¿Tienen los equipos de auditoría interna las capacidades para auditar la tecnología de la que ya depende todo su universo de riesgo? Una encuesta global a más de 200 responsables de auditoría interna en 25 países permite responder con datos — y la respuesta es un "todavía no" con matices.
El tamaño de la brecha
Apenas 1 de cada 10 encuestados afirma que la mitad o más de su equipo se dedica a auditorías tecnológicas, en un contexto donde el 65% de las organizaciones encuestadas opera con equipos de auditoría interna de 25 personas o menos. La tecnología está en todo; el talento que la audita, no.
Por dominios, el contraste es nítido. En controles generales de TI, el 94% de las funciones se declara capacitada — es el terreno clásico. En privacidad de datos, el 80%, empujado por años de GDPR. Pero al llegar a lo emergente, el suelo se hunde: cloud security 53%, DevOps 45% y — la cifra más llamativa del estudio — inteligencia artificial y machine learning: 11% de equipos capacitados hoy, con un 89% declarando que invertirá en ello próximamente. Es la mayor brecha entre presente y futuro de todas las capacidades medidas.
La brecha de IA no es un hueco en el plan de formación: es la distancia entre el ritmo al que el negocio adopta tecnología y el ritmo al que una función de 25 personas puede aprender a auditarla.
Las tres salidas (y por qué ninguna basta sola)
Preguntados por cómo piensan cerrar la brecha, los equipos reparten su apuesta: upskilling (34%) y co-sourcing (32%) dominan, muy por delante de contratar especialistas (18%) o externalizar por completo (16%).
La razón es económica además de técnica: el especialista a tiempo completo en una tecnología concreta es caro y queda infrautilizado la mayor parte del año. El modelo que emerge es híbrido — formar al equipo propio en lo transversal, traer capacidad externa puntual para lo profundo, y no externalizar el juicio.
Hay una tercera palanca que el estudio deja entrever: las herramientas. El mismo informe señala que la IA generativa puede resumir configuraciones y código en términos comprensibles para auditores sin perfil técnico profundo. Dicho de otro modo: parte de la brecha no se cierra subiendo al auditor hasta la tecnología, sino bajando la tecnología hasta el auditor.
Qué haría un equipo pragmático este año
- Mapear capacidades contra el plan, no contra un ideal: qué auditorías del ciclo actual exigen qué habilidades, y dónde está el hueco real.
- Formar en lo que se repite (cloud, datos, automatización) y co-sourcear lo que aparece una vez al año.
- Exigir a las herramientas que multipliquen al equipo existente — que un auditor con criterio pueda revisar evidencia técnica sin depender de un especialista para cada archivo de configuración.
La brecha de capacidades no se va a cerrar contratando: no hay mercado suficiente ni presupuesto que lo aguante. Se cierra combinando personas, socios y tecnología — con el juicio del auditor siempre dentro de casa.