Por: Equipo Auditool

Decir que es 'basado en riesgos' no lo hace real. Las NOGAI exigen rigor metodológico. Descubre si tu evaluación de riesgos es genuina o solo maquillaje.

───────────────────────────────

Hagamos un ejercicio de honestidad brutal. Abre tu plan anual de auditoría y responde: ¿podrías explicar, con evidencia concreta y metodología documentada, por qué cada auditoría está ahí y no otra? ¿Podrías demostrar que la priorización refleja los riesgos reales de la organización y no las preferencias históricas, las presiones políticas o simplemente «lo que siempre hemos auditado»?

Si dudaste, no estás solo. La verdad incómoda es que muchos planes de auditoría etiquetados como «basados en riesgos» son, en el mejor de los casos, planes tradicionales con terminología actualizada. En el peor, son ejercicios de autoengaño colectivo donde todos asienten pero nadie cuestiona.

Las Normas Globales de Auditoría Interna (NOGAI) no piden que uses la palabra «riesgo» en tu documentación. Piden que tu planificación responda genuinamente a los riesgos que enfrenta la organización. La diferencia entre ambas cosas es la diferencia entre cumplir y agregar valor.

Las siete señales de un plan que solo finge

¿Cómo saber si tu plan basado en riesgos es genuino o es teatro corporativo? Estas señales deberían encender alarmas:

Primera señal: el universo auditable no ha cambiado en años. Si tu lista de procesos, áreas y temas auditables es esencialmente la misma que hace cinco años, algo está mal. Las organizaciones evolucionan, los riesgos mutan, los modelos de negocio se transforman. Un universo estático revela una evaluación de riesgos estática —o inexistente.

Segunda señal: las mismas auditorías rotan cíclicamente. «Este año toca inventarios porque el año pasado hicimos nómina.» Esta lógica de rotación mecánica ignora que los riesgos no esperan su turno. Auditar algo solo porque «hace tiempo que no lo auditamos» no es gestión de riesgos; es administración de calendarios.

Tercera señal: no puedes explicar tu metodología de scoring. Si alguien te pregunta cómo calculaste que el riesgo A tiene prioridad sobre el riesgo B, y tu respuesta involucra frases como «criterio profesional» sin datos que lo respalden, tu metodología es una opinión disfrazada.

Cuarta señal: los riesgos emergentes nunca entran al plan. Ciberseguridad, inteligencia artificial, cambio climático, cadenas de suministro, riesgos geopolíticos. Si estos temas no han alterado significativamente tu plan en los últimos años, estás auditando el pasado mientras el futuro te rebasa.

Quinta señal: el Comité de Auditoría aprueba sin preguntar. Cuando el órgano de gobierno aprueba tu plan en cinco minutos sin cuestionamientos, puede significar dos cosas: confían absolutamente en ti, o no entienden lo que están aprobando. Usualmente es lo segundo.

"Un plan que nadie cuestiona probablemente no merece la confianza que recibe."

Sexta señal: la evaluación de riesgos es un evento anual, no un proceso. Si solo piensas en riesgos cuando toca «hacer el plan», estás llegando tarde. Los riesgos no operan en ciclos anuales; tu monitoreo tampoco debería.

Séptima señal: no hay sorpresas. Si tu plan año tras año luce predecible y cómodo, probablemente estás evitando las áreas incómodas —que suelen ser las más riesgosas.

Lo que las NOGAI realmente exigen

El Dominio IV de las NOGAI es específico sobre la planificación basada en riesgos. No basta con mencionarla; hay requisitos concretos que muchos planes incumplen.

Primero, exige considerar el apetito de riesgo de la organización. Tu plan debe alinearse no solo con los riesgos identificados, sino con los umbrales de tolerancia que la organización ha definido. Si no conoces el apetito de riesgo de tu empresa —o si tu empresa no lo ha articulado—, tienes un problema fundacional.

Segundo, requiere input de la alta dirección y el Consejo. La evaluación de riesgos no puede ser un ejercicio solitario del equipo de auditoría. Las NOGAI esperan que consultes activamente las perspectivas de quienes dirigen la organización y tienen visibilidad de riesgos que tú quizás no ves.

Tercero, demanda considerar riesgos emergentes. No solo los riesgos que ya se materializaron o que están en los registros históricos, sino aquellos que están en el horizonte. Esto requiere mirar hacia afuera: tendencias de la industria, cambios regulatorios, disrupciones tecnológicas.

Cuarto, pide flexibilidad para ajustar. Un plan grabado en piedra en enero que no puede modificarse ante cambios significativos en el entorno de riesgos no cumple con el espíritu de las normas. La planificación basada en riesgos es dinámica por definición.

El test de los cinco minutos

Aquí hay una prueba rápida para evaluar la solidez de tu enfoque. Toma cualquier auditoría de tu plan actual y responde estas preguntas en cinco minutos o menos:

¿Qué riesgo específico justifica esta auditoría? No «riesgo operativo» o «riesgo de cumplimiento» —eso es categoría, no riesgo. El riesgo concreto: qué puede salir mal, con qué consecuencias, afectando qué objetivos.

¿Qué evidencia tienes de que este riesgo es prioritario? Incidentes previos, indicadores de alerta, cambios en el entorno, resultados de auditorías anteriores, preocupaciones de la dirección documentadas.

¿Por qué esta auditoría y no otra? Qué riesgos quedaron fuera del plan y por qué este merece recursos que aquellos no recibirán.

¿Cuándo fue la última vez que este riesgo fue reevaluado? Si la respuesta es «cuando hicimos el plan del año pasado», tu evaluación ya está desactualizada.

Si no puedes responder estas preguntas con claridad para cada auditoría de tu plan, la etiqueta «basado en riesgos» es más aspiracional que descriptiva.

Tres pasos para pasar de la ilusión a la realidad

Transformar un plan cosméticamente basado en riesgos en uno genuinamente basado en riesgos requiere cambios estructurales, no cosméticos.

El primer paso es reconstruir tu universo auditable desde cero. Olvida la lista heredada. Empieza con los objetivos estratégicos de la organización y pregunta: ¿qué puede impedir que se logren? Esos impedimentos son tus riesgos relevantes. Luego mapea qué procesos, áreas y controles están asociados a esos riesgos. El universo auditable debe ser consecuencia de los riesgos, no al revés.

El segundo paso es documentar y defender tu metodología de priorización. Desarrolla criterios explícitos: impacto potencial, probabilidad, velocidad de materialización, efectividad de controles existentes, tiempo desde última revisión. Asigna pesos, calcula puntajes, documenta todo. Cuando alguien pregunte por qué la auditoría X tiene prioridad sobre la Y, tu respuesta debe ser demostrable, no argumentable.

"Si no puedes defender tu priorización con datos, no tienes una metodología; tienes una corazonada."

El tercer paso es institucionalizar la actualización continua. Establece triggers que disparen revisiones del plan: cambios organizacionales significativos, incidentes materiales, nuevas regulaciones, alertas de la industria. El plan anual debe ser un punto de partida, no un destino fijo.

La conversación que necesitas tener

Marzo es el momento crítico. El plan está por cerrarse —o ya se cerró— y pronto comenzará la ejecución. Antes de dar ese paso, considera tener una conversación honesta contigo mismo y con tu equipo: ¿nuestro plan refleja genuinamente los riesgos de la organización, o refleja nuestra zona de confort?

Las NOGAI no te piden perfección; te piden rigor. No esperan que identifiques todos los riesgos del universo; esperan que tengas un proceso defendible para priorizar los que incluyes. No exigen que nunca te equivoques; exigen que tus decisiones estén fundamentadas en evidencia y metodología, no en inercia y conveniencia.

La diferencia entre un plan basado en riesgos y uno que solo dice serlo está en la capacidad de responder «¿por qué?» con evidencia. Cada auditoría en tu plan debería poder superar ese escrutinio. Si no puede, tienes dos opciones: mejorar la justificación o cuestionar si esa auditoría merece estar ahí.

El mayor riesgo para una función de auditoría interna no es equivocarse en la evaluación de riesgos. Es creer que tiene una evaluación de riesgos cuando en realidad tiene una tradición disfrazada. La buena noticia es que reconocerlo es el primer paso para cambiarlo. La pregunta es: ¿estás dispuesto a mirar tu plan con ojos críticos, aunque no te guste lo que veas?

───────────────────────────────