Auditoría Interna

Por: Equipo Auditool

Las NOGAI te dan acceso a todo: personas, información, activos. Pero el acceso sin estrategia es solo intrusión. Aprende a ejercerlo con inteligencia.

───────────────────────────────

Tienes un superpoder. En serio. Como auditor interno, posees algo que muy pocos en la organización tienen: acceso irrestricto a prácticamente todo. Personas, información, sistemas, activos, registros, instalaciones. Las Normas Globales de Auditoría Interna (NOGAI) te otorgan una autoridad que, bien ejercida, te convierte en uno de los profesionales más influyentes de la empresa.

Pero aquí está el problema: tener acceso y saber usarlo son cosas radicalmente diferentes. Muchos auditores subutilizan este poder por timidez, desconocimiento o miedo a incomodar. Otros lo sobreutilizan, generando resistencia, conflictos y puertas que se cierran antes de abrirse. Y un tercer grupo —quizás el más numeroso— ni siquiera es consciente del alcance real de su autoridad.

Abril marca el inicio de la ejecución para muchos equipos de auditoría. Antes de tocar la primera puerta del año, vale la pena preguntarse: ¿realmente sabes usar el superpoder que tienes?

Lo que las NOGAI realmente te otorgan

El Dominio III de las NOGAI, que aborda el gobierno de la función, es explícito sobre el acceso. No se trata de una sugerencia ni de una aspiración: es un requisito que debe estar formalizado en el estatuto de auditoría y respaldado por el Consejo y la alta dirección.

El alcance es amplio y deliberadamente comprehensivo. Incluye acceso a todas las personas relevantes para el trabajo de auditoría, sin importar su nivel jerárquico. Esto significa desde el operador en planta hasta el CEO, desde el proveedor externo hasta el miembro del Consejo. Nadie, en principio, está fuera de tu alcance.

También comprende acceso a toda la información necesaria, en cualquier formato: documentos físicos, sistemas electrónicos, bases de datos, correos electrónicos, contratos, actas, reportes internos. Si es relevante para tu auditoría, tienes derecho a verlo.

Y se extiende a los activos físicos y las instalaciones: inventarios, equipos, sucursales, almacenes, centros de datos. Donde haya algo que auditar, puedes —y debes— poder llegar.

"El acceso no es un favor que te conceden; es una autoridad que ya te fue otorgada. La pregunta es si la ejerces."

Los tres errores más comunes

A pesar de tener esta autoridad formal, muchos auditores internos cometen errores que limitan su efectividad o dañan relaciones cruciales.

El primer error es la timidez disfrazada de cortesía. Hay auditores que piden permiso cuando deberían informar, que aceptan un «no» cuando deberían escalar, que se conforman con información parcial cuando tienen derecho a la completa. Confunden ser profesionales con ser pasivos. El resultado: auditorías superficiales que no llegan a donde duele, hallazgos obvios que no sorprenden a nadie, valor agregado mínimo.

El segundo error es la arrogancia disfrazada de autoridad. En el extremo opuesto están los auditores que ejercen el acceso como una demostración de poder. Llegan exigiendo, interrumpiendo, tratando a los auditados como sospechosos. Olvidan que el acceso es un medio, no un fin. El resultado: resistencia sistemática, información que se oculta, puertas que se cierran, una reputación de auditoría como enemiga del negocio.

El tercer error es la inconsciencia del alcance. Muchos auditores simplemente no conocen la extensión real de su autoridad. Nunca han leído con atención el estatuto de auditoría, no saben qué dice sobre el acceso, no han probado los límites. Operan con una fracción de su poder porque nadie les dijo que tenían más.

El arte del acceso inteligente

Ejercer el acceso con maestría requiere equilibrar firmeza con inteligencia relacional. No se trata de elegir entre ser efectivo o ser querido; se trata de lograr ambas cosas.

La primera clave es conocer tu autoridad antes de necesitarla. Lee tu estatuto de auditoría. Memoriza las cláusulas de acceso. Ten claro qué respaldo tienes del Comité de Auditoría y de la alta dirección. Cuando llegue el momento de ejercer tu autoridad, la seguridad con la que actúes dependerá de cuán sólido sea tu conocimiento de base.

La segunda clave es informar, no pedir permiso. Hay una diferencia sutil pero crucial entre «¿Podría darme acceso al sistema de compras?» y «Conforme al plan de auditoría aprobado, necesitaré acceso al sistema de compras a partir del lunes. ¿Quién es el contacto para coordinar?». La primera frase implica que pueden decir que no. La segunda asume que el acceso es un hecho y solo se está coordinando la logística.

La tercera clave es construir puentes antes de necesitarlos. Los mejores auditores no aparecen solo cuando van a auditar. Mantienen relaciones continuas con las áreas, entienden sus presiones, conocen a las personas clave. Cuando llega el momento de solicitar información sensible, ya existe una relación de confianza que facilita todo.

"El acceso más valioso no se ejerce con el estatuto en la mano, sino con relaciones construidas con el tiempo."

La cuarta clave es escalar sin dudar cuando sea necesario. Si alguien niega acceso que legítimamente necesitas, no lo tomes personal ni lo dejes pasar. Documenta la negativa, comunica las implicaciones para la auditoría, y escala al nivel apropiado: el Director de Auditoría Interna, el Comité de Auditoría, o quien corresponda según la gravedad. Las NOGAI exigen que reportes cualquier limitación al alcance.

La quinta clave es ser quirúrgico, no invasivo. Tener derecho a acceder a todo no significa que debas acceder a todo. Pide lo que necesitas, cuando lo necesitas, para el propósito específico de tu auditoría. El acceso excesivo o innecesario genera desconfianza legítima y puede cerrar puertas para el futuro.

Cuando el acceso encuentra resistencia

Inevitablemente, enfrentarás situaciones donde el acceso será difícil. Información que «está en proceso», personas que «no tienen tiempo», sistemas con «restricciones técnicas». Algunas resistencias son legítimas; muchas no lo son.

Ante la resistencia, tu primera herramienta es la claridad. Explica por qué necesitas lo que pides, cómo se relaciona con los objetivos de la auditoría, qué riesgos estás evaluando. A menudo, la resistencia nace de la incomprensión, no de la mala voluntad.

Tu segunda herramienta es la documentación. Si la explicación no funciona, documenta formalmente la solicitud y la negativa. Un correo electrónico que diga «Conforme a nuestra conversación, confirmo que no ha sido posible obtener acceso a X, lo cual será reportado como limitación al alcance» suele abrir puertas que la conversación verbal no abrió.

Tu tercera herramienta es la escalación. Las NOGAI son claras: cualquier limitación al acceso debe ser comunicada al Comité de Auditoría. Esta no es una amenaza vacía; es un mecanismo de gobierno diseñado precisamente para estas situaciones. Úsalo cuando sea necesario.

Y tu cuarta herramienta, quizás la más importante, es el profesionalismo sostenido. No personalices los conflictos. No guardes rencores. El gerente que hoy te niega información puede ser tu mejor aliado en la próxima auditoría si manejas la situación con madurez.

El superpoder viene con responsabilidad

Abril marca el inicio de un nuevo ciclo de ejecución. Cada auditoría que emprendas este año pondrá a prueba tu capacidad de ejercer el acceso con inteligencia. Habrá puertas fáciles y puertas difíciles. Habrá información que fluya y otra que debas perseguir. Habrá personas colaborativas y otras resistentes.

En cada una de esas situaciones, recuerda que tienes un superpoder. Las NOGAI te lo otorgaron, el Comité de Auditoría lo respaldó, el estatuto lo formaliza. No es arrogancia ejercerlo; es tu responsabilidad profesional. Pero tampoco es profesionalismo abusar de él.

El acceso ilimitado es una herramienta, no un arma. Usado con inteligencia, te permite llegar a la verdad, identificar riesgos reales, generar valor genuino. Usado con torpeza, te convierte en un obstáculo que la organización aprenderá a esquivar.

La próxima vez que inicies una auditoría, antes de solicitar el primer documento o agendar la primera entrevista, pregúntate: ¿estoy ejerciendo mi acceso con la firmeza necesaria y la inteligencia suficiente? Si la respuesta es sí, estás listo para agregar valor. Si no lo es, tienes una oportunidad de crecimiento frente a ti.

───────────────────────────────