5 MIN LECTURA
5 de noviembre de 2026 · Tecnología y futuro
Esta noticia se basa en la presentación pública del IIA. El documento completo está reservado a miembros y no se ha consultado. El ejemplo y las propuestas prácticas son elaboración propia de Soy Auditor, no un resumen de los procedimientos de la guía.
The Institute of Internal Auditors (IIA) publicó el 3 de noviembre «Auditing AI in Banking Organizations», un recurso dirigido a responsables y profesionales de auditoría interna bancaria. Según su presentación oficial, se ha desarrollado con aportaciones de doce organizaciones bancarias internacionales y aborda también la IA generativa y la IA basada en agentes.
La ficha organiza su alcance alrededor del gobierno, la evaluación de riesgos, la gestión de modelos, la tecnología y ciberseguridad, la resiliencia y los proveedores, y las competencias profesionales. Su utilidad anunciada es ayudar a examinar los programas de IA atendiendo al riesgo y a las características de cada organización. Presentación oficial del IIA.
La noticia abre una conversación práctica: cuando un proceso incorpora inteligencia artificial, ¿qué deberíamos poder comprobar sobre su funcionamiento? A continuación desarrollamos esa pregunta mediante un ejemplo propio.
Empezar por la decisión que toma el sistema
Ejemplo hipotético de Soy Auditor. Una entidad bancaria utiliza una herramienta de IA para leer documentación de operaciones de crédito y preparar una lista de expedientes que requieren revisión. Un empleado examina las alertas antes de dar por terminada la tarea.
La descripción parece incorporar supervisión humana. Sin embargo, deja una pregunta sin resolver: ¿qué ocurre con los expedientes que el sistema no señala?
Para plantear el trabajo, proponemos identificar primero el objetivo: comprobar si el proceso permite detectar la documentación incompleta que debería remitirse a revisión. Después habría que conocer qué documentos recibe la herramienta, cómo se decide qué revisar y qué facultades tiene la persona que interviene. Una revisión humana puede corregir una alerta equivocada y, al mismo tiempo, no detectar una omisión que nunca llega a su pantalla.
Diseñar pruebas que puedan encontrar el fallo
En este supuesto, limitarse a examinar expedientes señalados permitiría estudiar si las alertas están justificadas. No permitiría conocer por sí solo si existen incidencias entre los expedientes que quedaron fuera de la lista.
Una posible respuesta sería seleccionar también expedientes no señalados y contrastar su documentación con los criterios definidos para la revisión. La selección, su extensión y las conclusiones dependerían del objetivo, la población y el riesgo; el ejemplo no propone un tamaño de muestra universal.
También convendría distinguir dos problemas. Si faltan documentos en la entrada, la herramienta puede ofrecer una respuesta coherente sobre información incompleta. Si recibe todos los documentos, puede interpretarlos de forma incorrecta. Las pruebas deberían permitir diferenciar ambos supuestos, porque sus causas y correcciones serían distintas.
Una demostración no acredita todo el periodo
Supongamos ahora que el proveedor actualizó la herramienta a mitad del ejercicio. Las pruebas realizadas sobre la versión anterior no describen necesariamente el comportamiento de la nueva.
En nuestro ejemplo, sería útil reconstruir qué versión se utilizó, durante qué periodo, qué pruebas se hicieron antes del cambio y qué incidencias se registraron después. Si esa información no se conserva, habría que reflejar la limitación y considerar cómo afecta al trabajo previsto.
El objetivo de esta propuesta es obtener una conclusión delimitada. Comprobar que una versión funciona en unos expedientes seleccionados no demuestra que todas las versiones hayan funcionado correctamente con cualquier documentación.
Qué conservar para que la conclusión sea revisable
Como orientación práctica propia, un registro del trabajo podría recoger:
- El objetivo del procedimiento y el uso concreto de la herramienta examinado.
- La población y el periodo cubiertos, con la procedencia de los datos utilizados.
- Los criterios empleados para valorar las respuestas y las excepciones encontradas.
- Las versiones y cambios relevantes, junto con las pruebas efectivamente realizadas.
- La conclusión, sus límites y las cuestiones que necesitan seguimiento.
Una incidencia también puede revelar una debilidad del proceso humano: instrucciones ambiguas, revisores sin tiempo suficiente o una aprobación que no deja constancia de lo comprobado. El análisis del ejemplo debe abarcar la interacción entre personas, datos y herramienta.
Qué puede aprovechar un auditor de cuentas
El recurso del IIA tiene un destinatario específico: la auditoría interna bancaria. No debe presentarse como una nueva NIA-ES ni como una obligación de revisar todos los sistemas de IA de cualquier cliente.
Para conectar esta reflexión con una auditoría de estados financieros, la pregunta es si el proceso afecta a información relevante para las cuentas o a controles pertinentes para el encargo. La NIA-ES 315 (Revisada 2019), apartado 25, exige conocer el sistema de información y comunicación relevante para la preparación de los estados financieros, incluidos sus flujos y recursos tecnológicos. Texto del ICAC.
Además, al utilizar información generada por la entidad, la NIA-ES 500, apartado 9, exige evaluar su fiabilidad para los fines del auditor, considerando, según las circunstancias, su exactitud, integridad, precisión y detalle. Aplicado a nuestro ejemplo, una lista de alertas no se convierte automáticamente en una base adecuada para un procedimiento por haber sido producida por una herramienta avanzada. Texto del ICAC.
Una conversación que continúa
El decálogo de IA de Soy Auditor plantea principios para su uso responsable. Este ejemplo da un paso hacia su aplicación: definir qué queremos comprobar, buscar evidencia capaz de revelar errores y explicar hasta dónde alcanza lo concluido.
Para profundizar en la perspectiva de auditoría financiera puede consultarse también nuestra pieza sobre IA en las empresas auditadas. El recurso del IIA añade una referencia sectorial para quienes trabajan en auditoría interna bancaria; su documento completo requiere acceso de miembro.
Revisión de fuentes: 5 de noviembre de 2026. El anuncio es información profesional, no una modificación normativa española. Los ejemplos y recomendaciones de esta pieza son propios y no sustituyen la planificación de un encargo concreto.
Fotografía: Christian Ladewig en Unsplash, utilizada bajo licencia Unsplash.
