Durante décadas, la muestra fue la respuesta razonable a un problema de tiempo. Nadie podía revisar a mano decenas de miles de asientos o de cuentas de usuario, así que se elegía una selección con un método defendible y se extrapolaba. En la mayoría de procesos que viven en un sistema, ese límite ya no es técnico.
Las Normas Globales de Auditoría Interna, en vigor desde el 9 de enero de 2025, lo recogen en sus consideraciones para la implementación. Al tratar la recopilación de información, la Norma 14.1 pide considerar si se prueba una población completa o una muestra representativa. La Norma 14.2 añade que los auditores internos deberían comprender y utilizar tecnologías que permitan probar una población entera, en lugar de solo una muestra.
La distancia entre esa frase y la práctica sigue siendo grande. En Vision 2035, el estudio global del IIA con 6.506 respuestas recogidas entre febrero y marzo de 2024, solo el 25 % tiene la analítica de datos implantada a nivel alto, y el 27 % la monitorización continua. A la vez, el 91 % considera la analítica muy o extremadamente importante para el futuro de la profesión.
Lo que cambia en el trabajo de campo
Probar la población entera no es hacer lo mismo con más filas. Cambia el orden del trabajo.
- El acceso al dato pasa a la planificación. Si la extracción depende de que alguien de sistemas encuentre un hueco, el trabajo empieza tarde. La Norma 14.1 contempla acceder directamente a los sistemas o extraer los datos, y conviene acordarlo antes de abrir el trabajo, no durante.
- La fecha de corte se fija y se escribe. Una población completa lo es a una fecha y para un periodo. Las propias Normas ponen como evidencia de conformidad la descripción de la información con su fuente, la fecha en que se recopiló y el periodo al que pertenece.
- El criterio se define antes de ejecutar. Con una muestra, el auditor ajusta el juicio caso a caso. Con toda la población, la regla tiene que estar escrita antes, porque es la regla la que clasifica. Cambiarla después de ver el resultado es buscar el número que se quería.
- Las excepciones se tratan por lotes. Una prueba completa puede devolver cientos de excepciones, y la mayoría no son hallazgos. Hay que agruparlas por causa, descartar las que se explican con evidencia y llevar a análisis lo que queda. Sin ese paso, el volumen tapa lo importante.
- Lo que no se pudo evaluar se dice. Registros sin el campo clave, un sistema que no se pudo extraer, un mes que falta. La Norma 14.1 exige que, si no se puede obtener la evidencia relevante, el auditor determine si esa situación es en sí misma un hallazgo.
Completa cuando el dato lo permite
La población completa no es una promesa. Es lo que se prueba cuando el dato existe, es fiable y se puede extraer.
Hay procesos donde la muestra sigue siendo la opción sensata. Controles manuales sin registro, evidencias repartidas en correos, datos de un sistema cuyo gobierno no merece confianza. La Norma 14.1 recuerda que la información es más fiable cuando procede de un sistema con procesos eficaces de gobierno, gestión de riesgos y control. Si la fuente no lo es, revisar todos sus registros no prueba nada.
Por eso el cambio no se decide para todo el plan a la vez. Se decide prueba a prueba, con una pregunta previa sobre el dato y otra sobre el criterio. Cuando las dos tienen respuesta, la muestra deja de ser la opción por defecto y pasa a necesitar una justificación.
Un buen punto de partida es un control que hoy se prueba por muestreo y que vive entero en sistemas. El cruce de bajas de personal contra cuentas activas es el ejemplo clásico, y las pruebas que dejan evidencia sobre los accesos muestran por dónde empezar a revisarlas todas.
