Por: CP Iván Rodríguez. Colaborador de Auditool
En un entorno empresarial definido por la complejidad, la transformación digital y la volatilidad geopolítica, el rol de la auditoría interna ha experimentado una evolución fundamental. Más que ser concebida como un área que verifica controles, ahora se ve como un socio estratégico que agrega valor a la gestión de riesgos. Esta transformación es posible apreciarla en la reciente Declaración de Posición del Instituto de Auditores Internos (Institute of Internal Auditors - IIA) sobre el papel de la auditoría interna en la gestión integral de riesgos empresariales (ERM)[1], un documento que redefine los límites y las posibilidades de la profesión para el año 2026 y más allá. El mensaje central es impactante: la auditoría interna puede y debe ser un actor activo en el ERM, pero su participación debe estar gobernada por un principio inquebrantable: la independencia.
La auditoría interna puede y debe ser un actor activo en el ERM, pero su participación debe estar gobernada por un principio inquebrantable: la independencia.
De acuerdo con el IIA, hay una premisa fundamental: las organizaciones solo alcanzan sus objetivos de manera sostenible cuando existe un sistema de gobierno, gestión de riesgos y control adecuado. En este contexto, el ERM ha evolucionado de ser un registro de riesgos a un proceso continuo, dinámico e integrado a la estrategia y la toma de decisiones. ERM comprende cinco grandes actividades:
🔍 Identificación de riesgos
📊 Evaluación
⚙️ Gestión
👁️ Monitoreo
📋 Reporte
Este enfoque moderno, alineado con marcos tales como COSO ERM 2017, considera los riesgos no solamente como amenazas, sino también como oportunidades para la creación de valor. Es así como el documento del IIA establece una separación clara de responsabilidades:
🏛️ Junta Directiva / Consejo
Define el apetito de riesgo y supervisa la administración.
👥 Alta Dirección
Responsable de administrar los riesgos e implementar el ERM.
🔍 Auditoría Interna
Como tercera línea, proporciona aseguramiento independiente sobre la eficacia de todo el proceso.
La Declaración de Posición del IIA clasifica la participación de la auditoría interna en tres grandes áreas, delineando su mandato con gran precisión:
Servicios de aseguramiento — la función principal
Es la esencia de la profesión. Consiste en evaluar objetivamente si el proceso ERM funciona, si los riesgos relevantes son identificados y las respuestas son adecuadas, y si la información presentada al Consejo es confiable. La auditoría interna evalúa el proceso, no lo administra.
🎯 Servicios de asesoría — la contribución de valor
Aquí radica la evolución más significativa. El IIA reconoce que las organizaciones esperan que auditoría interna genere valor adicional. Puede facilitar talleres de riesgos, revisar metodologías, cuestionar supuestos y sugerir mejoras.
Línea roja inquebrantable: en ninguna circunstancia debe asumir responsabilidades administrativas. Puede recomendar, pero no puede decidir por la administración.
📋 Actividades administrativas — las necesarias para su función
Son aquellas relacionadas con el propio funcionamiento de auditoría, tales como mantener el universo auditable, monitorear riesgos emergentes y actualizar el plan anual de auditoría. Son el soporte interno para ejecutar una auditoría basada en riesgos.
🔗 Aseguramiento integrado (integrated assurance)
Esta nueva perspectiva se refleja en el concepto de Aseguramiento Integrado, según el cual la auditoría interna actúa como facilitador para coordinar a todos los proveedores de aseguramiento (segunda línea, cumplimiento, auditoría externa), con el objetivo de eliminar duplicidades, identificar vacíos y ofrecer a la Junta Directiva o Consejo una visión única y holística (integral) del estado del control y el riesgo.
El documento del IIA también enfatiza que la independencia y objetividad son valiosos activos de la auditoría interna y por tanto deben protegerse mediante salvaguardas formales, especialmente cuando las responsabilidades se amplían.
Salvaguardas para proteger la independencia
Regla de los 12 meses: si la auditoría interna diseñó u operó un proceso, no debe auditarlo hasta transcurrido ese período. Otras salvaguardas incluyen:
• Responsabilidades claramente documentadas.
• Aprobación formal del Consejo.
• Separación entre asesoría y aseguramiento.
• Transparencia sobre posibles conflictos.
• Revisión externa independiente cuando sea necesario.
El equilibrio entre aseguramiento y asesoría no es fijo; depende de la madurez del ERM, la complejidad organizacional y la existencia de un área de riesgos (segunda línea). En organizaciones con ERM maduro, predominará el aseguramiento; en aquellas que están desarrollando su ERM, el componente consultivo o de asesoría será mayor. Esta flexibilidad es clave, ya que, según el IIA, una colaboración intencionada y bien estructurada entre la segunda y tercera líneas produce beneficios medibles, como una mejor cobertura de riesgos y una reducción de la duplicación de esfuerzos. El Modelo de las Tres Líneas y su reciente actualización sirve como un marco fundamental para entender esta interacción, enfatizando que la independencia no implica aislamiento y que la colaboración es esencial para una gobernanza eficaz.
Lo anterior es posible, teniendo en cuenta que el documento del IIA considera que la auditoría interna posee capacidades únicas para participar en ERM, entre las que se destacan:
La auditoría interna puede ser un socio invaluable en la creación y protección del valor organizacional, siempre que preserve su independencia como su activo más preciado.
En síntesis, la Declaración de Posición del IIA (2026) redefine el rol del auditor interno. La imagen tradicional del verificador de controles da paso a la de un profesional estratégico que comprende la estrategia del negocio, entiende el apetito de riesgo, anticipa riesgos emergentes y facilita discusiones estratégicas. La tecnología y el análisis de datos se convierten en competencias esenciales para fortalecer su capacidad de generar aseguramiento y conocimiento sobre riesgos emergentes. El mensaje es claro: la auditoría interna puede ser un socio invaluable en la creación y protección del valor organizacional, siempre que preserve su independencia como su activo más preciado. Al hacerlo, además de cumplir con su mandato, se posiciona como un pilar fundamental para la resiliencia y el éxito sostenible de la organización en el complejo panorama de riesgos actual.
[1] Ver: The Role of the Internal Audit Function in Enterprise Risk Management
CP Iván Rodríguez - CIE AF
Colaborador de Auditool
Auditor y consultor, diplomado en Alta Gerencia de Seguros y Derecho de Seguros. Especialista en Dirección Financiera y Desarrollo Organizacional, diplomado en Gerencia de la Calidad. Contador público (CP) de la Pontificia Universidad Javeriana con 20 años de experiencia en diversas empresas. Tiene amplia experiencia en la elaboración y ejecución de auditorías y revisorías fiscales. Dirección y ejecución de asesorías, consultorías y capacitaciones. Colaborador de Auditool.
Y luego Agregar a la pantalla de inicio.
Escribir un comentario