El imperativo del tiempo real en la auditoría interna

Los modelos de riesgo, fraude y precio de una entidad toman decisiones en tiempo real y a gran escala. La comprobación de que esas decisiones son correctas llega con un desfase de meses y se concentra sobre una fracción de los casos. Esa asimetría era tolerable cuando no había alternativa. Hoy en día la hay, y sostenerla empieza a ser una decisión, no una limitación.

Tiempo real, en auditoría interna, no significa revisar cada operación en el instante en que ocurre. Significa conocer la excepción dentro del mismo periodo en que se produce, cuando todavía puede corregirse. Ese es el objetivo, y es medible.

Una adopción alta que no ha movido el desfase

La tecnología ya está dentro: según Gartner, en 2026 el 83 % de las funciones de auditoría interna pilota o utiliza inteligencia artificial. Pero se ha aplicado a escribir, no a detectar: el 60 % emplea la IA generativa para redactar hallazgos e informes y menos de un tercio para probar. Y la vigilancia continua sigue siendo excepcional: en Vision 2035 de la Internal Audit Foundation, el 91 % considera decisiva la analítica de datos, pero sólo el 27 % tiene monitorización continua implantada a nivel alto. El informe sale antes; el hallazgo, no.

Por qué ya no es una limitación

El muestreo no nació de una convicción metodológica, sino de una restricción de coste: comprobarlo todo era inviable. Esa restricción ha desaparecido. Si la adopción ha ido hacia la redacción es porque era la única entrada que no exigía acceso a sistemas, conciliación con contabilidad ni negociación con el dueño del proceso. Ha servido para ganar confianza y presupuesto. Lo pendiente —y lo que cambia el resultado— es aplicarla a detectar antes.

Tres movimientos para cerrar el desfase

1. Asegurar el dato en origen y profundizar en un solo proceso. Sin acceso de lectura a los sistemas y conciliación con contabilidad no hay detección temprana posible. La primera ola debe llevar una sola familia de controles; evolucionar del muestreo a la población completa, y de ahí a la vigilancia permanente. Diez pilotos producen demostraciones; uno llevado hasta el final produce un cambio real.
2. Analítica antes que generativa, y cada prueba como activo. Lo que acorta el desfase es la analítica sobre el total de las operaciones; la IA generativa rinde después, redactando sobre esa prueba. Cada prueba debe quedar documentada y ser reutilizable por otro equipo y en otro periodo: es lo que permite pasar de revisar de vez en cuando a vigilar siempre.
3. Gobernar el uso propio y cambiar el perfil. El supervisor bancario espera que la auditoría interna vigile la inteligencia artificial de la entidad; y para hacerlo con credibilidad, debe empezar por ordenar la suya. Y una regla guía la transformación del equipo de auditoría: sólo debe firmar una conclusión quien sea capaz de repetir por sí mismo el análisis que la sostiene.

Cuando la primera línea ya vigila el total

En las entidades más avanzadas, la primera línea ya vigila la totalidad de sus operaciones con modelos propios. El valor de la auditoría interna pasa entonces de encontrar la excepción a asegurar que el mecanismo que la detecta funciona, está bien calibrado y no se degrada. Y aparece un riesgo adicional: si las tres líneas comparten modelos, datos e infraestructura, un fallo puede afectar simultáneamente a todas ellas.

Para los modelos que deciden sobre crédito, ese cambio tiene además fecha. El Reglamento europeo de inteligencia artificial los clasifica como de alto riesgo cuando evalúan la solvencia de personas físicas, con obligaciones aplicables desde el 2 de diciembre de 2027 que, en los grupos internacionales, se suman a los marcos de riesgo de modelo de otros supervisores. Auditar su gobierno, sus datos y su trazabilidad será una de las exigencias más visibles para la tercera línea.

Ese principio —vigilar continuamente el mecanismo antes de que falle el resultado— ya lo pude aplicar años antes de la actual revolución de la IA. En un proyecto que tuve la oportunidad de liderar, sustituimos la revisión periódica de los controles automáticos por un modelo de auditoría continua capaz de detectar cualquier cambio en su configuración sin esperar al siguiente ciclo de auditoría. La clave fue disponer de acceso automatizado y fiable a los datos de los sistemas. El resultado: el 58 % de los controles pudo validarse sin repetir las pruebas y el esfuerzo anual cayó de 6.300 a 352 horas. La principal lección no fue la eficiencia, sino comprobar que el deterioro de un control puede detectarse antes de que sus efectos lleguen a las cifras. Lo que entonces aplicamos a los controles de las aplicaciones es hoy el reto para los modelos que toman decisiones sobre crédito, fraude y precio.

El Business Case

El Business Case descansa en un principio: “lo que se detecta pronto cuesta una fracción de lo que se detecta tarde”. Un error identificado dentro del periodo se corrige con un asiento; hallado después, puede exigir un reproceso, una reexpresión o una conversación con el supervisor. A ello se suman la pérdida evitada en la operación, las horas liberadas —que se reinvierten en cobertura, no en recortes— y un menor esfuerzo del auditor externo cuando puede apoyarse en trabajo interno reproducible. La inversión es mayor el primer año, cuando se construyen el acceso al dato, la plataforma y el método. A partir de ahí, extender una prueba a otras entidades o periodos cuesta una fracción, porque se reutiliza; llevar el modelo a procesos nuevos sigue exigiendo inversión, pero sobre una base ya construida. Y conviene presupuestar desde el inicio un coste recurrente de mantenimiento: recalibrar reglas, depurar falsas alarmas y adaptarse a los cambios en los sistemas.

La cifra que de verdad importa

Preguntar a una función de auditoría interna si ya usa inteligencia artificial no aporta nada: casi todas responden que sí. La pregunta útil es otra. Cuando algo empieza a fallar en un proceso de la entidad —un pago que se duplica, una autorización que se salta, un cálculo que se desvía—, ¿cuántos días tarda auditoría en darse cuenta? Hoy, con frecuencia, son meses. El objetivo es que sean días. Esa cifra, medida y comunicada al consejo, es el mejor termómetro de si la transformación de la función a través de la inteligencia artificial está funcionando.

Estos programas fracasan por tres motivos recurrentes: se aplican a lo accesorio, se construyen sobre un dato que nadie ha ordenado antes y no sobreviven a la primera revisión de seguridad o de cumplimiento.

En Atlas Value Management trabajamos los tres planos: criterio de auditoría y riesgos, para decidir qué prueba importa y documentarla de modo que se sostenga ante el supervisor y ante el auditor externo; calidad, estructura y trazabilidad del dato, sin las cuales ninguna conclusión sobre la totalidad de las operaciones es defendible; y encaje desde el diseño en las políticas internas de seguridad y en el marco regulatorio aplicable, para que la solución nazca aprobada y no acabe en un piloto detenido. Nuestros equipos en Atlas Value Management, han tenido antes la responsabilidad al otro lado de la mesa —riesgos, finanzas, tecnología y auditoría interna—, y por eso saben dónde se esconde la excepción y qué está dispuesto a firmar un director de auditoría interna. Es la diferencia entre instalar una herramienta y dejar instalada una capacidad.

LA VOZ EXPERTA
Javier Fariñas Carmona
Director de Atlas Value Management