Por José M. Terán P.

El valor de la auditoría interna no está en detectar una desviación de control, sino en la decisión de negocio que esa desviación logra provocar. Un hallazgo técnicamente correcto que se archiva sin generar una decisión fracasó en su propósito.

La distancia entre ambos textos es la distancia entre un informe que se archiva y un riesgo que se gestiona. No se cierra con hallazgos más largos: el lenguaje técnico no responde la pregunta que el negocio realmente formula, «¿qué tengo que hacer yo ahora?».

Seis eslabones, no uno

La mayoría de los informes se detiene en el hallazgo o en un riesgo mencionado en abstracto. El marco propone recorrer la cadena completa con siete herramientas: la doble lente (técnica y de decisión), la severidad demostrada con cinco variables, la traducción a cinco dimensiones del negocio, la causa raíz en cinco fuentes, una tarjeta de decisión de seis campos, tres niveles de conversación —actuar ahora, decidir con fecha, monitorear— y el cierre por efectividad.

Acción completada no es riesgo mitigado.

En el caso que recorre el análisis —un modelo de monitoreo transaccional con reglas estáticas—, el síntoma pedía más analistas; la causa raíz apuntaba a la tecnología. Esa diferencia cambia por completo la decisión que se lleva al comité.

La métrica de valor de la auditoría no es cuántos hallazgos emite, sino cuántas decisiones de negocio cambiaron el perfil de riesgo de la organización.

Este análisis desarrolla mi ponencia en el VIII Congreso Iberoamericano de Auditoría Interna y Gestión de Riesgos. Incluye la tarjeta de decisión, el caso completo y siete verificaciones antes de emitir un hallazgo.