Una función de auditoría interna puede tener especialistas y un plan anual técnicamente correcto y, aun así, ser incapaz de cumplir su propósito.
Sucede cuando no tiene acceso directo al órgano de gobierno, su presupuesto depende de un área auditada, los hallazgos sensibles se filtran antes de llegar al Comité de Auditoría o la función de auditorìa interna recibe responsabilidades que después debe evaluar. El problema no está en el muestreo: está en el gobierno de la propia función de auditoría interna.
Las Global Internal Audit Standards del Institute of Internal Auditors (IIA) entraron en vigor el 9 de enero de 2025 y reorganizaron la práctica profesional en cinco dominios. El Dominio III, Governing the Internal Audit Function, concentra los requisitos para autorizar, posicionar y supervisar la función.
Su mensaje es contundente: la independencia no puede descansar únicamente en la integridad personal del auditor. Debe ser protegida mediante estructuras de gobierno, autoridad formal, acceso, recursos y mecanismos de calidad.
Este artículo es parte de la serie: Auditoría empresarial: riesgo, control y aseguramiento.
¿Cómo se gobierna correctamente una función de auditoría interna?#
Una función de auditoría interna se gobierna correctamente cuando recibe un mandato explícito del órgano de gobierno, opera bajo un estatuto aprobado, mantiene una relación funcional directa con el Consejo o Comité de Auditoría, dispone de recursos suficientes y está sujeta a supervisión y evaluaciones de calidad. La Alta Dirección facilita su operación, pero no controla su alcance, conclusiones ni comunicaciones.
El objetivo no es aislar a auditoría interna del resto de la organización. Es permitir que colabore sin perder la capacidad de evaluar, cuestionar y escalar con objetividad.
El gobierno de auditoría interna dentro de los estándares del IIA#
Las Global Internal Audit Standards se organizan en cinco dominios y quince principios. El Dominio III establece tres principios de gobierno:
- Principio 6: autorizada por el órgano de gobierno.
- Principio 7: posicionada de forma independiente.
- Principio 8: supervisada por el órgano de gobierno.
Estos principios se desarrollan mediante nueve estándares:
| Principio | Estándares principales | Decisión de gobierno que resuelven |
|---|---|---|
| 6. Autorizada por el órgano de gobierno | 6.1 Mandato, 6.2 Estatuto, 6.3 Apoyo del órgano de gobierno y la Alta Dirección | Qué autoridad, alcance y servicios tiene auditoría interna |
| 7. Posicionada de forma independiente | 7.1 Independencia organizacional, 7.2 Cualificaciones del Chief Audit Executive | A quién reporta, cómo se protege su objetividad y quién puede dirigir la función |
| 8. Supervisada por el órgano de gobierno | 8.1 Interacción, 8.2 Recursos, 8.3 Calidad, 8.4 Evaluación externa de calidad | Cómo se revisan resultados, recursos, desempeño y conformidad con los estándares |
El IIA no asigna toda la responsabilidad al Chief Audit Executive. También define condiciones esenciales para el órgano de gobierno y la Alta Dirección. No puede exigirse independencia mientras se limita el acceso, se reduce el presupuesto sin transparentar el impacto o se bloquea la comunicación de asuntos sensibles.
Mandato y estatuto: relacionados, pero no equivalentes#
El mandato de auditoría interna define su autoridad, rol y responsabilidades. Responde preguntas como:
- ¿Qué puede auditar?
- ¿A qué información, personas, activos y sistemas puede acceder?
- ¿Qué servicios de aseguramiento y asesoría puede prestar?
- ¿Puede investigar irregularidades?
- ¿Cómo se coordina con otros proveedores de aseguramiento?
- ¿Qué asuntos debe escalar directamente al órgano de gobierno?
El estatuto de auditoría interna documenta formalmente ese mandato y otros elementos necesarios para operar la función.
Conforme al Estándar 6.2, el estatuto debe especificar al menos:
- el propósito de la auditoría interna;
- el compromiso de conformidad con las Global Internal Audit Standards;
- el mandato, alcance y tipos de servicios;
- las responsabilidades del órgano de gobierno;
- las expectativas respecto al apoyo de la Alta Dirección;
- la posición organizacional y las relaciones de reporte.
Un estatuto no debe ser una plantilla firmada y olvidada. Debe reflejar el modelo real de gobierno, las obligaciones regulatorias, la complejidad de la empresa y el perfil de riesgos.
Conviene revisarlo cuando ocurran cambios relevantes: una reorganización, una adquisición, un cambio de Chief Audit Executive, nuevas obligaciones regulatorias, una transformación tecnológica o una variación significativa en los riesgos.
La independencia se diseña mediante relaciones de reporte#
La independencia organizacional requiere distinguir dos relaciones.
Reporte funcional al órgano de gobierno#
El Consejo, Comité de Auditoría u órgano equivalente debe intervenir directamente en decisiones como:
- aprobar el estatuto;
- aprobar el plan de auditoría;
- revisar y aprobar el presupuesto y el plan de recursos;
- autorizar el nombramiento o remoción del Chief Audit Executive;
- participar en su evaluación y remuneración;
- recibir resultados, temas transversales y alertas relevantes;
- conocer restricciones de alcance, acceso o recursos;
- revisar las evaluaciones de calidad.
Esta relación funcional protege la capacidad de auditoría para determinar alcance, realizar trabajos y comunicar resultados sin interferencia.
Línea de gestión cotidiana#
Para asuntos operativos —recursos humanos, instalaciones, pagos, herramientas y coordinación diaria— el Chief Audit Executive puede reportar a una posición ejecutiva. El IIA considera una práctica líder que esa línea llegue al director general o equivalente, porque proporciona autoridad y acceso suficientes.
La clave es que la gestión cotidiana no se convierta en control sobre el plan, el alcance, las conclusiones o la comunicación de auditoría.
Por ejemplo, si auditoría interna reporta funcionalmente al Comité de Auditoría pero su evaluación, presupuesto y acceso dependen por completo del director financiero, la independencia puede existir en el organigrama y fallar en la práctica.
Señales de que la independencia está comprometida#
El Estándar 7.1 exige confirmar al órgano de gobierno, al menos una vez al año, que la función mantiene su independencia y comunicar cualquier afectación real, potencial o percibida.
Algunas señales de alerta son:
- restricciones para acceder a sistemas, información, personas o proveedores;
- presión para eliminar, suavizar o retrasar un hallazgo;
- cambios al alcance aprobado sin intervención del órgano de gobierno;
- reducción de recursos que impide cumplir el plan;
- imposibilidad de reunirse en privado con el Comité de Auditoría;
- evaluación de áreas gestionadas por el propio Chief Audit Executive;
- responsabilidades permanentes de riesgos, compliance u operación dentro de auditoría;
- represalias por escalar un asunto sensible.
La independencia también puede deteriorarse por apariencia. Aunque el auditor considere que conserva objetividad, los usuarios del informe pueden desconfiar si la función evalúa una actividad que recientemente dirigió.
Qué hacer cuando auditoría asume funciones no auditables#
En organizaciones pequeñas o durante una crisis, el Chief Audit Executive puede recibir temporalmente responsabilidades relacionadas con compliance, riesgos o diseño de controles.
Los estándares no ignoran esa realidad, pero exigen salvaguardas.
Cuando existan responsabilidades adicionales deben documentarse:
- la naturaleza y duración de la función;
- el riesgo para la independencia;
- las salvaguardas aprobadas;
- quién proporcionará aseguramiento independiente sobre esa actividad;
- el plan para transferir la responsabilidad a la gestión correspondiente.
Si la responsabilidad es temporal, el IIA exige que el aseguramiento sobre esa área sea supervisado por un tercero independiente durante la asignación y por los doce meses posteriores. Dependiendo del riesgo y de la percepción de los interesados, ese periodo puede necesitar ampliarse.
La regla práctica es sencilla: quien diseña, opera o decide no debe proporcionar después el aseguramiento independiente sobre su propio trabajo.
Supervisión efectiva: más que recibir informes trimestrales#
El órgano de gobierno no gobierna auditoría interna únicamente recibiendo una presentación de avances.
El Estándar 8.1 plantea una comunicación de doble vía. El Chief Audit Executive debe informar sobre:
- plan y presupuesto, así como cambios relevantes;
- modificaciones al mandato o estatuto;
- posibles afectaciones a la independencia;
- resultados, conclusiones, temas recurrentes e insights;
- avance de acciones relevantes;
- resultados del programa de calidad.
A su vez, el órgano de gobierno debe comunicar su perspectiva sobre estrategia, objetivos y riesgos, y definir criterios de escalamiento.
Es recomendable acordar una matriz de comunicación que indique:
| Tema | Frecuencia | Destinatario | Criterio de escalamiento |
|---|---|---|---|
| Avance del plan | Trimestral | Comité de Auditoría | Desviación significativa de cobertura |
| Hallazgos críticos | Inmediata | Presidencia del Comité y Dirección General | Riesgo por encima de tolerancia |
| Independencia o restricciones | Inmediata | Comité de Auditoría | Interferencia, bloqueo de acceso o presión |
| Recursos y capacidades | Trimestral o ante cambios | Comité y Alta Dirección | Imposibilidad de cumplir el mandato |
| Calidad y desempeño | Al menos anual | Comité y Alta Dirección | No conformidad o acciones vencidas |
Las sesiones privadas entre el órgano de gobierno y el Chief Audit Executive son otra salvaguarda relevante. El IIA sugiere que existan al menos anualmente y considera trimestral una práctica líder.
Recursos suficientes: cantidad, capacidades y tecnología#
Un plan aprobado sin recursos suficientes es una promesa que la organización sabe que no podrá cumplir.
El Estándar 8.2 exige evaluar si la función cuenta con recursos adecuados para ejecutar su mandato y su plan. Esto incluye:
- número de auditores;
- conocimientos sectoriales y regulatorios;
- experiencia en tecnología, datos, ciberseguridad e inteligencia artificial;
- herramientas de análisis y gestión de auditoría;
- presupuesto para especialistas externos;
- formación profesional;
- capacidad para atender riesgos emergentes.
No basta con informar que faltan personas. El Chief Audit Executive debe explicar qué cobertura se perderá, qué riesgos quedarán sin aseguramiento y qué alternativas existen: contratación, co-sourcing, auditores invitados, automatización o ajuste transparente del plan.
Para una empresa financiera digital, una función compuesta exclusivamente por perfiles contables difícilmente podrá evaluar arquitectura de nube, APIs, modelos de decisión, resiliencia o protección de datos con suficiente profundidad.
Calidad: auditoría también debe ser evaluada#
La credibilidad no proviene del nombre del área. Debe demostrarse.
El Estándar 8.3 requiere un Quality Assurance and Improvement Program (QAIP) que cubra todos los aspectos de la función e incluya evaluaciones internas y externas.
El programa debe revisar dos dimensiones:
- Conformidad: si la función cumple las Global Internal Audit Standards y las obligaciones aplicables.
- Desempeño: si cumple su mandato, aporta valor y mejora de forma continua.
Los resultados de las evaluaciones internas deben comunicarse al menos anualmente al órgano de gobierno y a la Alta Dirección.
El Estándar 8.4 exige una evaluación externa al menos una vez cada cinco años, realizada por un evaluador o equipo cualificado e independiente. También puede utilizarse una autoevaluación con validación independiente. Al menos una persona del equipo evaluador debe tener una certificación Certified Internal Auditor activa.
La evaluación externa no debería tratarse como un examen para obtener una insignia. Es una oportunidad para comprobar si el mandato, la estrategia, las metodologías, las competencias y la relación con los interesados sostienen una función confiable.
Caso aplicado: auditoría interna dentro de una institución financiera#
Imaginemos una institución financiera donde auditoría depende formalmente del Comité de Auditoría, pero Finanzas controla su presupuesto, autoriza la contratación de especialistas y revisa los informes antes de presentarlos al Comité. Además, el Chief Audit Executive coordina temporalmente continuidad y después incluye esa materia en el plan de auditoría.
La estructura parece funcional, pero contiene varias debilidades:
- el presupuesto puede limitar la cobertura sin intervención del Comité;
- un área evaluada tiene capacidad para condicionar recursos y comunicaciones;
- existe una responsabilidad no auditable sin salvaguardas;
- el órgano de gobierno recibe conclusiones después de filtros previos;
- no existe una evaluación formal de calidad.
Una corrección alineada con el IIA incluiría actualizar el estatuto, formalizar el reporte funcional al Comité, ubicar la gestión cotidiana bajo la Dirección General, aprobar recursos desde el órgano de gobierno, transferir continuidad a su función responsable, contratar aseguramiento independiente para el periodo afectado e implementar un QAIP.
El cambio relevante no es documental. La organización redistribuye autoridad, protege la comunicación y hace visibles las limitaciones de cobertura.
Antipatrones de gobierno que deben evitarse#
- Estatuto genérico: reproduce una plantilla, pero no define autoridad, acceso, servicios ni salvaguardas reales.
- Independencia solo en el organigrama: el Comité aparece arriba, pero no aprueba presupuesto, plan, nombramiento ni evaluación.
- Plan anual inamovible: se valora cumplir el calendario aunque cambien los riesgos.
- Presupuesto opaco: las limitaciones se absorben silenciosamente y nunca se explica qué cobertura se pierde.
- Auditoría como aprobador previo: se le pide validar decisiones operativas que posteriormente deberá evaluar.
- Hallazgos negociados: la precisión factual se confunde con permitir que el área auditada controle el mensaje.
- Calidad sin evaluación independiente: la función se declara conforme con base únicamente en su propia percepción.
- Comité pasivo: recibe informes, pero no cuestiona restricciones, recursos, independencia o riesgos no cubiertos.
Cómo implementar el gobierno de auditoría interna#
Una ruta práctica puede organizarse en seis pasos:
- Diagnosticar la posición actual: mandato, reporte, acceso, presupuesto, roles adicionales y relación con el órgano de gobierno.
- Actualizar el estatuto: documentar propósito, autoridad, alcance, servicios, independencia, comunicaciones y calidad.
- Formalizar responsabilidades: definir qué aprueba el órgano de gobierno, qué facilita la Alta Dirección y qué ejecuta el Chief Audit Executive.
- Acordar el modelo de comunicación: frecuencia, contenidos, sesiones privadas y criterios de escalamiento.
- Alinear recursos con riesgos: justificar capacidades, especialistas, tecnología y cobertura no atendida.
- Implementar el QAIP: monitoreo continuo, autoevaluaciones periódicas, métricas y evaluación externa.
A julio de 2026, el International Professional Practices Framework también incluye Topical Requirements obligatorios cuando sean aplicables a trabajos de aseguramiento. El requisito temático de ciberseguridad está vigente desde febrero de 2026, lo que refuerza la necesidad de gobernar competencias, metodologías y documentación especializada.
Reflexión de Arquitectura#
Desde arquitectura, el gobierno de auditoría interna puede entenderse como un plano de control organizacional.
El mandato define el alcance. El estatuto establece las interfaces. Las relaciones de reporte determinan autoridad. Los recursos fijan capacidad. El QAIP observa el desempeño del propio sistema.
Si cualquiera de esas relaciones está mal diseñada, la función puede generar informes sin producir aseguramiento confiable.
La independencia no es una propiedad declarativa. Es una característica emergente de la estructura, los flujos de información y las decisiones de gobierno.
Reflexión CTO#
Para un CTO, una auditoría interna bien gobernada no debería percibirse como una amenaza. Puede ser una aliada para hacer visibles riesgos que tecnología no puede resolver por sí sola: dependencia de proveedores, deuda estructural, falta de resiliencia, recursos insuficientes o decisiones de negocio que exceden la tolerancia aprobada.
Pero esa contribución requiere competencia e independencia. Una función sin conocimiento tecnológico puede emitir observaciones superficiales; una función sin autoridad puede evitar los asuntos sensibles; y una función sin recursos puede concentrarse en controles fáciles de revisar mientras deja fuera los riesgos más relevantes.
El valor de auditoría no está en demostrar que encontró errores, sino en proporcionar al órgano de gobierno una visión confiable para decidir.
Conclusión#
Gobernar auditoría interna significa mucho más que asignarle una posición en el organigrama.
Requiere un mandato autorizado, un estatuto vivo, acceso irrestricto, reporte funcional al órgano de gobierno, recursos proporcionales al riesgo, un Chief Audit Executive competente, comunicación sin interferencias y un programa verificable de calidad.
Las Global Internal Audit Standards distribuyen esa responsabilidad entre el órgano de gobierno, la Alta Dirección y el Chief Audit Executive. Ninguno puede crear por sí solo una función efectiva.
Una organización obtiene el aseguramiento que está dispuesta a gobernar. Si limita la independencia, oculta brechas de recursos o convierte auditoría en una aprobación operativa, debilita la confianza que espera recibir.
La siguiente publicación de la serie analizará cómo aplicar COSO en una empresa digital, desde los controles financieros hasta los procesos y la tecnología.
Glosario breve#
- IIA — Institute of Internal Auditors: organismo profesional global que emite las normas para la práctica de auditoría interna.
- IPPF — International Professional Practices Framework: marco profesional del IIA integrado por las Global Internal Audit Standards, los Topical Requirements y la orientación global.
- Chief Audit Executive (CAE): máxima persona responsable de dirigir la función de auditoría interna; el título específico puede variar entre organizaciones.
- Órgano de gobierno: Consejo, Comité de Auditoría u otra instancia con autoridad de supervisión sobre auditoría interna.
- Mandato de auditoría interna: autoridad, rol y responsabilidades concedidos a la función.
- Estatuto de auditoría interna: documento formal que define mandato, alcance, servicios, posición organizacional y relaciones de reporte.
- Independencia organizacional: libertad frente a condiciones que pueden interferir con el cumplimiento imparcial de las responsabilidades de auditoría.
- QAIP — Quality Assurance and Improvement Program: programa para evaluar conformidad, desempeño y mejora continua de la función.
- EQA — External Quality Assessment: evaluación externa de calidad exigida al menos cada cinco años.
- Topical Requirements: requisitos obligatorios del IPPF aplicables a trabajos de aseguramiento sobre determinados temas de riesgo.
- Co-sourcing: modelo que combina el equipo interno con especialistas externos para ampliar capacidad o competencias.
Referencias#
The Institute of Internal Auditors, Global Internal Audit Standards, 2024 Edition. Marco global vigente desde el 9 de enero de 2025.
https://www.theiia.org/en/standards/2024-standards/global-internal-audit-standards/The Institute of Internal Auditors, Global Internal Audit Standards — Complete Printable Edition. Documento oficial completo; consultar especialmente el Dominio III.
https://www.theiia.org/globalassets/site/standards/globalinternalauditstandards_2024january9_printable.pdfThe Institute of Internal Auditors, Model Internal Audit Charter Tool and User’s Guide. Recurso para adaptar el estatuto a las características y obligaciones de cada organización.
https://www.theiia.org/en/content/guidance/recommended/supplemental/practice-guides/model-internal-audit-activity-charter/The Institute of Internal Auditors, Quality Assurance and Improvement Program (QAIP). Requisitos y orientación sobre evaluaciones internas, desempeño y mejora.
https://www.theiia.org/en/group-services/quality-assurance/quality-services/qaip/The Institute of Internal Auditors, Topical Requirements for Internal Auditing. Componente obligatorio del IPPF cuando resulte aplicable a trabajos de aseguramiento.
https://www.theiia.org/en/standards/2024-standards/topical-requirements/The Institute of Internal Auditors, The IIA’s Three Lines Model. Modelo global para distribuir responsabilidades de gobierno, gestión y aseguramiento.
https://www.theiia.org/globalassets/site/about-us/advocacy/three-lines-model-updated.pdf