¿Tiene tu función de auditoría interna las capacidades para auditar la tecnología de la que ya depende todo su universo de riesgo? En la mayoría de organizaciones la respuesta honesta es un "todavía no" con matices, y el motivo no es la falta de voluntad.
De dónde viene el desajuste
La tecnología entró en todos los procesos a la vez. La nube, la automatización, los datos y ahora la IA no llegaron como un dominio más del plan, sino como una capa que atraviesa los que ya estaban. El universo de riesgo creció en anchura sin avisar.
El equipo que lo audita, en cambio, creció poco o nada. Una función de auditoría interna típica se mueve en una escala de decenas de personas, no de cientos, y su plantilla se dimensionó cuando el riesgo tecnológico era un capítulo y no el sustrato de todos los demás.
De ahí sale el desajuste. No es que el auditor sepa menos que antes, es que el terreno que tiene que cubrir se ha multiplicado mientras el equipo seguía igual.
Dónde aguanta el criterio y dónde no
Conviene distinguir. En los controles generales de TI y en privacidad de datos, la profesión lleva años acumulando criterio, metodología y precedentes. Ahí el auditor sabe qué pedir, qué prueba vale y qué respuesta esquiva una pregunta.
En lo emergente, la cosa cambia. En arquitecturas de nube, en cadenas de despliegue continuo y sobre todo en modelos de IA, buena parte del oficio todavía se está escribiendo. No hay un cuerpo de pruebas asentado ni una expectativa compartida de qué evidencia basta.
La brecha de IA no es un hueco en el plan de formación. Es la distancia entre el ritmo al que el negocio adopta tecnología y el ritmo al que un equipo pequeño puede aprender a auditarla.
Las tres salidas y por qué ninguna basta sola
Formar al equipo propio. Funciona con lo que se repite todos los ciclos. No funciona con lo que aparece una vez, porque el conocimiento se oxida antes de volver a usarse.
Traer capacidad externa. Resuelve la profundidad puntual. El problema es el coste de coordinación y que el criterio sobre qué se concluye no debería salir de casa.
Contratar especialistas. El especialista a tiempo completo en una tecnología concreta es caro y queda infrautilizado la mayor parte del año. Además compite por él todo el mercado.
Ninguna de las tres cierra la brecha por su cuenta, y por eso el modelo que se impone es híbrido. Formar en lo transversal, traer ayuda para lo profundo y no externalizar nunca el juicio.
Queda una cuarta palanca que se menciona menos. Las herramientas. Parte de la brecha no se cierra subiendo al auditor hasta la tecnología, sino bajando la tecnología hasta el auditor, de modo que una configuración o un registro lleguen en términos que un profesional con criterio pueda revisar sin depender de un especialista para cada fichero.
Qué haría un equipo pragmático este año
- Mapear capacidades contra el plan, no contra un ideal. Qué auditorías del ciclo actual exigen qué habilidades y dónde está el hueco real.
- Formar en lo que se repite y buscar apoyo externo para lo que aparece una vez al año.
- Exigir a las herramientas que multipliquen al equipo existente, de modo que un auditor con criterio pueda revisar evidencia técnica sin un intermediario en cada paso.
La brecha no se va a cerrar contratando, porque no hay mercado suficiente ni presupuesto que lo aguante. Se cierra combinando personas, socios y tecnología, con el juicio del auditor siempre dentro de casa.
