La auditoría interna puede ser realizada por un equipo propio de la empresa, un proveedor externo especializado o un modelo mixto, siempre que quienes la ejecuten tengan las competencias necesarias y actúen con independencia y objetividad. En esta guía encontrará qué responsabilidades asume esta función, qué perfil técnico requiere, cómo debe relacionarse con la gerencia y el comité de auditoría, y qué criterios permiten elegir el modelo más adecuado.
¿Quién puede realizar la auditoría interna?
La responsabilidad de ejecutar la auditoría interna puede asignarse a diferentes estructuras según el tamaño, la complejidad, los riesgos y los recursos de la organización.
Las alternativas más habituales son:
- Un departamento interno dedicado exclusivamente a la función.
- Un profesional interno responsable de auditoría, riesgos o control.
- Una firma externa especializada.
- Un modelo mixto o de co-sourcing.
- Expertos técnicos contratados para revisiones específicas.
No existe un único modelo aplicable a todas las empresas. Lo importante es que la estructura elegida permita evaluar los riesgos y controles de manera objetiva, reportar los resultados al nivel de gobierno adecuado y realizar seguimiento a los planes de acción.
Equipo interno
En empresas medianas y grandes suele existir una unidad permanente de auditoría interna. Esta puede estar liderada por un director o jefe de auditoría interna, responsable de:
- Preparar el plan anual.
- Coordinar las auditorías.
- Asignar recursos.
- Supervisar la calidad de los trabajos.
- Presentar resultados al comité de auditoría o a la junta directiva.
- Realizar seguimiento a los hallazgos.
- Informar sobre riesgos emergentes y limitaciones de alcance.
El equipo interno aporta conocimiento de los procesos, continuidad en el seguimiento y mayor comprensión del contexto organizacional.
Su principal desafío consiste en evitar que la cercanía con las áreas operativas afecte la objetividad. Por esta razón, deben existir líneas claras de reporte, políticas de conflicto de interés y restricciones frente a funciones administrativas u operativas.
Proveedor externo
La empresa también puede contratar a una firma especializada para ejecutar total o parcialmente la función.
Este modelo puede ser conveniente cuando:
- No existe un equipo interno.
- Se requieren conocimientos especializados.
- La empresa busca ampliar la cobertura del plan.
- Se necesita mayor capacidad durante períodos específicos.
- Existen procesos sensibles que requieren una mirada independiente.
- No resulta eficiente mantener permanentemente todas las competencias dentro de la organización.
La contratación externa no elimina la responsabilidad de la empresa sobre la gestión de sus riesgos ni sobre la implementación de las recomendaciones. La gerencia y los dueños de proceso siguen siendo responsables de los controles y las acciones correctivas.
Modelo mixto
En un modelo mixto, la empresa conserva un líder o equipo interno y contrata apoyo externo para determinados trabajos.
Por ejemplo, el equipo interno puede coordinar el plan anual y ejecutar auditorías financieras u operativas, mientras que especialistas externos revisan:
- Ciberseguridad.
- Sistemas de información.
- Cumplimiento regulatorio.
- Modelos de datos.
- Riesgos tributarios.
- Continuidad del negocio.
- Procesos técnicos propios de la industria.
Este esquema permite combinar conocimiento institucional con capacidades especializadas y una mayor flexibilidad en la asignación de recursos.
¿Qué rol cumple la auditoría interna dentro de la empresa?
La auditoría interna evalúa si los procesos de gobierno, gestión de riesgos y control interno están diseñados adecuadamente y funcionan de forma efectiva.
Su trabajo puede incluir revisiones sobre:
- Procesos financieros y contables.
- Cumplimiento de políticas y procedimientos.
- Gestión de riesgos.
- Controles operativos.
- Tecnología y seguridad de la información.
- Cumplimiento normativo.
- Prevención de fraude.
- Administración de proveedores.
- Continuidad operativa.
- Ejecución de proyectos.
- Seguimiento de planes de acción.
La auditoría interna también puede formular recomendaciones y prestar servicios de consultoría, siempre que no asuma responsabilidades propias de la administración.
Lo que sí debe hacer
La función debe:
- Evaluar riesgos y controles.
- Obtener evidencia suficiente.
- Identificar debilidades.
- Analizar causas y posibles efectos.
- Formular recomendaciones viables.
- Comunicar resultados.
- Hacer seguimiento a los compromisos.
- Escalar oportunamente los asuntos críticos.
Lo que no debe hacer
Para conservar su independencia, la auditoría interna no debería:
- Diseñar y operar los mismos controles que posteriormente evaluará.
- Aprobar transacciones propias de la gerencia.
- Asumir la gestión directa de riesgos.
- Ejecutar actividades operativas permanentes.
- Ser responsable de corregir sus propios hallazgos.
- Tomar decisiones administrativas en nombre de los dueños de proceso.
La administración puede solicitar asesoría durante el diseño de un control o proyecto, pero debe mantener la responsabilidad sobre su aprobación, implementación y operación.
Perfil técnico de quien realiza la auditoría interna
El equipo encargado debe reunir conocimientos técnicos, criterio profesional y habilidades de comunicación. No basta con revisar documentos o aplicar listas de verificación.
El perfil requerido depende de los riesgos de la organización y de las áreas incluidas en el plan.
Conocimientos técnicos
Entre las competencias más relevantes se encuentran:
- Control interno.
- Gestión de riesgos.
- Contabilidad y finanzas.
- Técnicas de auditoría.
- Evaluación de procesos.
- Diseño y prueba de controles.
- Muestreo.
- Cumplimiento normativo.
- Gobierno corporativo.
- Análisis de datos.
- Elaboración de informes.
- Seguimiento de hallazgos.
En trabajos especializados pueden requerirse conocimientos adicionales en tecnología, ciberseguridad, prevención de fraude, sostenibilidad, impuestos, operaciones industriales o regulación sectorial.
Capacidad analítica
Quien realiza la auditoría interna debe poder:
- Comprender procesos complejos.
- Relacionar riesgos con objetivos empresariales.
- Evaluar la suficiencia de la evidencia.
- Identificar causas, no solo síntomas.
- Determinar la relevancia de un hallazgo.
- Priorizar recomendaciones.
- Reconocer patrones y desviaciones.
La calidad de una auditoría no depende únicamente del número de hallazgos. Un trabajo efectivo identifica los asuntos que pueden afectar de forma significativa los objetivos, la operación o la confiabilidad de la información.
Habilidades de comunicación
El auditor debe adaptar su comunicación al interlocutor.
No se presenta un hallazgo de la misma manera ante un responsable operativo, un gerente financiero o un comité de auditoría. Por eso se requieren habilidades para:
- Realizar entrevistas.
- Formular preguntas precisas.
- Explicar riesgos con claridad.
- Escuchar las respuestas de las áreas.
- Sustentar conclusiones con evidencia.
- Redactar informes ejecutivos.
- Gestionar diferencias de criterio.
- Negociar fechas sin comprometer la objetividad.
Las recomendaciones deben ser prácticas, proporcionales al riesgo y comprensibles para quienes serán responsables de implementarlas.
Formación y certificaciones
La formación puede provenir de áreas como contaduría, administración, economía, ingeniería, sistemas, derecho o disciplinas relacionadas con los procesos evaluados.
Las certificaciones profesionales en auditoría interna, riesgos, fraude, sistemas de información o control pueden fortalecer el perfil. Sin embargo, no reemplazan la experiencia práctica, el conocimiento del negocio ni el juicio profesional.
Modelos para organizar la función de auditoría interna
La elección entre un equipo interno, externo o mixto debe responder a las necesidades de la organización y no únicamente al costo inicial.
| Modelo | Ventajas principales | Riesgos o limitaciones | Cuándo puede ser adecuado |
|---|---|---|---|
| Interno | Conocimiento del negocio, continuidad y seguimiento permanente. | Riesgo de familiaridad y dificultad para mantener todas las especialidades. | Empresas con operaciones estables, múltiples procesos y necesidad de cobertura continua. |
| Externo | Especialización, flexibilidad y capacidad escalable. | Curva de aprendizaje y posible dependencia del proveedor. | Empresas sin estructura interna o con necesidades periódicas. |
| Mixto | Combina conocimiento interno y experiencia especializada. | Requiere buena coordinación y delimitación de responsabilidades. | Organizaciones con equipo interno que necesita ampliar cobertura o conocimientos. |
| Especialistas por proyecto | Profundidad técnica en asuntos determinados. | No reemplaza la coordinación general de la función. | Revisiones de TI, ciberseguridad, cumplimiento o procesos técnicos. |
Independientemente del modelo, deben definirse:
- Alcance del servicio.
- Responsables.
- Acceso a la información.
- Entregables.
- Metodología.
- Confidencialidad.
- Estándares de calidad.
- Reporte de conflictos de interés.
- Seguimiento de recomendaciones.
- Canales de comunicación con el comité.
Cómo preservar la independencia y objetividad
La independencia permite que la función realice su trabajo sin interferencias indebidas. La objetividad exige que cada auditor evalúe la evidencia sin sesgos, conflictos de interés o presiones operativas.
Línea de reporte
Una práctica adecuada es separar el reporte funcional del reporte administrativo.
El reporte funcional debería llegar al comité de auditoría, junta directiva u otro órgano de supervisión con autoridad suficiente. Esta instancia puede participar en:
- Aprobación del plan.
- Revisión del presupuesto.
- Evaluación del líder de auditoría.
- Revisión de resultados relevantes.
- Atención de limitaciones de alcance.
- Seguimiento de riesgos críticos.
- Evaluación de la independencia.
El reporte administrativo puede mantenerse con la gerencia para asuntos como instalaciones, recursos humanos, logística y coordinación cotidiana.
La gerencia no debería impedir la ejecución de trabajos aprobados ni modificar conclusiones sustentadas en evidencia.
Carta de auditoría interna
La función debe contar con una carta o estatuto aprobado por el órgano de gobierno correspondiente.
Este documento debería establecer:
- Propósito de la función.
- Autoridad.
- Alcance.
- Responsabilidades.
- Acceso a personas, sistemas y documentos.
- Línea de reporte.
- Principios de independencia.
- Tratamiento de conflictos de interés.
- Responsabilidades frente al seguimiento.
- Procedimiento para comunicar asuntos críticos.
La carta ayuda a evitar discusiones sobre el alcance y brinda respaldo institucional al equipo auditor.
Conflictos de interés
Los auditores no deberían revisar actividades sobre las que hayan tenido responsabilidad operativa reciente si esta circunstancia puede afectar su objetividad.
También es recomendable aplicar:
- Declaraciones periódicas de independencia.
- Políticas de recusación.
- Rotación en procesos sensibles.
- Supervisión adicional en situaciones de conflicto.
- Separación entre servicios de consultoría y aseguramiento.
- Revisión de relaciones comerciales del proveedor externo.
Cuando exista una limitación, debe comunicarse al responsable de la función y al órgano de supervisión.
Relación con la gerencia, el comité y los dueños de proceso
La auditoría interna debe mantener una relación de colaboración profesional sin asumir responsabilidades de gestión.
| Interlocutor | Relación con auditoría interna | Responsabilidad principal |
|---|---|---|
| Junta directiva o comité de auditoría | Supervisa la función y recibe los asuntos relevantes. | Aprobar lineamientos, revisar resultados y respaldar la independencia. |
| Alta gerencia | Facilita recursos e información y responde a riesgos relevantes. | Gestionar riesgos y promover la implementación de acciones. |
| Dueños de proceso | Entregan evidencia, analizan hallazgos y ejecutan planes. | Diseñar, operar y mejorar los controles. |
| Control interno o riesgos | Coordina información y evita duplicidades. | Administrar metodologías y apoyar la gestión de riesgos. |
| Auditoría interna | Evalúa, comunica y hace seguimiento. | Emitir conclusiones objetivas y sustentadas. |
Relación con la gerencia
La gerencia puede aportar contexto, explicar decisiones y proponer planes de acción. Sin embargo, no debe condicionar el alcance, la evidencia o las conclusiones.
La auditoría interna, por su parte, debe:
- Escuchar las respuestas de la administración.
- Verificar la evidencia presentada.
- Diferenciar hechos de opiniones.
- Explicar el riesgo asociado.
- Reconocer desacuerdos cuando persistan.
- Escalar los asuntos relevantes.
Relación con el comité de auditoría
El comité debe recibir información suficiente para supervisar la función.
Los reportes periódicos pueden incluir:
- Avance del plan anual.
- Auditorías concluidas.
- Hallazgos de mayor relevancia.
- Acciones vencidas.
- Limitaciones de alcance.
- Cambios en el perfil de riesgos.
- Necesidades de recursos.
- Resultados del programa de calidad.
El comité no debería limitarse a recibir informes. También debe solicitar explicaciones sobre asuntos críticos y evaluar si la administración está respondiendo adecuadamente.
Relación con los dueños de proceso
Los dueños de proceso deben participar desde la planeación del trabajo, facilitar información y responder a los hallazgos.
La interacción debe ser constructiva, pero basada en evidencia. Los responsables pueden discrepar de una observación, siempre que sustenten su posición.
La reunión de cierre permite:
- Confirmar hechos.
- Aclarar diferencias.
- Analizar causas.
- Definir recomendaciones.
- Asignar responsables.
- Establecer fechas.
- Determinar el nivel de escalamiento.
Recibe asesoría experta para tu empresa ahora
Obtén asesoría de nuestros profesionales con experiencia en áreas clave para tu empresa y toma decisiones con mayor confianza, respaldo técnico y una visión estratégica de crecimiento claro.
Planificación de la auditoría interna con enfoque basado en riesgos
El plan de auditoría debe concentrar los recursos en los procesos y riesgos de mayor relevancia para la organización.
Su elaboración puede incluir:
- Comprensión de los objetivos estratégicos.
- Identificación del universo auditable.
- Consulta con la junta, el comité y la gerencia.
- Revisión de riesgos emergentes.
- Evaluación de cambios regulatorios.
- Análisis de incidentes y pérdidas.
- Revisión de auditorías anteriores.
- Valoración de procesos críticos.
- Estimación de recursos y competencias.
El plan no debería permanecer estático durante todo el año. Si cambia el entorno, aparece un riesgo crítico o se presenta una situación extraordinaria, la función debe evaluar si corresponde ajustar las prioridades.
Etapas de un trabajo de auditoría
Una auditoría normalmente comprende:
- Definición de objetivos y alcance.
- Comprensión del proceso.
- Identificación de riesgos.
- Evaluación del diseño de controles.
- Ejecución de pruebas.
- Análisis de resultados.
- Discusión de hallazgos.
- Emisión del informe.
- Seguimiento a las acciones.
La alineación con una evaluación de control interno ayuda a identificar si los controles están correctamente diseñados, documentados y aplicados, sin sustituir la responsabilidad de la administración sobre su operación.
Cómo decidir entre un equipo interno, externo o mixto
La decisión debe basarse en criterios objetivos.
Tamaño y complejidad
Una organización con múltiples sedes, procesos regulados y operaciones internacionales puede requerir una función permanente. Una empresa con menor complejidad podría cubrir sus necesidades mediante trabajos externos periódicos.
Frecuencia de las revisiones
Si la empresa necesita auditorías continuas y seguimiento frecuente, puede ser conveniente mantener capacidades internas.
Cuando las revisiones son específicas o se realizan en determinados momentos, la contratación externa puede resultar más flexible.
Disponibilidad de competencias
El plan puede requerir conocimientos que no se encuentran dentro de la empresa.
Antes de asignar un trabajo, se debe analizar si el equipo cuenta con experiencia suficiente. Cuando exista una brecha técnica, es preferible incorporar especialistas que ejecutar una revisión superficial.
Independencia necesaria
Los procesos sensibles, las investigaciones o las revisiones sobre la alta dirección pueden requerir un nivel adicional de independencia.
En estos casos, la participación de un tercero puede fortalecer la confianza en el proceso, siempre que se verifiquen sus propios conflictos de interés.
Presupuesto y capacidad de gestión
La evaluación económica debe incluir:
- Salarios y prestaciones.
- Formación.
- Software.
- Especialistas.
- Revisiones de calidad.
- Administración del proveedor.
- Tiempo de aprendizaje.
- Continuidad del equipo.
No debe compararse únicamente el valor del contrato externo con el salario de un auditor interno. Cada alternativa tiene costos directos e indirectos.
Cuando la organización requiere estructurar, complementar o tercerizar la función, puede evaluar un servicio de auditoría interna que defina el alcance, la metodología y los mecanismos de reporte de acuerdo con sus riesgos.
Supervisión y control de calidad
La función debe evaluar periódicamente si sus metodologías, competencias e informes cumplen con los criterios definidos por la organización.
Un programa de calidad puede incluir:
- Supervisión de cada trabajo.
- Revisión de papeles de trabajo.
- Validación de conclusiones.
- Encuestas a las áreas auditadas.
- Seguimiento de indicadores.
- Evaluaciones internas.
- Revisiones independientes periódicas.
- Planes de mejora.
La supervisión no debe limitarse a verificar que se completaron formatos. Debe analizar si la evidencia respalda las conclusiones y si el trabajo cubrió los riesgos relevantes.
Calidad de los informes
Un informe efectivo debe presentar:
- Objetivo y alcance.
- Período revisado.
- Metodología.
- Hallazgos sustentados.
- Riesgo o efecto asociado.
- Causa identificada.
- Recomendación.
- Respuesta de la administración.
- Responsable.
- Fecha de implementación.
La redacción debe ser clara, precisa y proporcional. Los hallazgos críticos deben diferenciarse de las oportunidades de mejora de menor impacto.
Uso de tecnología y análisis de datos
Las herramientas tecnológicas pueden ampliar la cobertura y mejorar la trazabilidad del trabajo.
Entre las soluciones utilizadas se encuentran:
- Plataformas de gestión de auditoría.
- Sistemas GRC.
- Herramientas de análisis de datos.
- Automatización de pruebas.
- Tableros de seguimiento.
- Repositorios documentales.
- Sistemas de monitoreo continuo.
El uso de tecnología permite revisar poblaciones completas, identificar patrones y hacer seguimiento oportuno. Sin embargo, no reemplaza el criterio profesional.
Antes de implementar una herramienta, la empresa debe definir:
- Qué problema busca resolver.
- Qué datos están disponibles.
- Quién administrará la solución.
- Cómo se protegerá la información.
- Qué integraciones se requieren.
- Cómo se validarán los resultados.
Medición del desempeño de la función
Los indicadores deben evaluar cobertura, calidad, oportunidad e impacto.
Algunos KPIs útiles son:
- Porcentaje del plan anual ejecutado.
- Tiempo promedio de emisión de informes.
- Porcentaje de acciones implementadas dentro del plazo.
- Número de acciones vencidas.
- Cobertura de procesos críticos.
- Resultados de revisiones de calidad.
- Satisfacción de los grupos de gobierno.
- Horas de formación del equipo.
- Uso de análisis de datos.
- Reincidencia de hallazgos.
Estos indicadores deben interpretarse con cuidado. Cumplir el 100 % del plan no garantiza que la función haya cubierto los riesgos más importantes, y un alto número de hallazgos no necesariamente representa mayor calidad.
El comité debe analizar tanto las métricas como el contexto.
Pasos para establecer o fortalecer la función
Una empresa que está definiendo quién realizará la auditoría interna puede seguir este proceso:
- Identificar las expectativas de la junta y la gerencia.
- Analizar los principales riesgos.
- Definir el alcance de la función.
- Establecer la línea de reporte.
- Aprobar la carta de auditoría.
- Determinar las competencias necesarias.
- Elegir el modelo interno, externo o mixto.
- Preparar el plan basado en riesgos.
- Diseñar la metodología y los informes.
- Implementar un sistema de seguimiento.
- Definir indicadores de calidad.
- Revisar periódicamente el modelo.
La estructura puede evolucionar con la organización. Una empresa puede comenzar con apoyo externo y posteriormente conformar un equipo interno, o mantener un esquema mixto de manera permanente.
Recibe asesoría experta para tu empresa ahora
Obtén asesoría de nuestros profesionales con experiencia en áreas clave para tu empresa y toma decisiones con mayor confianza, respaldo técnico y una visión estratégica de crecimiento claro.
Una función independiente convierte los hallazgos en decisiones útiles
La auditoría interna puede ser realizada por un equipo propio, un proveedor externo o una combinación de ambos. La elección debe considerar los riesgos, la complejidad, las competencias disponibles, la necesidad de continuidad y el nivel de independencia requerido.
Más allá del modelo, la función necesita autoridad, acceso a la información, un perfil técnico adecuado y una línea de reporte que permita comunicar asuntos relevantes sin interferencias. También debe mantener una relación constructiva con la gerencia y los dueños de proceso, sin asumir responsabilidades operativas.
Cuando existe una gobernanza clara, la auditoría interna ayuda a identificar debilidades, fortalecer controles, dar seguimiento a las acciones y entregar información útil para la supervisión y la toma de decisiones.
Preguntas frecuentes sobre la función de auditoría interna
? ¿Cuáles son errores comunes al definir quién realiza la auditoría interna?
Uno de los errores más frecuentes es elegir al responsable únicamente por disponibilidad, sin evaluar si cuenta con las competencias y la independencia necesarias.
También es común confundir independencia con aislamiento. La función debe conocer la operación y comunicarse con las áreas, pero sin asumir sus responsabilidades.
- Ejemplo: asignar una revisión de ciberseguridad a un equipo sin conocimientos técnicos puede producir observaciones generales que no identifican las vulnerabilidades relevantes.
- Recomendación: realice un análisis de competencias antes de aprobar el plan y contrate apoyo especializado cuando el equipo no tenga la experiencia requerida.
? ¿Qué KPIs permiten medir el desempeño de la función de auditoría interna?
Los KPIs deben combinar ejecución, oportunidad, calidad y seguimiento. Entre los más útiles se encuentran el porcentaje del plan cumplido, el tiempo de emisión de informes, las acciones implementadas dentro del plazo y la reincidencia de hallazgos.
También pueden considerarse los resultados de revisiones de calidad y la percepción del comité sobre la utilidad de los informes.
- Ejemplo: una empresa puede revisar trimestralmente el avance del plan, las acciones vencidas y los hallazgos que continúan presentándose en auditorías posteriores.
- Recomendación: no evalúe la función con un único indicador. Utilice un cuadro de mando que combine cobertura, calidad, tiempos y respuesta de la administración.
? ¿Qué herramientas tecnológicas facilitan la función de auditoría interna?
Las plataformas de gestión de auditoría, los sistemas GRC, las herramientas de análisis de datos y los tableros de seguimiento ayudan a documentar pruebas, administrar evidencias y monitorear planes de acción.
La herramienta debe responder al tamaño y la madurez de la organización.
- Ejemplo: una plataforma centralizada puede facilitar que cada responsable actualice el avance de sus acciones y adjunte evidencias para revisión.
- Recomendación: realice una prueba piloto en un proceso antes de implementar una solución en toda la organización y verifique la seguridad, integración y facilidad de uso.
? ¿Cuánto tiempo y costo requiere establecer una función interna de auditoría?
El tiempo y el costo dependen del tamaño de la empresa, la amplitud del plan, las competencias requeridas y la disponibilidad de sistemas y metodologías.
La inversión puede incluir contratación, formación, software, apoyo especializado y evaluaciones de calidad.
- Ejemplo: una empresa puede iniciar con un líder interno y apoyo externo mientras desarrolla gradualmente su metodología y capacidad operativa.
- Recomendación: prepare un caso de negocio que contemple estructura, herramientas, especialistas y costos de continuidad, no solo el valor de contratación del equipo.
? ¿Qué criterios seguir para seleccionar proveedores externos o mixtos?
La organización debe evaluar la experiencia sectorial, la metodología, el equipo propuesto, la independencia, las referencias y los controles de calidad.
También debe revisar los servicios que el proveedor ya presta para identificar posibles conflictos de interés.
- Ejemplo: para una auditoría de controles tecnológicos puede solicitarse una presentación técnica del equipo y una explicación de las pruebas que se aplicarían.
- Recomendación: utilice una matriz de evaluación que asigne mayor peso a la experiencia, la metodología y el equipo. El precio debe analizarse junto con la calidad y el alcance ofrecidos.
