Entre septiembre y diciembre, cada función de auditoría interna cierra el plan del año siguiente. Es la decisión más cara del ciclo, porque reparte lo único que no se puede ampliar a mitad de año, que son las horas del equipo. Risk in Focus 2027, la encuesta que los institutos europeos de auditores internos publican cada septiembre, llega justo para esa conversación.
La edición de este año recoge 797 respuestas completas de directores de auditoría, de un trabajo conjunto de trece institutos europeos que cubren catorce países, España incluida. El titular no sorprende. La ciberseguridad y la seguridad del dato son el primer riesgo, con el 86 % de los directores situándolas entre sus cinco principales. La disrupción digital, la tecnología nueva y la IA suben del tercer puesto al segundo, con el 52 %.
Lo interesante está en otra columna. El informe no pregunta solo qué preocupa, pregunta también cuánto tiempo dedica auditoría a cada cosa. Y las dos listas no coinciden.
El dato incómodo
El gobierno de la organización y la información corporativa los elige como riesgo principal el 13 % de los directores, siete puntos menos que el año pasado. Es de lo más bajo de la tabla. Y aun así reciben el cuarto mayor esfuerzo de auditoría de todo el plan.
Al revés ocurre lo mismo. La incertidumbre macroeconómica y geopolítica sube al tercer puesto, pero la madurez del riesgo y el esfuerzo de auditoría siguen bajos. El capital humano cae del segundo puesto al quinto, con el 39 %, justo cuando la IA está redefiniendo los puestos de trabajo.
El plan no se equivoca por elegir mal los riesgos. Se equivoca por repartir las horas como el año pasado.
Antes de sacar conclusiones
El propio informe pide leer ese desajuste con cuidado, y tiene razón. El gobierno es a la vez una categoría de riesgo y la capacidad por la que se identifican, se evalúan y se gestionan los demás. Que reciba horas no es en sí un error. La pregunta es otra. Si esas horas siguen ahí por inercia, por expectativa del comité o por un ciclo de rotación heredado, están saliendo de algún sitio.
Con la ciberseguridad pasa lo mismo en sentido contrario. Tiene el primer puesto y una cobertura alta, pero el informe advierte de que esa cobertura puede estar determinada por la norma y por lo que espera el consejo más que por el riesgo real de este año. Una cobertura alta y una cobertura bien calibrada no son la misma cosa.
Tres preguntas para el plan
- Dónde no cuadran las dos listas. Pon el ranking de riesgo y el reparto de horas en la misma tabla. Cada fila donde no coincidan es una conversación que conviene tener antes de firmar el plan, no en marzo.
- Qué sostiene cada bloque grande de horas. Si un área lleva tres ciclos con la misma asignación, el motivo tiene que poder decirse en voz alta. Madurez del control, exigencia normativa o apetito de riesgo son motivos. La costumbre no lo es.
- Qué pasa si el plan cambia en marzo. Muchos directores han abandonado el plan anual rígido y hacen evaluaciones de riesgo más frecuentes. Si el tuyo no admite mover una auditoría sin rehacerlo entero, ese es el hallazgo.
El plan de 2027 se cerrará con la misma información que tiene todo el mundo. La diferencia está en si el reparto de horas responde a la evaluación de este año o a la del anterior. Esa pregunta solo se contesta mirando el universo de riesgo que ordena el plan.
