El Imperativo de la Modernización Tecnológica
La mayoría de los aplicativos de gestión de auditoría actuales operan como repositorios estáticos de documentación o gestores de flujo de trabajo lineales, diseñados bajo paradigmas anteriores a las NOGAI 2024. Las nuevas normas, a través del Dominio III (Gobierno) y el Dominio V (Desempeño), introducen requisitos que demandan que el software evolucione de ser un sistema de registro a un sistema de inteligencia y aseguramiento.
Este artículo examina el ciclo de vida completo de una auditoría bajo los marcos de NOGAI 2024 y COSO 2013, identificando las brechas funcionales en las herramientas actuales y cómo la tecnología puede transformar cada fase del proceso.
Fase 1: Planificación del Trabajo Individual
La planificación de cada trabajo de auditoría (engagement) es donde la macro-planificación anual se traduce en acción concreta. Las NOGAI 2024, en las Normas 13.x, exigen que esta fase establezca el cimiento de la calidad.
El "Hilo Dorado" de Trazabilidad
En las instituciones con madurez tecnológica, el Plan Anual no es un documento sino una tabla de base de datos interconectada al Universo de Auditoría. Al activarse un trabajo, el sistema autogenera el espacio de trabajo heredando todos los metadatos: nivel de riesgo inherente, normativas asociadas, objetivo estratégico amenazado y la matriz de riesgos y controles específica con el historial completo de hallazgos pasados.
El "Golden Thread" permite a un miembro del Comité de Auditoría hacer clic en un riesgo del Plan Anual, perforar hacia la auditoría específica, navegar hasta la prueba y leer la evidencia exacta que el auditor recolectó.
Cada trabajo debe definir con precisión: el alcance y las áreas cubiertas, las políticas y regulaciones aplicables, los sistemas de información evaluados, y los objetivos específicos vinculados a riesgos del universo auditable.
Fase 2: Ejecución — Pruebas, Evidencia y Hallazgos
La fase de ejecución es el núcleo del valor de la auditoría. Las NOGAI 2024 (Normas 14.x) estructuran el pensamiento crítico del auditor utilizando el marco de las "5 Cs":
- Criterio: La norma, política o procedimiento que define el estado esperado.
- Condición: El estado actual observado durante la prueba.
- Causa: La razón subyacente de la desviación (causa raíz, no síntoma).
- Consecuencia (Efecto): El impacto real o potencial sobre la organización.
- Corrección (Recomendación): La acción propuesta para remediar la causa raíz.
Pruebas con Estructura COSO
Cada prueba debe vincularse a un riesgo específico, un control evaluado, el componente COSO correspondiente y el tipo de control (preventivo, detectivo, correctivo). Esta estructura permite agregar datos estadísticamente para identificar patrones sistémicos — si múltiples auditorías generan hallazgos vinculados al Principio 11 de COSO (Controles Generales de Tecnología), el dashboard debe señalarlo automáticamente.
Sistema de Aprobación por Estados
La supervisión debe ser activa a lo largo del trabajo, no solo al final. La Norma 12.3 exige que la supervisión incluya la revisión de la relevancia, fiabilidad y suficiencia de la evidencia. Un sistema de estados (borrador → en revisión → aprobado → rechazado con comentarios) garantiza esta supervisión continua y bloquea modificaciones una vez aprobado el hallazgo.
Fase 3: Seguimiento — Planes de Acción y Prórrogas
La Norma 15.2 de las NOGAI establece que la confirmación de la implementación de los planes de acción debe seguir un enfoque basado en riesgos. El seguimiento no es un ejercicio administrativo — es la verificación de que la causa raíz fue efectivamente remediada.
Comunicación Bidireccional
Los planes de acción modernos requieren un portal donde el auditado pueda cargar evidencia, actualizar estados y comunicarse con el equipo de auditoría. Esta interacción mejora la eficacia de la comunicación (Principio 11 de NOGAI) y agiliza el proceso de cierre.
Control de Prórrogas
Cada prórroga debe documentar la justificación y pasar por un flujo de aprobación. Un dashboard debe clasificar los planes en: vencidos (requieren escalamiento), al día, y próximos a vencer (alerta temprana). La calificación final de la auditoría — Satisfactorio, Requiere Mejora o Insatisfactorio — depende del cumplimiento de estos planes.
Fase 4: Cierre e Informes
La generación de informes profesionales es el producto visible de la auditoría ante el Comité y la Alta Dirección. La Norma 11.3 exige que el DAI identifique patrones, tendencias temáticas sistémicas y prácticas a través de múltiples trabajos para reportarlos al Consejo.
Los informes deben incluir: resumen ejecutivo con calificación, detalle de hallazgos con las 5 Cs, planes de acción con responsables y fechas, análisis GRC con riesgos cuantificados, y el historial de la auditoría con todas las decisiones de supervisión documentadas.
Las Brechas Críticas en los Aplicativos Actuales
Al contrastar estos requisitos con las funcionalidades estándar, emergen cinco brechas críticas:
- Alineación estratégica: No existe trazabilidad entre objetivos estratégicos y el plan de auditoría.
- Evaluación dinámica de riesgos: La evaluación es estática y anual, sin capacidad de actualización en tiempo real.
- Aseguramiento combinado: Los aplicativos están aislados de las herramientas de la segunda línea de defensa.
- Supervisión continua: La supervisión se documenta al final, no durante la ejecución.
- Análisis de causa raíz: Campos de texto libre que producen causas superficiales sin herramientas metodológicas integradas.
Cómo Harpy Cierra Estas Brechas
Harpy fue diseñado como un sistema de inteligencia y aseguramiento, no como un repositorio estático:
- Herencia de metadatos: El "hilo dorado" desde el plan anual hasta la prueba de campo, con generación automática del espacio de trabajo.
- Pruebas estructuradas COSO: Cada prueba vinculada a riesgo, control, componente COSO y tipo de control, con agregación automática para dashboards.
- Flujo de aprobación por estados: Borrador → revisión → aprobado/rechazado, con bloqueo de modificaciones y registro de comentarios de supervisión.
- Portal de usuario de negocio: Chat bidireccional, carga de evidencia y actualización de estados por parte del auditado.
- Control de prórrogas: Justificación obligatoria, flujo de aprobación y dashboard de vencimientos con semáforos.
- Informes Word institucionales: Generación en un clic con formato corporativo, gráficos y métricas integradas.
- Historial completo: Búsqueda y paginación sobre todas las auditorías históricas con trazabilidad total.
Referencias
- The Institute of Internal Auditors (IIA). Global Internal Audit Standards (GIAS), 2024. Dominios I-V, Normas 9.x, 11.x, 12.x, 13.x, 14.x, 15.x.
- COSO. Internal Control — Integrated Framework, 2013. Cinco componentes y 17 principios.
- ISO. ISO 9001:2015 — Quality management systems. Cláusula 10.2.
- Superintendencia de Bancos de Panamá (SBP). Acuerdo 05-2011 sobre Gobierno Corporativo.
- Basel Committee on Banking Supervision. The internal audit function in banks, 2012.
¿Quiere ver el ciclo completo en acción?
Agende una demo y descubra cómo Harpy gestiona cada fase de la auditoría.
Solicitar Demo