Auditoría en grandes empresas: el riesgo que nadie ve cuando los incentivos miran solo la venta

Al cruzar datos de una operación en una empresa de alcance nacional, vimos algo que no calzaba: una desviación importante de insumos. Quisimos mostrársela a la persona que lideraba esa operación. No logramos concretar esa reunión.

Cuando por fin alguien de nuestro equipo pudo conversar con esa persona por teléfono, la explicación fue simple. Su rol y sus incentivos estaban puestos en la venta, y lo que no se midiera en venta no era su prioridad.

Esta no es una historia sobre una persona. Es una historia sobre cómo está diseñado el sistema. Y plantea la pregunta que ordena este artículo:

¿Hasta cuándo vamos a medir y premiar a los líderes solo con resultados económicos de corto plazo, y a esperar que, además, cuiden el largo plazo y tengan una visión más global de lo que pasa en las demás áreas de la operación?

Lo que muestra el caso: se cuida lo que se mide

En una organización grande, nadie decide mal por maldad. Decide según lo que se le pide y lo que se le premia. Si el indicador que define el bono es la venta del mes, el insumo que se pierde, el registro que no se hace o el hallazgo que queda abierto compiten contra algo más urgente y mejor medido.

El marco de referencia profesional de la auditoría lo reconoce de dos maneras.

La primera está en las Normas Globales de Auditoría Interna del IIA (The Institute of Internal Auditors, 2024). Entre los procesos de gobierno que la auditoría debe entender para planificar su trabajo, la norma 9.1 incluye cómo la organización gestiona el desempeño y la rendición de cuentas. Es decir, no se audita solo el proceso: también se mira el sistema que empuja a las personas a cuidarlo o a descuidarlo.

La segunda está en COSO (Committee of Sponsoring Organizations of the Treadway Commission), uno de los marcos de control interno más difundidos. Su versión de 2013 tiene 17 principios y dedica uno a la rendición de cuentas. Entre los puntos que propone considerar están los incentivos y recompensas, su relevancia en el tiempo y las presiones excesivas, que pueden llevar a las personas a saltarse procesos por temor a no cumplir metas.

Hay además un espejo interesante. Las Normas del IIA advierten que los planes de remuneración de los propios auditores pueden comprometer su objetividad. Dan como ejemplos medir su desempeño por el número de hallazgos o por los ahorros de costos que logran. Si el diseño de los incentivos importa para quien audita, importa igual para quien opera.

Qué dicen los especialistas: tres ideas para ordenar la conversación

1. La auditoría busca proteger valor, no solo detectar errores. Las Normas Globales del IIA, parte del Marco Internacional para la Práctica Profesional (MIPP, o IPPF en inglés), definen su propósito como fortalecer la capacidad de la organización para crear, proteger y sostener valor, con aseguramiento independiente, objetivo y basado en riesgos. Se organizan en cinco dominios y 15 principios.

2. Cada línea tiene un rol. El Modelo de las Tres Líneas del IIA (actualizado en 2020, antes llamado «Tres Líneas de Defensa») distingue tres tipos de roles:

• La primera línea está más cerca de la entrega de los productos o servicios y gestiona los riesgos de su operación.
• La segunda línea apoya y supervisa la gestión de riesgos, como en áreas de riesgo y cumplimiento.
• La tercera línea, auditoría interna, entrega aseguramiento independiente.

Lo importante para este tema es que el riesgo de una operación es de quien la dirige. La auditoría informa; no es dueña del riesgo. De hecho, la norma 11.5 de las Normas Globales es explícita: si la dirección acepta un riesgo por sobre la tolerancia de la organización, el asunto se conversa con la alta dirección y, si no se resuelve, se eleva al consejo. Resolverlo no es tarea de auditoría.

3. El riesgo se gestiona con criterios comunes. La norma ISO 31000:2018 entrega directrices para identificar, analizar, evaluar, tratar y comunicar riesgos en toda la organización. Y la ISO 19011:2018 ofrece directrices para auditar sistemas de gestión, como los basados en ISO 9001 o ISO 14001. Ninguna es certificable por sí misma, pero son el lenguaje común con el que conversan calidad, riesgo y auditoría.

El otro lado de la mesa: por qué operaciones ve a auditoría como un freno

Quien conversa con las dos partes escucha dos relatos que parecen contradictorios y, a la vez, son ciertos.

Desde operaciones y mantenimiento, la auditoría llega a frenar. Pide mucha documentación y registros de evidencia, y producirlos es trabajo adicional para equipos que ya tienen la operación encima. Cada solicitud resta tiempo a lo que realmente se les mide.

Desde auditoría y compliance, el problema es el opuesto: sin evidencia ordenada y a tiempo, no se puede dar aseguramiento. Y las Normas del IIA son exigentes en eso. Piden información relevante, fiable y suficiente, y documentación que permita a otra persona repetir el trabajo y llegar a las mismas conclusiones.

Las dos áreas tienen razón. El conflicto no está en las personas, sino en que la evidencia se produce dos veces: una para operar y otra para ser auditado.

Del muestreo a la visibilidad diaria: un dato, varios usos

La práctica que más valor ha generado con nuestros clientes consiste en romper esa duplicación. El dato que operaciones y mantenimiento registran para gestionar su día a día es el mismo que alimenta a otras áreas, entre ellas auditoría y riesgo.

El cambio de modelo se ve así:

• Antes: el auditor visita, toma una muestra, pide documentos y revisa un momento puntual de la operación.
• Ahora: auditoría y riesgo reciben información relevante de la operación todos los días, y pueden dar recomendaciones sin interrumpir a quienes operan.

Para que funcione hay tres condiciones:

1. Registrar una vez. Sin planillas paralelas, sin convertir formatos, sin rearmar documentos para cada revisión, y con sistemas simples que no generen fricción en la operación.
2. Parametrizar y sistematizar el proceso, para que cada área mire el mismo dato con sus propios indicadores. Un solo procedimiento, que no dependa del personal de turno.
3. Mantener la trazabilidad: quién registró, cuándo, con qué evidencia y qué pasó después. Por eso es tan importante sumar al personal interno y también al externo: si se pierde la trazabilidad, el dato no sirve. Se dice que «el Excel aguanta todo», y justamente ahí está el problema: recibe cualquier valor, de cualquier persona, y rara vez deja claro quién lo cambió, cuándo y por qué.

Esta idea tiene respaldo en la literatura profesional. El IIA publica una guía de tecnología (GTAG, Global Technology Audit Guide) sobre auditoría y monitoreo continuos, que distingue el monitoreo continuo, que es un proceso de la dirección, de la auditoría continua, que es de la auditoría interna, y recomienda coordinarlos. También las Normas Globales piden coordinación entre quienes dan aseguramiento, para minimizar la duplicación y detectar brechas (norma 9.5). Y mencionan las listas de comprobación y las herramientas automatizadas como mecanismos de supervisión continua (norma 12.1).

Una precisión importante: el dato compartido reemplaza la caza de documentos, no el criterio ni la independencia del auditor. Las Normas señalan que la información es más fiable cuando se obtiene de una fuente independiente o se corrobora (norma 14.1). Auditoría sigue verificando. Lo que cambia es que parte de una base diaria y no de una muestra.

El riesgo, parametrizado en el propio dato

Con varios de nuestros clientes damos un paso más: se parametriza la matriz de riesgos asociada a cada dato que se captura en terreno.

La matriz de riesgos, que valora cada riesgo por su impacto y su probabilidad, es una herramienta central en el marco del IIA. Conectarla directamente con el dato cambia dos cosas:

• Auditores y encargados de normativas ven el impacto en tiempo real. Si hoy ocurriera un accidente o llegara una fiscalización, saben qué habría que explicar y con qué respaldo.
• Quienes deciden y no son de riesgo ni de auditoría ven el riesgo que asumen. Un gerente de operaciones, un jefe de mantenimiento o un gerente comercial pueden ver con datos qué riesgo toman al elegir una opción u otra.

Esto último nos parece lo más importante. Un riesgo que solo vive en el informe de auditoría llega tarde. Un riesgo visible en el momento de decidir cambia la decisión.

Lo que hemos visto funcionar

• Revisar los indicadores con los líderes, con cifras sobre la mesa, de forma periódica. En nuestro servicio buscamos reunirnos al menos una vez al mes con los líderes de la organización para que decidan con información. Cuando esa reunión no ocurre, el dato queda esperando y pierde valor.
• Capturar la evidencia donde y cuando ocurre la actividad, con fecha, hora, responsable y respaldo, en lugar de reconstruirla después.
• Cerrar el ciclo del hallazgo: que cada brecha tenga responsable, plazo y verificación del cierre, y no solo un registro.
• Revisar patrones, no solo casos. Las Normas del IIA piden mirar los hallazgos en conjunto para detectar tendencias y causas raíz (norma 11.3).
• Estandarizar un solo criterio para todas las unidades, de modo que comparar sucursales, plantas o equipos tenga sentido.
• Capacitar a quienes registran en terreno, no solo a las jefaturas.

Un caso documentado en el área de calidad: +37% en aprobación de auditorías en 16 meses, sin aumentar el equipo, al digitalizar los protocolos y controlar los hallazgos hasta su cierre.

Cada operación parte de una línea base distinta, por lo que no es una promesa, pero muestra lo que pasa cuando la evidencia deja de ser un trámite y pasa a ser parte del proceso.

Lo que recomendamos sobre los incentivos

Esta parte es nuestra mirada, no una exigencia normativa. Después de lo que hemos visto:

1. Incluir al menos un indicador de control en los objetivos de los líderes: cumplimiento de procesos, cierre de hallazgos o desviaciones detectadas y resueltas.
2. Mirar el horizonte de los incentivos. COSO invita a considerar tanto el corto como el largo plazo. Un bono que solo premia el mes cierra los ojos a lo que cuesta el año.
3. Hacer visible el costo de lo que no se mide. Cuando una desviación tiene un valor en pesos y un responsable a la vista, deja de competir en desventaja contra la venta.
4. Separar roles sin separar el dato. Operación dueña del riesgo, riesgo y compliance supervisando, auditoría dando aseguramiento independiente, todos mirando la misma información.

Por dónde partir

1. Elija un proceso donde hoy se produzca evidencia dos veces (una para operar, otra para auditar).
2. Defina el criterio: qué significa «cumple» en cada punto, antes de medir.
3. Capture una sola vez, desde terreno, con fecha, hora, responsable y respaldo.
4. Asocie cada dato a su riesgo, con una matriz de impacto y probabilidad que todos entiendan.
5. Fije una revisión periódica con los líderes, con cifras y un responsable por cada brecha.

Si hoy en su organización la auditoría y la operación se ven como adversarias, probablemente no haya un problema de personas. Hay un problema de diseño: de incentivos, y de datos que se producen dos veces.

¿Quiere ver cómo se vería este enfoque en uno de sus procesos? Una conversación de diagnóstico permite revisar qué se puede medir hoy, qué se puede controlar y qué indicadores tendría disponibles en las primeras semanas.