La prueba de calidad de un papel de trabajo es sencilla de enunciar. Otro auditor lo abre sin hablar con quien lo hizo, repite el trabajo y llega al mismo sitio.
Es casi literal la Norma 14.6 de las Normas Globales de Auditoría Interna. Los análisis, las evaluaciones y la información de soporte deben documentarse de modo que un auditor interno informado y prudente, o una persona igualmente informada y competente, pueda repetir el trabajo y obtener los mismos resultados. La norma añade que el supervisor del trabajo revisa la documentación y que el Director de Auditoría Interna la revisa y la aprueba.
Con muestras pequeñas y pruebas manuales, ese estándar se cumplía casi por inercia. La muestra estaba en una hoja, el criterio en el programa y la evidencia en una carpeta. Cuando la prueba la ejecuta un script, una herramienta de analítica o un modelo de IA, lo que hay que guardar cambia.
Lo que la IA añade al problema
Risk in Focus 2026, la encuesta de los institutos europeos de auditores internos a 879 directores de auditoría de quince países, España incluida, recoge la advertencia de un director que estaba incorporando la IA a los procesos de su función. Además de estar bien documentadas, las pruebas hechas con IA generativa tenían que evaluarse para ver si las mismas instrucciones producían los mismos resultados y si había una persona revisando los resultados principales.
Los auditores internos deberían ver la IA generativa como un becario muy listo al que hay que revisar constantemente. Parece más listo de lo que es y, como con un becario, hay que volver a comprobar todo lo que produce.
Así lo dijo ese director, citado sin nombre en el informe. La traducción es nuestra.
Lo que tiene que quedar escrito
La Norma 14.6 ya enumera lo esencial en sus consideraciones para la implementación. La fecha o el periodo del trabajo, el programa, la descripción de los análisis con sus procedimientos y fuentes de datos, la población evaluada y los nombres de quien hizo y supervisó el trabajo. Con automatización o IA, eso se traduce en siete piezas concretas.
- El criterio, escrito antes de ejecutar y con la versión que se aplicó.
- La población, con su origen, el número de registros y cómo se comprobó que estaba completa.
- La fecha de corte y el periodo que cubre.
- La versión del programa de trabajo y, si la prueba la ejecuta una herramienta, la versión de la regla, del script o de las instrucciones que se usaron.
- La evidencia que sostiene cada excepción, enlazada al registro de origen y no resumida.
- Quién revisó, qué revisó y cuándo. Si el resultado lo preparó un modelo, el nombre de la persona que lo aceptó.
- Lo que no se pudo concluir. Registros que faltaban, sistemas que no se pudieron extraer, excepciones sin explicación. Escribirlo protege al auditor y a quien lea el informe.
Repetir no es obtener el mismo texto
Un modelo de lenguaje no siempre devuelve el mismo texto con las mismas instrucciones. Por eso lo que se documenta no puede ser solo la salida. Tiene que bastar para que otro auditor llegue a la misma conclusión con la misma evidencia, aunque la redacción cambie. Si la conclusión depende de una respuesta que nadie puede reconstruir, la prueba no está terminada.
Hay una forma sencilla de comprobarlo antes de cerrar el trabajo. Que alguien del equipo que no participó coja el papel, ejecute de nuevo la prueba con la misma población y el mismo criterio y compare. Si llega al mismo resultado, el papel cumple su función. Si necesita preguntar algo, la respuesta a esa pregunta es lo que le falta al papel.
Es el mismo criterio que conviene exigir a cualquier herramienta antes de contratarla. El primero de los ocho criterios para evaluar una herramienta de IA para auditoría es justo ese, que cada conclusión llegue con su fuente.
