El plan anual de auditoría interna se aprueba una vez y se defiende el resto del año. Es una costumbre cómoda, y cada vez encaja peor con lo que piden las normas de la profesión y la comisión de auditoría.
La Norma 9.4 de las Normas Globales de Auditoría Interna, en vigor desde enero de 2025, exige basar el plan en una evaluación documentada de riesgos que se haga al menos anualmente. El mismo texto exige que el plan sea dinámico y se actualice de forma oportuna ante cambios en el negocio, los riesgos, las operaciones, los programas, los sistemas, los controles y la cultura de la organización.
Las consideraciones para la implementación van más lejos. El Director de Auditoría Interna debería mantenerse continuamente al tanto de las cuestiones de riesgo y actualizar la evaluación y el plan en consecuencia. En un entorno dinámico, el plan puede requerir actualizaciones semestrales, trimestrales o incluso mensuales.
En España, las entidades de interés público tienen otra referencia. La Guía Técnica 1/2024 de la CNMV, de junio de 2024, recomienda que en el seguimiento del plan la comisión de auditoría compruebe, entre otras cosas, si en la práctica se cubren adecuadamente las principales áreas de riesgo del negocio identificadas en el plan. También que compruebe si se le comunican los cambios significativos y si, cuando el plan se actualiza, la actualización se aprueba por el mismo procedimiento que el plan inicial.
Un plan que no cambia en doce meses no es un plan estable. Es un plan que nadie ha vuelto a mirar.
Qué debería mover el plan
La Norma 9.4 no fija una frecuencia, fija un criterio. Recomienda que el Director, el Consejo y la Alta Dirección acuerden qué cambios son significativos y obligan a revisar el plan, y que ese acuerdo entre en la metodología de la función. Estos son disparadores razonables para escribir en ese acuerdo.
- Un cambio en la organización. Una adquisición, la venta de un negocio o una reorganización.
- Un sistema que cambia. La migración del ERP, la sustitución de un proveedor crítico o un despliegue de IA en un proceso que toca clientes o dinero.
- Un incidente o un hallazgo grave. Una brecha, un fraude o un control clave que falla en otro trabajo cambian el riesgo de las áreas vecinas.
- Una obligación nueva. Una norma o un requerimiento que obliga a mirar un área que el plan no tenía.
- Un recurso que no llega. La salida de un especialista o un presupuesto recortado. La Norma 9.4 exige comunicar al Consejo y a la Alta Dirección el impacto de cualquier limitación de recursos sobre la cobertura.
Cómo se gobierna un plan que se mueve
Mover el plan sin control es tan malo como no moverlo nunca. Tres prácticas lo ordenan.
- Una revisión con fecha. Una cita trimestral con la evaluación de riesgos actualizada, aunque concluya que no hay nada que cambiar.
- Horas reservadas. La propia norma sugiere que la propuesta de plan incluya un porcentaje de horas para contingencias y solicitudes ad hoc. Sin ese margen, cada trabajo nuevo desplaza a otro sin que nadie lo decida.
- Rastro de lo que sale. Si un trabajo se cancela o se aplaza, el motivo y la aprobación quedan registrados. La norma pone como ejemplo de cambio significativo cancelar o aplazar trabajos ligados a riesgos importantes, y la guía de la CNMV pide que el informe anual de actividades explique los trabajos previstos que no se hicieron y los que se hicieron sin estar previstos.
Revisar cada trimestre no significa rehacer el plan cada trimestre. Significa que cada tres meses alguien compara la evaluación de riesgos vigente con el reparto de horas y deja escrito si siguen casando. Cuando no casan, el cambio llega con su motivo y su aprobación.
La cuestión de fondo es la que ya planteamos al ver que el esfuerzo de auditoría no sigue al riesgo. Un plan bien elegido en diciembre puede quedarse viejo en marzo, y la diferencia la marca la frecuencia con la que se vuelve a mirar.
