La inteligencia artificial se está convirtiendo en parte del trabajo de auditoría, pero no siempre de la manera dramática que sugieren los titulares. En muchas firmas, la IA aparece primero en la investigación, el manejo de documentos, el análisis de datos, la redacción o el apoyo administrativo. Con el tiempo, la misma tecnología puede involucrarse más en la planificación, la evaluación de riesgos y los procedimientos de auditoría.
La pregunta útil para los equipos de auditoría no es si la IA tiene cabida en la auditoría. Es dónde la IA mejora genuinamente el trabajo y dónde genera riesgos que requieren controles más sólidos.
Dónde puede ayudar la IA a los equipos de auditoría
1. Trabajar con grandes volúmenes de información
Las auditorías implican registros financieros, contratos, asientos contables, documentos de respaldo, políticas y otra información que puede ser difícil de revisar manualmente a gran escala.
Las herramientas automatizadas pueden ayudar a los auditores a organizar grandes conjuntos de datos, identificar patrones, extraer información y señalar elementos inusuales para una investigación más profunda. El International Auditing and Assurance Standards Board, o IAASB, reconoce la inteligencia artificial, el análisis de datos y otras herramientas y técnicas automatizadas como tecnologías que pueden utilizarse en el trabajo de auditoría.
Esto puede ayudar al auditor a enfocar la atención. No significa que cada elemento señalado por el sistema sea un error, ni que los elementos no señalados sean automáticamente seguros.
2. Apoyar la planificación y la identificación de riesgos
La IA también puede asistir en las etapas iniciales del trabajo de auditoría. Una herramienta podría ayudar a resumir la documentación del año anterior, comparar información financiera, organizar factores de riesgo o identificar transacciones que ameriten un análisis más detallado.
El Public Company Accounting Oversight Board, o PCAOB, informó en 2024 que las firmas de auditoría que contactó utilizaban IA generativa principalmente para actividades administrativas y de investigación, mientras que muchas también exploraban su potencial en la planificación y ejecución de auditorías.
Usada adecuadamente, la IA puede ayudar a un equipo de trabajo a plantear preguntas más rápido. El auditor aún debe decidir qué riesgos importan y qué procedimientos son apropiados.
3. Reducir el trabajo repetitivo
No todo uso valioso de la IA necesita implicar un juicio de auditoría.
Los equipos pueden utilizar herramientas aprobadas para resumir material no sensible, redactar explicaciones internas, clasificar documentos, preparar notas preliminares o buscar en la guía de la firma. Eliminar parte del trabajo repetitivo puede dar a los profesionales más tiempo para las áreas que requieren juicio, discusión con el cliente e investigación.
Este suele ser un punto de partida sensato porque una persona puede revisar el resultado antes de que afecte la auditoría.
Dónde genera riesgo la IA
1. Dependencia excesiva de la tecnología
Uno de los riesgos más claros es asumir que un resultado generado por la tecnología es correcto porque el sistema parece sofisticado.
El IAASB ha publicado específicamente orientación sobre el riesgo de dependencia excesiva de la tecnología. Los auditores aún necesitan juicio profesional y escepticismo profesional al evaluar la información producida por herramientas automatizadas.
Esto se vuelve especialmente importante con la IA generativa, que puede producir un lenguaje seguro incluso cuando la respuesta subyacente es incompleta o incorrecta.
El International Ethics Standards Board for Accountants, o IESBA, también ha destacado el sesgo de automatización, la tendencia a favorecer los resultados generados por la tecnología incluso cuando otra información los pone en duda. Su orientación sobre tecnología enfatiza la comprensión de las limitaciones, los supuestos, la calidad de los datos y el nivel adecuado de dependencia de los resultados tecnológicos.
2. Evidencia de auditoría débil o poco fiable
Los resultados de la IA no constituyen automáticamente evidencia de auditoría.
Si una herramienta identifica una excepción, crea un análisis o resume información, el auditor aún debe evaluar si la información subyacente es relevante y fiable y si el procedimiento logra su objetivo de auditoría.
Para las auditorías de empresas públicas en Estados Unidos, las enmiendas del PCAOB que abordan el análisis asistido por tecnología entran en vigor para los ejercicios fiscales que comiencen a partir del 15 de diciembre de 2025. Las enmiendas buscan reducir el riesgo de que los auditores utilicen procedimientos asistidos por tecnología sin obtener evidencia de auditoría suficiente y apropiada.
Un resultado de IA de apariencia precisa aún puede basarse en datos de origen débiles o en un procedimiento inadecuado.
3. Confidencialidad del cliente y seguridad de los datos
Los equipos de auditoría manejan habitualmente información financiera, operativa, de empleados y de clientes confidencial. Cargar esa información en una herramienta de IA puede generar preocupaciones de privacidad y seguridad si el producto, la cuenta o el flujo de trabajo no han sido aprobados.
La consulta del PCAOB sobre IA generativa señaló que las firmas reconocieron la necesidad de una supervisión sólida para abordar riesgos que incluyen la privacidad y la seguridad de los datos.
Antes de usar IA con información de un trabajo, los equipos deben comprender qué datos recibe la herramienta, si se conservan, quién puede acceder a ellos, si se utilizan para mejorar el modelo y qué terceros pueden procesarlos.
Una función conveniente de IA no debe eludir los requisitos normales de confidencialidad y revisión de proveedores de la firma.
4. Sistemas opacos y explicaciones difíciles
Algunas herramientas de IA pueden producir resultados sin facilitar que un auditor comprenda cómo se llegó a ese resultado.
Eso genera un problema cuando el equipo de trabajo necesita cuestionar el resultado, documentar su uso o explicar por qué una conclusión fue razonable.
El trabajo actual del IAASB sobre tecnología considera específicamente las tecnologías complejas y opacas, como las herramientas habilitadas por IA, dentro de la gestión de la calidad de la auditoría. Su trabajo examina cómo interactúa la tecnología emergente con las normas de gestión de la calidad y las responsabilidades del trabajo.
Por lo tanto, las firmas de auditoría deben pensar más allá de si una herramienta funciona durante una demostración. Necesitan comprender cómo encaja su uso en el sistema de gestión de la calidad de la firma.
Una forma práctica de introducir la IA en una auditoría
Comience con un caso de uso definido en lugar de dar a un equipo permiso general para usar IA.
Para cada uso propuesto, identifique la tarea, la información que recibe la herramienta, el resultado esperado, quién lo revisa, qué podría salir mal y qué evidencia debe conservarse. Decida si el resultado es apoyo administrativo o si afecta un procedimiento o conclusión de auditoría.
Los usos de mayor riesgo deben recibir más pruebas, documentación, supervisión y revisión técnica.
Los equipos de auditoría también deben saber cuándo no usar la IA. Si la herramienta no puede proteger los datos involucrados, su resultado no puede verificarse adecuadamente, o el equipo no comprende sus limitaciones lo suficientemente bien como para confiar en ella, un procedimiento manual o más establecido puede ser más apropiado.
La IA puede hacer que el trabajo de auditoría sea más rápido y analítico, pero la eficiencia no es lo mismo que la calidad de la auditoría. Los casos de uso más sólidos son aquellos en los que la tecnología ayuda a los auditores a procesar información o a enfocar la atención, mientras que el escepticismo profesional, la evaluación de la evidencia, la confidencialidad y el juicio final permanecen en manos del equipo de trabajo.
El riesgo de confidencialidad en el trabajo de auditoría tiene en su núcleo un problema de tiempo. Una vez que un auditor pega los asientos contables, los términos contractuales o los registros de empleados de un cliente en una herramienta de IA y envía la instrucción, esa información ya ha salido del control de la firma, y ninguna política del proveedor ni revisión posterior puede recuperarla. Este es el principio sobre el que se construye Sanitized AI: el control debe actuar antes de que se envíe la instrucción, capturando y redactando la información confidencial del trabajo para que una función conveniente de IA nunca eluda silenciosamente los requisitos de confidencialidad y revisión de proveedores de la firma.
Este trimestre, tome un caso de uso de IA aprobado que involucre información de un trabajo y mapee exactamente qué datos recibe la herramienta antes de que se envíe la instrucción, luego decida qué nunca debería llegar a ella en primer lugar. Si desea ver cómo funciona ese control previo al envío frente a flujos de trabajo de auditoría reales, solicite una demostración.