← Blog Antes de comprar
IA para auditores: usos prácticos, límites y controles
La IA para auditores sirve para acelerar análisis de datos, revisión documental, planeación, papeles de trabajo e informes. La decisión difícil es dónde usarla, cómo medir si responde bien y cómo documentar la revisión humana.
En resumen
- La IA encaja mejor en cinco usos repetibles: clasificación de documentos, lectura de soportes, detección de anomalías, borradores de hallazgos y búsqueda en normas internas.
- Un resultado de IA no es evidencia suficiente por sí solo; el auditor debe revisar la fuente, el procedimiento y la conclusión.
- Antes de usar IA en un encargo real necesitas un conjunto de evaluación con casos correctos, casos límite y errores esperados.
- Revisar toda una población con IA no elimina materialidad ni juicio profesional; cambia la forma de encontrar excepciones, no la responsabilidad del auditor.
¿Qué puede hacer la IA para auditores sin sustituir tu juicio?
La IA ayuda cuando la tarea tiene insumos claros, criterios repetibles y una salida que un auditor puede revisar. No debe tomar la opinión de auditoría, decidir materialidad ni cerrar hallazgos sin supervisión.
En auditoría, la IA sirve para leer documentos largos, extraer datos de soportes, comparar políticas contra evidencia y agrupar transacciones parecidas. También puede buscar en manuales, contratos, actas y papeles de trabajo autorizados para ese uso.
El límite está en la responsabilidad. El sistema puede sugerir que una factura no coincide con una orden de compra. El auditor decide si eso afecta una aserción, si requiere otro procedimiento y cómo documenta la conclusión.
La diferencia entre una IA genérica y un sistema de IA para auditoría está en el control. Un sistema útil registra documentos consultados, versión del modelo, instrucciones, respuesta y revisión humana. Si responde sobre documentos internos, puede apoyarse en un sistema RAG para citar fuentes controladas.
El IIA publicó el 13 de septiembre de 2024 una actualización de su marco de auditoría de IA. El documento guía a auditores internos en gobernanza, gestión y auditoría de inteligencia artificial en el Artificial Intelligence Auditing Framework del IIA. Ese enfoque también aplica cuando una firma usa IA dentro de su trabajo.
¿Dónde ayuda más la IA en auditoría?
No todas las partes del ciclo de auditoría tienen el mismo riesgo. Conviene empezar por tareas verificables que no cierren conclusiones por sí solas.
| Parte del ciclo | Uso práctico | Control necesario |
|---|---|---|
| Planeación | Resumir actas, políticas y cambios del negocio para preparar riesgos preliminares. | El auditor valida omisiones y conserva las fuentes revisadas. |
| Revisión documental | Extraer fechas, montos, firmantes o vencimientos de soportes. | Muestreo de extracción y comparación contra el documento original. |
| Pruebas de detalle | Identificar transacciones inusuales, duplicados o cambios fuera de patrón. | Reglas documentadas y revisión de excepciones. |
| Papeles de trabajo | Preparar borradores de narrativas, matrices y referencias a evidencia. | Revisión humana antes de guardar el soporte. |
| Informes | Redactar borradores de hallazgos, causas y recomendaciones. | El responsable ajusta alcance, soporte y conclusión. |
La PCAOB informó el 22 de julio de 2024 que el uso de GenAI en auditorías era limitado, pero evolucionaba rápido. En las firmas consultadas se enfocaba en actividades administrativas e investigación, con potencial en planeación y ejecución en las observaciones publicadas por su staff.
¿Cómo validas una IA para auditores antes de usarla en un encargo real?
La validación no se resuelve con probar varios prompts. Necesitas medir respuestas contra casos conocidos y decidir qué errores son aceptables para esa tarea.
- Define la tarea exacta. No valides “una IA para auditoría” en abstracto. Valida una tarea concreta: clasificar contratos, extraer datos de facturas, resumir actas o detectar asientos inusuales. Mientras más clara sea la tarea, más fácil es medirla.
- Arma un conjunto de evaluación. Incluye casos normales, casos difíciles y ejemplos donde la respuesta correcta sea “no hay información suficiente”. En Quarl usamos este enfoque para comparar respuestas antes y después de ajustar un sistema; puedes ver el método en cómo medimos si un asistente de IA responde bien.
- Mide errores que afectan conclusiones. No basta contar respuestas correctas. Separa errores menores de errores peligrosos: inventar una fuente, omitir una excepción, extraer un monto equivocado o clasificar mal un riesgo.
- Prueba trazabilidad. Cada respuesta debe mostrar de dónde salió. Si el sistema resume un contrato, debe apuntar al contrato y a la sección usada. Si no cita fuente, trata la respuesta como borrador.
- Decide si pasa a producción. Antes de producción, documenta si la tarea puede usarse, con qué límites, por qué roles y bajo qué revisión. El NIST AI RMF Core organiza la gestión de riesgos de IA en cuatro funciones: gobernar, mapear, medir y gestionar en el AI RMF Core.
¿Los resultados de IA pueden ser evidencia de auditoría?
Pueden apoyar evidencia, pero no se vuelven evidencia suficiente por venir de una herramienta. La pregunta es si el procedimiento cumple su objetivo y si la información usada es relevante y confiable.
Un resumen de IA puede orientar al auditor. El soporte sigue siendo el documento original, el registro contable, la confirmación o la fuente autorizada. Si el sistema encontró una excepción, el papel de trabajo debe mostrar qué revisó y qué hizo el auditor con esa salida.
Ejemplo ilustrativo, no es un cliente: una firma revisa cuentas por pagar de una empresa con operación en Colombia. La entrada son facturas de proveedores, órdenes de compra, entradas de almacén y el auxiliar contable. El sistema extrae NIT, número de factura, fecha, valor y proveedor. Luego marca diferencias de valor, facturas duplicadas y soportes incompletos. El resultado es una lista de excepciones con enlaces a soportes. El equipo revisa, descarta, amplía o documenta hallazgos.
Esto también aplica cuando se analiza toda una población. La IAASB explica que un auditor puede diseñar y ejecutar procedimientos con herramientas automatizadas. También aclara que, al aplicar una herramienta sobre una población completa, la materialidad de desempeño sigue aplicando en su FAQ sobre tecnología, excepciones y materialidad. Revisar más datos no elimina el criterio profesional.
Para que el resultado sea auditable, el sistema debe dejar rastro. En la práctica, guarda versión del modelo, instrucciones, documentos consultados, fecha, usuario, salida y decisión humana. Si se integra con ERP, gestor documental o software de auditoría, esa trazabilidad debe viajar por la integración. Por eso muchas implementaciones necesitan buenas integraciones y APIs.
¿Qué opción te conviene: herramienta existente, automatización o desarrollo a la medida?
La mejor opción depende de datos, riesgo, trazabilidad y frecuencia de uso. No todo requiere construir desde cero.
| Opción | Cuándo conviene | Riesgos a revisar |
|---|---|---|
| Funciones de tu software de auditoría | Cuando la tarea ya está dentro del flujo normal del equipo. | Permisos, trazabilidad, residencia de datos y exportación de evidencia. |
| Plataforma de automatización | Cuando conectas correos, carpetas, hojas de cálculo o ERP. | Credenciales, cambios, errores silenciosos y supervisión de fallas. |
| Sistema RAG | Cuando necesitas responder sobre políticas, contratos o papeles controlados. | Recuperación, citas, actualización de base y respuestas sin soporte. |
| Desarrollo a la medida | Cuando hay datos sensibles, lógica propia o revisión por roles. | El costo y el plazo dependen de datos, conectores, pruebas y gobierno operativo. |
No recomendamos escoger por ranking de herramientas. En auditoría importa más probar la tarea real con tus documentos, medir errores y definir quién responde por cada salida.
Lo que hacemos
Preguntas frecuentes
¿Qué puede hacer la IA por un auditor sin sustituir su juicio profesional?
Puede leer documentos, extraer datos, detectar excepciones, preparar borradores y buscar en fuentes internas. El auditor sigue definiendo el procedimiento, evaluando la evidencia, aplicando materialidad y firmando la conclusión. La IA acelera trabajo revisable; no asume responsabilidad profesional.
¿Los resultados de una IA pueden ser evidencia de auditoría?
Un resultado de IA puede apoyar un procedimiento, pero no basta por sí solo. El auditor debe revisar la fuente original, la confiabilidad de los datos, el objetivo del procedimiento y la salida generada. En papeles de trabajo conviene guardar respuesta y revisión humana.
¿Cómo validar que una IA para auditoría responde bien antes de usarla?
Primero define una tarea específica. Luego arma un conjunto de evaluación con casos reales, casos difíciles y respuestas esperadas. Mide errores que afectan conclusiones. Antes de producción, documenta límites, usuarios autorizados, revisión humana y criterios para detener el uso.
¿La IA permite revisar toda la población de transacciones?
En algunos casos puede analizar toda una población y marcar excepciones, duplicados o patrones inusuales. Eso no elimina la materialidad ni el juicio profesional. Revisar más datos cambia la forma de seleccionar elementos, pero el auditor evalúa relevancia y suficiencia de evidencia.
¿Cuál es la diferencia entre usar IA en auditoría y auditar sistemas de IA?
Usar IA en auditoría significa apoyarse en herramientas para ejecutar procedimientos, revisar documentos o preparar análisis. Auditar sistemas de IA es evaluar gobierno, datos, controles, desempeño y monitoreo de un sistema que usa la entidad auditada. Son trabajos relacionados, con objetivos distintos.
Escrito por
Equipo de ingeniería de Quarl
Somos un equipo de ingeniería de IA en Medellín. Construimos y operamos sistemas que llegan a producción —automatizaciones, asistentes y agentes— y durante tres años operamos un asistente para dos millones de usuarios en diez países.
Conoce cómo trabajamos →¿Lo quieres aplicar en tu empresa?
En quince minutos te decimos si vale la pena, sin costo y sin venta. La propuesta llega en 48 horas.