Evidencia automática de auditoría: qué mostrar al auditor

Un auditor externo revisa la conciliación bancaria de los últimos seis meses y encuentra una diferencia sin explicar. Un regulador pide evidencia de que las excepciones de cuentas por cobrar se resuelven dentro de un plazo definido. El equipo de riesgo interno pregunta quién aprobó una nota de crédito que nunca se aplicó. En los tres casos, la respuesta que se necesita no es "lo revisamos", es mostrar cómo se revisó, con qué frecuencia y con qué criterio, en un formato que otra persona pueda reconstruir sin preguntarle a nadie.

Ese es el momento en que un hallazgo de auditoría deja de ser un problema de eficiencia y se convierte en un problema de exposición.

Un hallazgo con fecha límite es un problema de exposición, no de eficiencia

Qué es un hallazgo de auditoría con fecha límite y por qué es un problema de exposición, no de eficiencia: esa es la primera pregunta que conviene responder antes de tocar cualquier proceso.

Cuando un proceso corre bien en el día a día, es fácil pensar que automatizarlo es una mejora de productividad: ahorrar horas, reducir errores de tipeo, liberar al equipo de tareas repetitivas. Esa lectura cambia por completo cuando llega un hallazgo con fecha.

En ese momento, lo que está en juego ya no es cuánto tiempo tarda el equipo en conciliar una cuenta. Es si la empresa puede demostrar, con evidencia verificable, que el control existió y funcionó durante el período que el auditor o el regulador está revisando. Si esa evidencia vive en la cabeza de una persona y en una planilla que se actualizó de forma irregular, la empresa no tiene un problema de velocidad: tiene un vacío de control que el hallazgo acaba de dejar expuesto.

Qué evidencia exige en concreto un auditor, un regulador o el equipo de riesgo

Qué evidencia exige en concreto un auditor, un regulador o el equipo de riesgo (trazabilidad, control, respaldo) se resume en tres cosas puntuales.

Ningún auditor pide que el proceso sea más rápido. Pide tres cosas puntuales, y las tres son verificables:

1. Trazabilidad. Que se pueda reconstruir qué pasó, cuándo ocurrió y quién lo resolvió, sin depender de la memoria de una persona.
2. Control. Que exista una regla clara y documentada de qué diferencia es aceptable y cuál exige revisión, en lugar de dejarlo al criterio de quien revisa ese día.
3. Respaldo verificable. Que esa regla se haya aplicado de forma consistente durante todo el período, no solo en las semanas en que alguien se acordó de revisar.

Según explica AuditTool, un control de auditoría efectivo combina la prevención de riesgos con la optimización del proceso, no solo la revisión posterior de lo que ya ocurrió. Una planilla que se llena después de los hechos, cuando alguien tiene tiempo, cumple exactamente la parte que menos le importa al auditor.

Por qué la evidencia termina viviendo en una persona y una planilla

Por qué la evidencia de un proceso termina viviendo en una persona y una planilla tiene una causa concreta, no es casualidad.

Casi ningún proceso financiero se diseñó pensando en que, algún día, alguien externo tendría que auditarlo movimiento por movimiento. Se armó para que funcionara el día a día: una persona sabe qué cruzar, en qué orden y qué excepciones son normales. Esa persona es, en la práctica, el sistema de control, aunque nadie lo haya documentado así.

Mientras el proceso corre puertas adentro, esa forma de trabajar no falla. El problema aparece cuando alguien externo pide evidencia de los últimos seis o doce meses, y esa evidencia nunca se guardó en un formato que otra persona pueda reconstruir sin preguntarle directamente a quien la generó. En ese punto, la empresa descubre que su control real siempre fue una persona disponible, no un proceso documentado.

Cómo se genera evidencia automática sin reemplazar el ERP o los sistemas actuales

Cómo se genera evidencia automática de un proceso sin reemplazar el ERP o los sistemas actuales es más simple de lo que parece cuando ya se mapeó el proceso.

La evidencia automática no reemplaza el ERP, el banco ni el sistema de cuentas por pagar que la empresa ya usa. Se conecta a esas mismas fuentes y cruza los movimientos con la frecuencia que el equipo financiero definió, aplicando reglas de tolerancia y de excepción explícitas.

Lo que coincide cierra solo, sin que nadie tenga que revisarlo. Lo que no coincide queda registrado como excepción, con su detalle completo (importe, fecha, origen y motivo) y con la constancia de quién la resolvió y cuándo. Cuando llega el auditor, esa evidencia ya existe: no hay que reconstruirla contra el reloj.

Esta es la misma lógica que describimos para la conciliación de cuentas por cobrar cuando un cliente disputa un cobro y para las fugas de dinero silenciosas que se acumulan sin control diario: el objetivo no es reemplazar el criterio humano, es que la evidencia de cada excepción quede documentada en el momento en que ocurre, no meses después cuando alguien la pide.

Mapear el proceso real antes de instrumentar el control evita automatizar un hallazgo mal entendido

Por qué mapear el proceso real (Process Discovery) antes de instrumentar el control evita automatizar un hallazgo mal entendido es la razón por la que conviene resistir la tentación de resolver rápido.

Cuando llega un hallazgo con fecha, la tentación es resolverlo de la forma más rápida posible: armar la evidencia a mano, cerrar el caso y seguir. Eso resuelve el hallazgo actual. No cambia nada para el próximo, porque el vacío que lo generó (un proceso sin trazabilidad, sin regla de tolerancia, sin dueño claro de la excepción) sigue exactamente donde estaba.

Antes de instrumentar cualquier control automatizado conviene mapear el proceso real: cuántas fuentes entran, con qué frecuencia se cruzan hoy, qué reglas de tolerancia existen (aunque nunca se hayan escrito) y quién resuelve cada tipo de excepción. Ese relevamiento, que en Bprosys llamamos Process Discovery, es lo que define si conviene automatizar el cruce directamente o si el proceso necesita ajustarse primero. Automatizar un control mal entendido solo produce excepciones más rápido, no menos exposición.

En más de 15 años automatizando procesos de backoffice y control en 7 países de Latinoamérica, hemos trabajado con clientes en industrias donde la trazabilidad no es una buena práctica, es una exigencia regulatoria constante: bancos como Scotiabank, Banco General, Banesco, Banistmo, Banco Pichincha y Popular Bank, y aseguradoras como MAPFRE, Grupo SURA y ASSA. En ese contexto, un hallazgo con fecha no es la excepción: es la oportunidad más clara para ordenar el proceso de una vez, en lugar de volver a armar la evidencia a mano en el próximo ciclo de auditoría.

¿Tiene un hallazgo con fecha límite y necesita mostrar evidencia trazable de un proceso que hoy corre a mano? Hablemos 20 minutos sobre su caso puntual y revisamos qué evidencia ya se puede automatizar sin tocar sus sistemas actuales.