Las Normas Globales de Auditoría Interna piden que la evaluación de riesgos se haga al menos una vez al año, pero que el director se mantenga «continuamente al tanto» de los riesgos y que el plan sea dinámico. En un entorno que cambia, dicen las consideraciones de la Norma 9.4, el plan puede requerir actualizaciones «semestralmente, trimestralmente o, incluso, mensualmente».

Una precisión de vocabulario antes de seguir. Las Normas no hablan de auditoría continua. Y cuando usan la expresión «supervisión continua», la reservan para la revisión del día a día de la propia función dentro de su evaluación interna de calidad, en la Norma 12.1. Lo que aquí nos ocupa es otra cosa, la monitorización continua en el sentido habitual del oficio, que consiste en repetir pruebas sobre los datos de la organización a intervalos.

Esa práctica está lejos de ser general. En la encuesta global de Vision 2035 del IIA, con 6.506 respuestas recogidas en febrero y marzo de 2024, solo el 27 % declara una implantación alta de la monitorización continua.

Es fácil pensar que monitorizar de forma continua obliga a rehacer el encargo cada trimestre. No hace falta. Basta con repetir una prueba bien definida sobre cortes comparables y guardar lo necesario para que cada ejecución se pueda defender sola.

Qué hace que un corte valga

  • El mismo extracto, con la misma definición. Mismo sistema, mismos campos y misma regla para delimitar la población. Si cambia la fuente o el filtro, lo que sale es una nueva línea base, no la continuación de la anterior.
  • Cada ejecución con su versión del programa. Qué versión del programa de trabajo se aplicó, con qué alcance, con qué fecha de corte y sobre qué periodo. La Norma 14.1 pone como ejemplo de evidencia la descripción de la información con «su fuente, la fecha de recopilación y el periodo al que pertenece».
  • Repetible por otro. La Norma 14.6 exige documentar de modo que un auditor interno informado y prudente «pueda repetir el trabajo y obtener los mismos resultados». Aplicado a cortes, significa que cualquier ejecución pasada se puede reproducir con su programa y sus datos de entonces.

El primer corte con todo eso guardado es la línea base. Los siguientes se leen contra ella.

Comparar sin pedirle más de lo que da

La comparación con el ciclo anterior es útil, pero es una señal y no una inferencia. Si las excepciones de un control pasan de un puñado a muchas más, eso dice dónde mirar. No dice por sí solo que el control haya empeorado. Puede haber cambiado el volumen, la población o la regla de negocio. Antes de convertir una variación en hallazgo, hay que explicar la variación.

Por eso conviene que el resultado de cada corte separe tres grupos. Las excepciones nuevas, las que persisten y las que desaparecen. Los dos primeros piden análisis. El tercero pide algo más exigente.

Una acción no se cierra porque alguien lo diga

La Norma 15.2 exige confirmar que la Dirección ha implementado sus planes de acción siguiendo una metodología que incluye consultas sobre el progreso y la realización de evaluaciones de seguimiento «empleando un enfoque en base a riesgos». Los cortes encajan ahí de forma natural. Si la Dirección comunica que ha corregido un control, el siguiente corte comparable es la evidencia nueva que lo confirma o lo desmiente.

La regla práctica es sencilla. Ninguna acción se da por implementada sin evidencia posterior a la fecha de la corrección. Un correo de la Dirección no cuenta. Una excepción que deja de aparecer en un corte comparable, sí.

Un corte que no se puede repetir con el mismo programa no es monitorización. Es otra foto.

Este enfoque no obliga a rehacer el plan, pero lo vuelve dinámico de verdad, porque cada corte alimenta la evaluación de riesgos del siguiente. Es la diferencia entre un plan que se puede mover en marzo y otro que se escribió en noviembre y se ejecuta sin mirar, como planteamos al hablar de un esfuerzo de auditoría que no sigue al riesgo.