Casi ningún departamento de Auditoría Interna tiene recursos suficientes para revisar cada año todas las entidades auditables de la organización. El reto no es conseguir más recursos, sino diseñar un universo de auditoría que permita decidir con criterio qué se revisa primero, con qué frecuencia y qué se puede cubrir de forma alternativa. Este artículo propone una metodología práctica para construirlo y mantenerlo actualizado.
Qué es el universo de auditoría y por qué es la base de todo el plan
El universo de auditoría es el inventario completo de todas las entidades que potencialmente podrían ser objeto de una auditoría: procesos, unidades de negocio, sistemas, proyectos o filiales. Es el punto de partida de cualquier ejercicio de planificación, porque ningún plan de auditoría puede ser coherente si el universo sobre el que se construye está incompleto.
Diferencia entre universo de auditoría y plan de auditoría
El universo de auditoría es exhaustivo: incluye todo lo que podría auditarse. El plan de auditoría, en cambio, es una selección de ese universo, priorizada según riesgo y limitada por los recursos disponibles. Confundir ambos conceptos lleva a planificar solo sobre lo que ya se conoce, dejando fuera áreas relevantes que nunca llegan a entrar en el radar del departamento.
Consecuencias de un universo de auditoría incompleto
Si una unidad de negocio, un proceso nuevo o una filial reciente no aparece en el universo de auditoría, simplemente no entrará nunca en la conversación de planificación, sin importar cuánto haya crecido su nivel de riesgo. Esta es una de las causas más frecuentes de que un riesgo relevante quede sin cobertura durante años.
Cómo construir el universo de auditoría desde cero
Paso 1: identificar las entidades auditables
Recoge información de distintas fuentes: organigrama, mapa de procesos, inventario de sistemas, estructura societaria y catálogo de proyectos estratégicos. Cruzar varias fuentes ayuda a detectar entidades que podrían quedar fuera si se trabaja solo a partir del organigrama tradicional.
Paso 2: definir el nivel de granularidad adecuado
Un universo demasiado agregado (por ejemplo, "finanzas" como única entidad) dificulta priorizar con precisión. Un universo demasiado desagregado (decenas de subprocesos mínimos) genera una carga de mantenimiento excesiva. El nivel adecuado suele situarse en procesos o subprocesos con entidad propia de riesgo, ni tan amplios que mezclen riesgos muy distintos ni tan pequeños que multipliquen el esfuerzo de gestión sin aportar precisión real.
Paso 3: asignar un propietario de riesgo a cada entidad
Cada entidad del universo debería tener un responsable de negocio identificado. Esto no solo facilita la ejecución de futuras auditorías, sino que ayuda a detectar con mayor rapidez cuándo una entidad ha cambiado de forma relevante y su nivel de riesgo debería revisarse.
Cómo priorizar cuando los recursos no alcanzan para cubrir todo
Modelo de riesgo ponderado
Valora cada entidad del universo combinando varios factores: impacto financiero potencial, probabilidad de ocurrencia de un incidente, exposición regulatoria y tiempo transcurrido desde la última revisión. Un modelo ponderado, aunque imperfecto, ofrece un criterio objetivo y defendible frente a decisiones puramente subjetivas.
Ciclos de cobertura diferenciados por nivel de riesgo
No todas las entidades necesitan revisarse con la misma frecuencia. Las de mayor riesgo pueden auditarse cada doce o dieciocho meses, mientras que las de menor riesgo pueden cubrirse cada tres o cuatro años, o mediante revisiones más ligeras como autoevaluaciones de control complementadas con pruebas analíticas puntuales.
Cuándo recurrir a co-sourcing o herramientas analíticas
Cuando el universo de auditoría crece más rápido que el equipo interno, dos palancas habituales son el co-sourcing con especialistas externos para riesgos muy específicos (como ciberseguridad o modelos de inteligencia artificial) y la incorporación de herramientas analíticas que permitan cubrir procesos de alto volumen sin necesidad de ampliar el equipo de forma proporcional.
Cómo mantener el universo de auditoría actualizado
Un universo de auditoría construido una vez y nunca revisado se queda obsoleto con rapidez, especialmente en organizaciones con adquisiciones, lanzamientos de nuevos productos o transformación digital constante. Conviene establecer una revisión formal al menos una vez al año, y un mecanismo de actualización puntual cuando se produce un cambio organizativo relevante, como la creación de una nueva unidad de negocio o la implantación de un sistema crítico.
Errores frecuentes al diseñar el universo de auditoría
- Construirlo únicamente a partir del organigrama. Esto deja fuera procesos transversales o riesgos que no encajan claramente dentro de una única área organizativa.
- No revisar el universo cuando la organización cambia. Una adquisición o el lanzamiento de un nuevo producto debería disparar automáticamente una actualización del universo de auditoría.
- Priorizar exclusivamente según el riesgo percibido por la propia función de auditoría. Incorporar la perspectiva de otras áreas de control, como riesgos o compliance, suele revelar entidades relevantes que de otro modo pasarían desapercibidas.
- Tratar todas las entidades con el mismo ciclo de revisión. Aplicar la misma frecuencia a procesos de riesgo muy distinto diluye los recursos disponibles en lugar de concentrarlos donde más se necesitan.
Punto de control clave: si tu universo de auditoría no se ha actualizado en el último año, lo más probable es que ya existan procesos, sistemas o unidades de negocio relevantes que no aparecen reflejados en él.
Un software de gestión de auditoría que centralice el universo de auditoría junto con el mapa de riesgos permite mantenerlo vivo de forma continua, vincular cada entidad con su última fecha de revisión y generar alertas cuando una entidad de alto riesgo lleva demasiado tiempo sin auditarse.
Checklist para diseñar tu universo de auditoría
- ¿El universo se ha construido cruzando varias fuentes, no solo el organigrama?
- ¿El nivel de granularidad permite priorizar con precisión sin generar una carga excesiva de mantenimiento?
- ¿Cada entidad tiene un propietario de riesgo identificado?
- ¿Existe un modelo de priorización basado en varios factores de riesgo, no solo en la intuición del equipo?
- ¿Las entidades de mayor riesgo tienen un ciclo de revisión más frecuente que las de menor riesgo?
- ¿Existe un mecanismo de actualización del universo cuando se producen cambios organizativos relevantes?
Conclusión
Diseñar bien el universo de auditoría no resuelve por sí solo la limitación de recursos que enfrenta casi cualquier departamento, pero sí garantiza que las decisiones sobre dónde invertir ese tiempo limitado se tomen con criterio y no por inercia o por lo que resulta más cómodo de auditar. Un universo completo, priorizado y actualizado es, en última instancia, la diferencia entre un plan de auditoría defendible y uno construido a ciegas.