Dos auditores distintos, ante el mismo hallazgo, asignan a veces una criticidad diferente. Y dos departamentos de auditoría dentro de la misma organización pueden calificar un riesgo similar con escalas que no son comparables entre sí. Este problema, lejos de ser anecdótico, es uno de los que más erosiona la credibilidad del reporting ante el Comité de Auditoría. Este artículo propone un modelo práctico para calificar hallazgos y construir un rating de informes que sea objetivo, trazable y defendible.
Por qué la criticidad de los hallazgos es uno de los puntos más débiles del reporting
La calificación de un hallazgo determina su prioridad de corrección, el nivel de seguimiento que recibe y, en muchos casos, si debe escalarse o no al Comité de Auditoría. Cuando ese criterio depende del juicio individual de cada auditor sin un marco común, el resultado es inconsistente incluso dentro del mismo departamento.
El problema de la subjetividad entre auditores
Es habitual que un auditor con más años de experiencia tienda a calificar como "medio" un hallazgo que otro auditor, más conservador, calificaría como "alto". Sin una escala documentada con criterios claros, ambas calificaciones son defendibles en el momento de emitirlas, pero generan una incoherencia que se hace evidente cuando se comparan informes entre sí.
El impacto en la credibilidad ante el Comité de Auditoría
Cuando el Comité de Auditoría detecta que la criticidad de los hallazgos varía según quién los redacta, la consecuencia inmediata es la pérdida de confianza en el reporting completo. Esto no solo afecta a la valoración de un informe puntual, sino a la percepción general sobre el rigor metodológico del departamento.
Qué exige un sistema de rating objetivo
Criterios de evaluación claros y documentados
Cada nivel de criticidad debe estar definido con una descripción concreta, no con una etiqueta abierta a interpretación. La diferencia entre un hallazgo "alto" y uno "medio" debe poder explicarse con ejemplos y umbrales específicos, no solo con la sensación del auditor que lo redacta.
Escalas de criticidad consistentes
La escala utilizada (ya sea de tres, cuatro o cinco niveles) debe ser la misma para todo el departamento y aplicarse de igual forma en todas las auditorías, independientemente del proceso revisado o del auditor responsable. Cambiar de escala según el tipo de trabajo introduce ruido innecesario en la comparación de resultados a lo largo del tiempo.
Vinculación entre criticidad del hallazgo y rating del informe
El rating final del informe debe derivarse de una regla clara a partir de la criticidad individual de los hallazgos, no de una valoración global e intuitiva del auditor al cierre del trabajo. Esta vinculación es la que permite que el rating sea trazable y reproducible ante una revisión externa.
Modelo práctico para calificar hallazgos
Un modelo de calificación robusto combina al menos tres dimensiones, evaluadas de forma independiente antes de obtener la criticidad final.
Dimensión 1: impacto potencial
Mide la consecuencia que tendría el hallazgo si se materializara: pérdida económica estimada, exposición regulatoria, impacto reputacional o interrupción operativa. Conviene definir rangos numéricos o cualitativos claros para cada nivel, de forma que dos auditores lleguen a la misma conclusión ante el mismo escenario.
Dimensión 2: probabilidad de materialización
Evalúa qué tan probable es que la debilidad detectada genere realmente un perjuicio, considerando la frecuencia del proceso, los controles compensatorios existentes y el historial de incidentes previos relacionados.
Dimensión 3: alcance o extensión del hallazgo
Determina si la debilidad es puntual (un caso aislado) o sistémica (afecta a todo un proceso, área o filial). Un hallazgo con bajo impacto individual pero alta extensión puede merecer una criticidad superior a la que tendría si se tratara de un caso único.
| Dimensión | Pregunta clave | Ejemplo de variable |
|---|---|---|
| Impacto potencial | ¿Qué consecuencia tendría si se materializa? | Pérdida económica estimada, exposición regulatoria |
| Probabilidad | ¿Qué tan probable es que ocurra? | Controles compensatorios, historial de incidentes |
| Alcance | ¿Es un caso aislado o sistémico? | Número de áreas, procesos o filiales afectadas |
Cómo pasar de la calificación de hallazgos al rating del informe
Métodos de agregación habituales
Existen dos enfoques principales para construir el rating del informe a partir de los hallazgos individuales. El primero, basado en el peor caso, asigna al informe la criticidad del hallazgo más grave detectado. El segundo, basado en una matriz ponderada, combina el número y la severidad de todos los hallazgos para obtener una puntuación agregada. Ambos métodos son válidos, pero el departamento debe elegir uno y aplicarlo de forma consistente en todas las auditorías.
Por qué un solo hallazgo crítico puede condicionar todo el rating
En la mayoría de las metodologías serias, un único hallazgo de criticidad muy alta es suficiente para que el rating global del informe se vea afectado, independientemente de cuántos hallazgos menores se hayan identificado. Esta regla evita que un proceso con un riesgo grave aislado reciba, por promedio, una valoración global engañosamente positiva.
Errores frecuentes al calificar hallazgos
- Definir niveles de criticidad sin ejemplos concretos. Una escala con etiquetas como "alto, medio, bajo" sin descripciones detalladas sigue dejando la decisión final al criterio individual.
- No revisar la consistencia entre auditores de forma periódica. El programa de aseguramiento de calidad del departamento debería incluir una revisión específica de si distintos auditores califican de forma comparable hallazgos similares.
- Cambiar de escala entre auditorías o entre años. Esto rompe la posibilidad de comparar la evolución del riesgo en un mismo proceso a lo largo del tiempo.
- Ignorar la dimensión de alcance. Centrarse solo en el impacto individual de cada hallazgo, sin considerar si es sistémico, puede llevar a subestimar riesgos que afectan a toda la organización.
Punto de control clave: si al revisar los informes de los últimos doce meses no es posible explicar, con datos, por qué un hallazgo recibió una criticidad determinada, el sistema de calificación necesita formalizarse antes de la próxima Evaluación Externa de Calidad.
Un software de gestión de auditoría que integre el modelo de calificación directamente en el flujo de trabajo permite aplicar las mismas reglas a todos los auditores, calcular el rating del informe de forma automática y mantener un historial comparable de la evolución del riesgo por proceso.
Checklist para construir un sistema de rating objetivo
- ¿Cada nivel de criticidad está definido con ejemplos y umbrales concretos, no solo con una etiqueta?
- ¿La escala de criticidad es la misma para todos los auditores y todas las auditorías?
- ¿El modelo considera al menos impacto, probabilidad y alcance del hallazgo?
- ¿Existe una regla documentada para pasar de la criticidad de los hallazgos al rating del informe?
- ¿Un hallazgo crítico aislado puede condicionar el rating global, en lugar de diluirse en un promedio?
- ¿Se revisa periódicamente la consistencia de calificación entre distintos auditores del equipo?
Conclusión
Un sistema de calificación de hallazgos objetivo no elimina el juicio profesional del auditor, pero sí lo encuadra dentro de criterios verificables y reproducibles. Esto es exactamente lo que exige el reporting que las Normas Globales de Auditoría Interna esperan de la función: comunicación de resultados consistente, trazable y comparable en el tiempo. Invertir en formalizar este modelo no solo mejora la calidad técnica de los informes, sino que fortalece directamente la confianza que el Comité de Auditoría deposita en el departamento.