Auditoría Interna

Por: Equipo Auditool

Cuando las percepciones sustituyen a la evidencia

En muchas matrices de riesgo y planeaciones de auditoría aparece un problema silencioso: riesgos que parecen críticos… pero solo en la cabeza del auditor. Es un error más frecuente de lo que aceptamos, incluso entre profesionales con años de experiencia. ¿La causa? Nuestro cerebro es hábil para conectar puntos que no existen cuando falta entendimiento del proceso o evidencia objetiva.

Riesgo inherente ≠ riesgo imaginario

De acuerdo con los marcos más usados en gestión de riesgos, el riesgo inherente es el riesgo propio de una actividad o proceso antes de aplicar controles, respaldado por hechos, datos, historial o características naturales del negocio. Es real, observable y medible.

El riesgo imaginario, en cambio, surge de percepciones, temores, experiencias aisladas o comparaciones con organizaciones donde el contexto es completamente distinto. No está sustentado. No suele ser reconocido por el dueño del proceso. Simplemente… suena riesgoso.

Contraste rápido:

• ✔ Riesgo inherente: sustentado por evidencia, datos, incidentes, indicadores o condiciones del proceso.

• ✘ Riesgo imaginario: basado en hipótesis, intuiciones, recuerdos de otras auditorías o miedos profesionales.

Por qué es tan fácil caer en esta trampa

Incluso auditores experimentados pueden confundirlos. Algunas razones:

1. Sesgos cognitivos

• Disponibilidad: sobrevaloramos riesgos recientes o llamativos (“en la otra filial hubo fraude, seguro aquí también”).

• Confirmación: buscamos evidencia que valide lo que ya creemos.

• Ancla: tomamos matrices de años anteriores como referencia absoluta.

2. La presión por “justificar” la planificación

Cuando necesitamos respaldar un plan de auditoría robusto, es tentador inflar algunos riesgos con escenarios hipotéticos.

3. Vacíos de conocimiento del proceso

Cuando no comprendemos el flujo completo, nuestra mente rellena los huecos con suposiciones.

El impacto real: auditorías que parecen sólidas, pero no lo son

Confundir riesgo inherente con riesgo imaginario provoca:

• Subcobertura de riesgos realmente críticos.

• Matrices infladas con riesgos “altos” que no lo son.

• Asignación ineficiente de recursos del equipo.

• Pérdida de objetividad en la evaluación del riesgo residual.

• Menor credibilidad frente a la gerencia y el comité de auditoría.

En palabras simples: se trabaja más, pero se aporta menos valor.

Frase para recordar:
El riesgo inherente no se imagina; se demuestra.

Señales claras de que estás frente a un riesgo imaginario

Antes de incluir un riesgo en tu matriz, pregúntate si ocurre algo de esto:

• No puedes explicarlo sin usar frases como “¿y si…?”.

• No tienes evidencia histórica, datos o incidentes que lo respalden.

• Nadie del proceso lo reconoce como plausible.

• El impacto descrito es desproporcionado frente al proceso real.

• Proviene de una experiencia aislada en otra empresa o en otro año.

• Lo incluyes “por si acaso” o para “cubrirte”.

Mini reto:
Revisa tu matriz actual y marca con un asterisco cualquier riesgo sin evidencia concreta. Esa es tu lista de sospechosos.

Cómo evitar la trampa: método práctico en 5 pasos

Un auditor maduro no elimina su intuición: la pone a prueba. Aquí un método simple y poderoso:

1. Entiende el proceso antes de identificar riesgos

Mapea el flujo, clarifica roles, entradas, salidas y puntos críticos.

2. Identifica eventos de riesgo junto al dueño del proceso

No trabajes solo: valida percepciones y contexto operativo real.

3. Busca evidencia objetiva

Incidentes, reclamos, indicadores, análisis de datos, históricos, reportes.
Si no hay evidencia → sospecha.

4. Evalúa probabilidad e impacto con criterios claros y consistentes

Usa escalas estandarizadas, herramientas de evaluación de riesgos y definiciones sólidas (COSO, ISO, NOGAI).

5. Pregunta lo esencial:

“¿Qué evidencia tengo de que este riesgo existe hoy?”
Si la respuesta es débil, es señal de riesgo imaginario.

Frase inspiradora:
La auditoría moderna no colecciona miedos; gestiona riesgos reales.

Ejemplo rápido para visualizar la diferencia

• Riesgo imaginario: “Pérdida total de información si falla la impresora de la recepción”.

• Riesgo inherente real: Pérdida de datos por mala gestión de respaldos en sistemas críticos.

El primero asusta pero no tiene impacto real; el segundo sí.

Cierre: el valor del auditor que piensa con evidencia

El auditor que distingue entre riesgo inherente y riesgo imaginario protege la objetividad, fortalece el criterio profesional y ayuda a la organización a concentrarse en lo que importa.
Este es, en esencia, el auditor que agrega valor.

Reto final:
En tu próxima evaluación de riesgos, identifica un riesgo que hayas incluido solo por percepción. Reanalízalo con evidencia. Compártelo con tu equipo. Convierte el aprendizaje en práctica.