Auditoría interna de una sola persona: cómo cumplir las Normas cuando el equipo eres tú
El tamaño no reduce ninguna exigencia. Cambia el cómo se cumple, no el qué.
Blog de Auditool | Auditoría interna | Lectura: 7 minutos
No eres el jefe de auditoría interna: eres la función completa. Planeas, ejecutas, redactas, presentas al comité y después haces el seguimiento. Abres las Normas Globales y aparece la palabra «supervisión». Más adelante, «evaluación externa de calidad». Más adelante, «especialistas». Cierras el documento con la sensación de siempre: esto está escrito para funciones que tienen equipo.
También está escrito para ti. Lo que nadie te ha explicado es cómo se cumple cuando el equipo eres tú.
Lo que te llevas de esta lectura
| 1 | Qué exigencias no cambian ni un milímetro por el tamaño de tu función. |
| 2 | Cuáles admiten formas alternativas de cumplimiento, y cuáles son válidas. |
| 3 | Cómo resolver la revisión de tu trabajo cuando no hay quién te revise. |
| 4 | Una hoja de ruta de 90 días para ponerte al día sin dejar de auditar. |
1Empecemos por lo incómodo: no hay exención por tamaño
Las Normas Globales de Auditoría Interna no traen una versión reducida para funciones pequeñas. El mandato aprobado por el consejo, la independencia, la objetividad, el plan basado en riesgos, la documentación que soporte las conclusiones, el cuidado profesional y el programa de calidad se exigen igual tengas veinte auditores o ninguno además de ti.
La buena noticia está en cómo están escritas: casi todas exigen un resultado, no un medio concreto. No dicen «que revise un gerente»: dicen que el trabajo esté supervisado y las conclusiones soportadas. No dicen «contrate a un especialista de planta»: dicen que la función tenga las competencias que su plan requiere. Ese matiz es todo el espacio de maniobra que necesitas, y es legítimo.
Lo que no es legítimo —y es el error más común de las funciones pequeñas— es aparentar un tamaño que no se tiene: un plan anual con dieciocho trabajos que jamás se ejecutarán completos, una cobertura del universo auditable que solo existe en la presentación, una declaración de conformidad que ningún programa de calidad respalda. Una función pequeña no incumple por ser pequeña. Incumple cuando finge.
2Dónde sí tienes margen: las formas alternativas de cumplimiento
Esta tabla es el corazón del artículo. La columna del medio es innegociable; la de la derecha es donde vive tu solución.
| Exigencia | Lo que no cambia por tamaño | Forma alternativa viable |
|---|---|---|
| Estatuto y mandato | Debe existir y estar aprobado por el consejo. | Dos páginas bien redactadas valen lo mismo que veinte: lo que importa es que fijen autoridad, acceso y línea de reporte. |
| Independencia | Reporte funcional al consejo o al comité. | Sin comité, se acuerda con el máximo órgano de gobierno disponible y se documenta; si no se habilita, se reporta como condición faltante. |
| Objetividad | No auditar lo que uno diseñó u operó. | Cuando es inevitable, se declara al comité y ese trabajo lo revisa un tercero independiente. Nunca se resuelve callándolo. |
| Competencia | La función debe tener las competencias que exige su plan. | Especialista contratado para trabajos puntuales; o se excluye del plan lo que no puede auditarse con competencia, diciéndolo por escrito. |
| Supervisión | El trabajo debe estar supervisado y la conclusión, soportada. | Autorrevisión estructurada, par revisor de otra organización, o revisión contratada para los trabajos de mayor severidad (sección 3). |
| Programa de calidad | Evaluaciones internas continuas y una externa al menos cada cinco años. | La evaluación externa admite la modalidad de autoevaluación con validación independiente: más económica y plenamente válida. |
| Plan basado en riesgos | Debe responder a los riesgos, no a la capacidad. | Pocos riesgos auditados a fondo, con la lista explícita de lo que queda sin cubrir, aprobada por el comité. |
| Declaración de conformidad | Solo se declara si el programa de calidad la respalda. | Declarar los incumplimientos existentes da más credibilidad que afirmar una conformidad sin sustento. |
3El problema más difícil: quién revisa tu trabajo
Todo lo demás se resuelve con documentos. Esto no, porque la supervisión existe para que alguien distinto de quien hizo el trabajo mire la conclusión. Tienes tres caminos, y lo razonable es combinarlos según la severidad del trabajo.
Autorrevisión estructurada — para el trabajo rutinario
No es releer: es cambiar de rol deliberadamente. Deja pasar 48 horas, revisa en orden inverso —empieza por la conclusión y retrocede hasta la evidencia que debería sostenerla— y usa siempre la misma lista de verificación. Deja constancia de la revisión con su fecha: si no queda registrada, para efectos de un evaluador no ocurrió.
Par revisor de otra organización — para dos trabajos al año
Un acuerdo con otro responsable de auditoría interna de una organización no competidora: se revisan mutuamente dos trabajos al año, con confidencialidad pactada por escrito y papeles anonimizados. No cuesta dinero, cuesta agenda. Y resuelve, de paso, la soledad técnica de trabajar sin nadie con quien contrastar un criterio difícil.
Revisión contratada — para lo que no admite error
Investigaciones de fraude, trabajos que terminarán en una decisión disciplinaria o legal, y aquellos donde tu objetividad esté comprometida por haber participado antes en el proceso. Aquí el costo se justifica solo, y plantearlo al comité es parte de tu trabajo.
La lista de autorrevisión, en seis preguntas fijas que te haces con el papel de trabajo delante:
«¿La evidencia que archivé sostiene esta conclusión, o solo la acompaña?»
«¿Qué prueba haría un auditor que no estuviera de acuerdo conmigo?»
«¿El riesgo que motivó este trabajo quedó realmente cubierto, o cubrí lo que era fácil de probar?»
«¿Alguna afirmación descansa únicamente en lo que me dijo el auditado?»
«¿La causa que escribí explica el problema o solo lo describe?»
«Si esto lo lee dentro de dos años alguien que no me conoce, ¿entiende qué hice y por qué?»
4Tu hoja de ruta de 90 días
Sin dejar de auditar, y en el orden que hace que cada paso apoye al siguiente.
| Periodo | Qué haces |
|---|---|
| Días 1–30 | Actualiza el estatuto y llévalo a aprobación. En la misma sesión, presenta la declaración de cobertura: qué riesgos vas a auditar este año y cuáles quedan fuera. Que la decisión sobre lo que queda sin cubrir sea del comité, no tuya. |
| Días 31–60 | Cierra el acuerdo de par revisor y escribe tu lista de autorrevisión. Aplícala al primer trabajo que termines y deja registro fechado. |
| Días 61–90 | Haz tu autoevaluación de brechas contra las Normas, define plan y fechas para las que puedas cerrar, y lleva al comité las que dependen de él: recursos, acceso y línea de reporte. |
| La función pequeña que aparenta tamaño | La función pequeña que decide bien |
|---|---|
| Plan de dieciocho trabajos; se ejecutan siete. | Plan de seis trabajos; se ejecutan seis, a fondo. |
| Lo no cubierto no aparece en ningún documento. | Lo no cubierto está en acta, aprobado por el comité. |
| Nadie revisa el trabajo y nadie lo menciona. | Autorrevisión registrada y par revisor dos veces al año. |
| Declara conformidad plena sin programa de calidad. | Declara conformidad con las excepciones que tiene. |
«Todo esto suena bien, pero yo no tengo tiempo, ni presupuesto, ni un comité que me escuche.»
Es cierto en parte, y conviene decirlo sin adornos: la validación independiente cuesta dinero y el especialista contratado también. Pero fíjate en qué es lo que de verdad te protege en esta lista — priorizar de forma explícita, dejar por escrito lo que no vas a cubrir, revisar tu propio trabajo con método y declarar tus excepciones. Nada de eso cuesta un peso. Y lo que sí cuesta se plantea como decisión del consejo: si no lo aprueban, queda documentado que lo planteaste, y esa es exactamente la diferencia entre una limitación de la organización y un incumplimiento tuyo.
Una función pequeña no incumple por ser pequeña. Incumple cuando aparenta un tamaño que no tiene.
El tamaño de una función determina cuánto puede cubrir. No determina con cuánto rigor cubre lo que decidió auditar.
La distancia entre una función pequeña y una función débil no se mide en personas: se mide en si dice la verdad sobre lo que alcanza.
Si tu función es de una o dos personas: ¿cuál de estas exigencias es la que más te cuesta cumplir hoy — y qué has probado para resolverla?
Cuéntalo en los comentarios. Alguien que trabaja igual de solo lo va a leer y a agradecer.
AUDITOOL
Serie «Ponerlo en práctica»: cada entrega, una herramienta que puedes usar esta semana.
Y luego Agregar a la pantalla de inicio.
Escribir un comentario