En estas semanas muchas funciones de auditoría interna preparan el plan del año siguiente para llevarlo a la comisión de auditoría. Suele llegar con los trabajos, el calendario y el equipo. Si no dice con qué tecnología se van a ejecutar esos trabajos, le falta una parte que el supervisor español ya recomienda incluir.
Lo que recomienda la CNMV
La Guía Técnica 1/2024 de la CNMV, de 27 de junio de 2024, se dirige a las comisiones de auditoría de las entidades de interés público. Al tratar la aprobación del plan anual de auditoría interna, recomienda que, además de los objetivos y los trabajos, se incluyan «los recursos necesarios para su ejecución, tanto humanos (internos y externos), como financieros y tecnológicos».
La guía va más allá de la aprobación. En el seguimiento recomienda que la comisión compruebe, entre otras cosas, «si en la práctica se cubren adecuadamente las principales áreas de riesgo del negocio identificadas en el plan» y si se dispone de los recursos aprobados al inicio, también los tecnológicos. Es decir, la comisión no solo aprueba una dotación. Vuelve después a preguntar si con ella se ha cubierto el riesgo.
Lo que exigen las Normas Globales
La guía cita como referencia para la comisión las Normas Globales de Auditoría Interna del IIA, publicadas en enero de 2024, y estas dicen lo mismo desde el lado del director. La Norma 9.4 pide que el plan identifique los recursos humanos, financieros y tecnológicos necesarios para completarlo y que se comunique a la Alta Dirección y al Consejo «el impacto de cualquier limitación de recursos sobre la cobertura de Auditoría Interna».
La Norma 10.3, dedicada a los recursos tecnológicos, va un paso más allá. El Director de Auditoría Interna debe procurar que la función cuente con tecnologías apropiadas, evaluarlas «de forma regular» y comunicar a la Alta Dirección y al Consejo «el impacto de las limitaciones tecnológicas sobre la eficacia y eficiencia» de la función. No basta con tener herramientas. Hay que decir qué cuesta no tenerlas.
El presupuesto no lo pone fácil
El estudio que KPMG y el Instituto de Auditores Internos de España presentaron en marzo de 2025 da una pista del punto de partida en España. Casi el 80 % de las organizaciones encuestadas tiene presupuesto propio para auditoría interna, pero más del 50 % de las empresas considera limitado el presupuesto del área. El resumen público no da el tamaño de la muestra, así que conviene leerlo como señal y no como medida.
Con un presupuesto ajustado, la limitación tecnológica no desaparecerá en un ciclo. Lo que sí se puede hacer es explicarla bien.
Tres piezas para la próxima sesión de la comisión
- Un mapa de cobertura con el método. Para cada área principal de riesgo, qué trabajo la cubre y cómo se prueba, ya sea sobre la población completa, sobre una muestra o con revisión documental. Es la respuesta directa a la pregunta de si el riesgo está cubierto en la práctica.
- La limitación expresada en cobertura. Decir que falta una herramienta de analítica no le dice nada a un consejero. Decir que se revisa una muestra de pagos porque no se puede extraer el año completo del sistema sí, porque describe qué parte del riesgo queda sin probar.
- La evaluación de la tecnología, por escrito y cada año. Qué se pidió, qué se aprobó, qué se implantó y qué cambió en la cobertura. Es la evaluación regular que pide la Norma 10.3 y responde de paso a si se dispone de los recursos aprobados.
La comisión no necesita saber qué herramienta usa auditoría interna. Necesita saber qué parte del riesgo queda sin probar por no tenerla.
Ese planteamiento cambia la conversación del presupuesto. Las propias consideraciones de la Norma 10.3 sugieren presentar las solicitudes de presupuesto para tecnología «con la justificación adecuada». Una petición que llega con su efecto sobre la cobertura se discute como una decisión sobre riesgo y no como un gasto de la función. Y conecta con un problema que la profesión arrastra desde hace años, una brecha de capacidades que no se cierra solo contratando.
