Hay una paradoja instalada en el corazón de la auditoría de riesgo tecnológico: la función que examina la tecnología de toda la organización es de las que menos tecnología usa en su propio trabajo. Los datos de una encuesta global a más de 200 responsables de auditoría interna la cuantifican.
Las cifras de adopción
- Analítica de datos: solo el 33% de las organizaciones la utiliza en al menos la mitad de sus auditorías — siendo la herramienta más madura y extendida de las tres medidas.
- IA generativa: 13%.
- Automatización inteligente: 9%.
El estudio lo formula con elegancia: "queda mucho margen de mejora". La traducción operativa es más cruda: la mayoría de las horas de auditoría se siguen invirtiendo en tareas que la tecnología actual ya sabe hacer — localizar información en documentos extensos, cruzar poblaciones, redactar papeles de trabajo repetitivos.
Dónde está el valor real de la IA generativa en auditoría
Según el mismo estudio, los casos de uso con más recorrido son concretos y poco glamurosos — que es exactamente lo que los hace valiosos:
- Análisis documental: revisar políticas, contratos y documentación extensa en una fracción del tiempo.
- Detección de anomalías, incluyendo análisis de comportamiento para identificar desviaciones en poblaciones completas, no en muestras.
- Traducción técnica: resumir código y ficheros de configuración en términos comprensibles, permitiendo a auditores sin perfil técnico profundo extraer conclusiones con sentido — lo que el informe llama la "democratización de la auditoría de TI".
- Automatización de pruebas de cumplimiento contra estándares regulatorios, ejecutables en tiempo real.
La condición: casos de uso, no herramientas
La advertencia del estudio es igual de clara: el retorno no está garantizado. Entre licencias, soporte y formación, adoptar tecnología "porque toca" sale caro. Los equipos que capturan valor definen primero el caso de uso — qué tarea, qué evidencia, qué resultado — y solo después eligen la herramienta.
Y hay una línea que ninguna adopción debería cruzar:
La detección se puede automatizar. La conclusión, no. Una herramienta que propone hallazgos sin evidencia trazable no acelera la auditoría: fabrica un pasivo de calidad que alguien tendrá que revisar dos veces.
El criterio para evaluar cualquier herramienta
Tres preguntas bastan para separar el valor del ruido:
- ¿Reduce horas en tareas repetitivas sin quitarle al auditor la decisión?
- ¿Cada resultado es trazable hasta la evidencia que lo sustenta?
- ¿El equipo puede explicar ante un comité — o un regulador — cómo se llegó a cada conclusión?
Si las tres respuestas son sí, la paradoja del auditor tiene solución. Si alguna es no, la herramienta es parte del universo de riesgo, no de su cobertura.