¿Qué van a auditar los equipos de riesgo tecnológico este ciclo? Una encuesta global reciente a más de 200 responsables de auditoría interna en 25 países da una respuesta doble: el podio no se mueve, pero el terreno alrededor sí — y cada vez más rápido.
El podio no cambia: ciberseguridad, dato y controles generales
Las tres áreas más elegidas para los próximos ciclos de auditoría son ciberseguridad, gobierno del dato y controles generales de TI (ITGC) — exactamente las mismas que en la edición anterior del estudio, realizada en 2021. La lectura no es inmovilismo: es que el aseguramiento fundamental sobre las aplicaciones críticas sigue siendo la base sobre la que se construye todo lo demás. Las brechas siguen creciendo, el dato sustenta cada actividad del negocio, y ninguna adopción de IA es más fiable que los controles del dato que la alimenta.
Lo que empuja desde fuera: IA, cloud, DevOps, OT
Alrededor de ese núcleo estable, el universo de riesgo se ensancha. Las áreas que entran con fuerza en el mapa: auditoría de IA y machine learning, gobierno del cloud, seguridad DevOps, OT/IoT y el reporting regulatorio en expansión. Son riesgos cambiantes, muchos de origen externo, y con poca doctrina de auditoría consolidada.
El dato incómodo: solo el 42% de los encuestados califica de "excelente" o "buena" su preparación para auditar riesgos de tecnologías emergentes como cloud, IA o blockchain. Y la preocupación que más se repite son los unknown unknowns: riesgos que ni siquiera están identificados y, por tanto, quedan fuera del plan.
El plan de auditoría ya no se hereda de un año a otro: se rediseña. La pregunta no es si el universo de riesgo ha cambiado, sino si el plan lo ha hecho a la misma velocidad.
La agenda regulatoria fija el calendario
A ese mapa interno se suma un calendario externo que no espera. En Europa, DORA aplica al sector financiero desde enero de 2025 — con exigencias explícitas de gestión del riesgo TIC, registro de actividad y control de terceros — y las obligaciones del Reglamento de IA (AI Act) para sistemas de alto riesgo entran en vigor el 2 de agosto de 2026. Para muchos equipos, la pregunta "¿debemos auditar la IA?" ya tiene respuesta regulatoria.
Tres implicaciones prácticas
- Lo clásico no se suelta. La tentación de desplazar horas de ITGC hacia lo emergente es real; el estudio sugiere lo contrario: el aseguramiento básico es lo que hace fiable todo lo nuevo.
- Lo emergente exige método, no heroísmo. Auditar IA o cloud sin metodología consolidada requiere criterios explícitos, evidencia trazable y conclusiones defendibles — más disciplina, no menos.
- El plan es un artefacto vivo. Un universo de riesgo que cambia trimestre a trimestre no se gestiona con un plan anual estático.
La conclusión del estudio es sobria: el rol de la auditoría de riesgo tecnológico nunca ha sido tan central — ni ha tenido nunca tanto terreno que cubrir con el mismo equipo.