza. Desde IAI señalan como principales beneficios de su uso «más capacidad de análisis y eficiencia». El objetivo no es solamente auditar más deprisa, «sino auditar mejor, contribuir a anticipar mejor los riesgos y aportar información relevante para la toma de decisiones», recalca el presidente. Entre los riesgos que conlleva su uso, «mucha atención a los errores, los sesgos, la falta de transparencia de algunos sistemas, la protección de la información y la dependencia excesiva de la tecnología». Y para poder conocer tanto las ventajas como los riesgos que implica su uso, ha sido necesaria una formación del auditor interno para acompañar toda la transformación. «No todos deben ser especialistas técnicos, pero sí contar con la formación necesaria para cuestionar los resultados y valorar su fiabilidad», matiza.

Juan Noblejas Maestriño, director del máster en Auditoría de Cuentas y Contabilidad de CEF-UDIMA, encuentra algunos cambios a la hora de analizar las competencias necesarias hoy en día para ser auditor. «A las tradicionales que un auditor debe poseer, como la independencia, los conocimientos técnicos y la capacidad de análisis, tendríamos que añadirle otras que la IA exigirá a la profesión», subraya. Entre ellas, «la capacidad de análisis e interpretación de datos, los conocimientos sobre automatización de procesos y ciberseguridad, tener una gran capacidad crítica, conocimiento normativo sobre protección de datos y, por último, un grado elevado de ética profesional», añade.

Desde este centro de formación de auditores señalan algunas diferencias importantes en el uso de la IA que dan el sector privado y el sector público. Mientras que la incorporación de la IA al sector privado está dirigida a la búsqueda de la eficacia empresarial y a la identificación de riesgos, «en el sector público hay que añadir un elemento fundamental, como es la garantía de la legalidad y la transparencia», apunta Noblejas. Recuerda que es en estos puntos donde aparece una diferencia fundamental respecto al sector privado con relación a la implantación, «ya que en el sector público hay que prestar especial atención a la exigencia de la legalidad, la protección de datos, la trazabilidad y, fundamentalmente, una supervisión humana».

Sustitución imposible

En el CEF también recuerdan que la IA nunca debe sustituir los conocimientos del ámbito jurídico, económico y contable, «esenciales a la figura del Cuerpo Superior de Interventores y Auditores del Estado, aunque debería incluirse una mayor capacitación tecnológica en la que debe hacerse hincapié en conocer los riesgos respecto a la utilización de los algoritmos en la Administración pública». La mayoría de los perfiles que llegan a estos centros son graduados que han visto en sus estudios materias jurídicas, económicas y contables, como graduados en Derecho, Económicas, Administración y Dirección de Empresas y Contabilidad y Finanzas. «Lo ideal sería realizar equipos que a parte de estos perfiles también pudieran acceder al cuerpo perfiles técnicos que hagan a dichos equipos más eficientes en la gestión pública», apunta el director del máster.