Las Normas Globales de Auditoría Interna establecen los principios y requerimientos que orientan la práctica profesional de la auditoría interna en organizaciones de diferentes tamaños, sectores y estructuras.
Las Normas Globales de Auditoría Interna establecen los principios y requerimientos que orientan la práctica profesional de la auditoría interna en organizaciones de diferentes tamaños, sectores y estructuras.
The Institute of Internal Auditors, conocido como The IIA, publicó esta edición el 9 de enero de 2024. Las Normas entraron en vigor el 9 de enero de 2025 y desde esa fecha constituyen la referencia profesional vigente dentro del Marco Internacional para la Práctica Profesional.
Las Normas no explican la auditoría en general ni regulan de la misma manera la auditoría externa de estados financieros. Para comprender primero el concepto, los tipos de auditoría y las etapas habituales de un trabajo, puede consultarse la guía sobre qué es la auditoría.
Comprender estas Normas requiere conocer su estructura, las responsabilidades que asignan, la forma de demostrar conformidad y los cambios que exigen en el gobierno, la gestión y el trabajo de una función de auditoría interna.
Para consultar otras rutas sobre planificación, riesgos, controles, evidencia, hallazgos e informes, visita la sección de auditoría interna y externa.
Datos esenciales de las Normas Globales
La siguiente ficha resume las fechas, la estructura y los principales elementos que deben conocerse antes de estudiar cada dominio.
| Aspecto | Información |
|---|---|
| Organismo emisor | The Institute of Internal Auditors |
| Fecha de publicación | 9 de enero de 2024 |
| Fecha de entrada en vigor | 9 de enero de 2025 |
| Marco profesional | Marco Internacional para la Práctica Profesional de 2024 |
| Estructura | Cinco dominios, 15 principios y 52 normas |
| Ámbito | Funciones y profesionales que prestan servicios de auditoría interna |
| Servicios comprendidos | Aseguramiento y asesoramiento |
| Evaluación de calidad | Evaluaciones internas y externas |
| Evaluación externa | Al menos una vez cada cinco años |
Las Normas guían la práctica mundial de la auditoría interna y sirven como base para evaluar y elevar la calidad de la función. Cada principio está respaldado por normas que contienen requerimientos, consideraciones para su implementación y ejemplos de evidencia de conformidad.
¿Qué son las Normas Globales de Auditoría Interna?
Las Normas Globales son el componente central y obligatorio del Marco Internacional para la Práctica Profesional de la Auditoría Interna, conocido como MIPP o IPPF por sus siglas en inglés.
Su propósito es proporcionar una base común para que las funciones de auditoría interna puedan:
- desarrollar sus servicios de forma sistemática y disciplinada;
- mantener principios éticos y profesionales;
- proteger su independencia y objetividad;
- organizar su estrategia y sus recursos;
- planificar trabajos basados en riesgos;
- obtener y documentar evidencia;
- comunicar hallazgos y conclusiones;
- evaluar y mejorar la calidad de la función.
Las Normas no son simplemente recomendaciones generales. Contienen requerimientos que deben considerarse al diseñar, gestionar y ejecutar los servicios de auditoría interna.
Sin embargo, su carácter obligatorio dentro del MIPP no significa que automáticamente tengan la misma condición que una ley en todos los países. Una legislación, regulación, contrato, estatuto institucional o disposición sectorial puede adoptar las Normas, complementarlas o imponer requerimientos adicionales.
Cuando una ley o regulación impide cumplir una parte de las Normas, deben observarse las demás disposiciones aplicables y documentarse y comunicarse la situación correspondiente.
¿Qué integra el Marco Internacional para la Práctica Profesional?
El Marco Internacional para la Práctica Profesional, conocido como MIPP o IPPF por sus siglas en inglés, proporciona la estructura que organiza los conocimientos, requerimientos y orientaciones emitidos por The IIA para la auditoría interna.
El marco vigente comprende tres componentes principales:
- Normas Globales de Auditoría Interna. Constituyen la base general de la práctica profesional. Comprenden el propósito de la auditoría interna, las expectativas éticas, el gobierno de la función, su gestión y la ejecución de los servicios de aseguramiento y asesoramiento.
- Requerimientos Temáticos. Establecen una base mínima para los servicios relacionados con determinados temas de riesgo. Cuando un Requerimiento Temático vigente resulta aplicable a un servicio de aseguramiento, la función debe evaluar sus disposiciones, aplicar los requerimientos pertinentes y documentar cualquier exclusión justificada. En los servicios de asesoramiento, su utilización es recomendada, pero no obligatoria.
- Guías Globales. Proporcionan orientación práctica, enfoques, técnicas y ejemplos que ayudan a implementar las Normas. Incluyen Guías Prácticas Globales y Guías Globales de Auditoría de Tecnología, conocidas como GTAG. Pueden abordar planificación, fraude, tecnología, servicios financieros, sector público, gestión de la función y otros asuntos profesionales.
Las Normas y los Requerimientos Temáticos son componentes obligatorios cuando resultan aplicables. Las Guías Globales apoyan la implementación, pero no tienen la misma condición que los requerimientos expresados mediante la palabra “debe”.
¿Cómo se estructuran las Normas Globales?
Las Normas se organizan en cinco dominios, dentro de los cuales se desarrollan quince principios y 52 normas.
Cada norma puede contener tres elementos:
- Requerimientos: prácticas obligatorias expresadas principalmente mediante la palabra “debe”.
- Consideraciones para la implementación: prácticas recomendadas o enfoques que ayudan a cumplir el requerimiento.
- Ejemplos de evidencia de conformidad: documentos, registros u otras pruebas que pueden demostrar que el requerimiento fue aplicado.
Los ejemplos de evidencia no son requerimientos independientes ni representan la única forma posible de demostrar conformidad. Una función puede utilizar otras evidencias, siempre que respalden adecuadamente la implementación del requerimiento.
Las Normas también utilizan términos definidos en su glosario. Para interpretarlas correctamente no basta con aplicar el significado cotidiano de palabras como Consejo, aseguramiento, hallazgo, independencia, objetividad o riesgo. Debe considerarse la definición específica utilizada por The IIA.
Los cinco dominios y sus quince principios
Dominio I: Propósito de la auditoría interna
El primer dominio establece la razón de ser de la auditoría interna.
La auditoría interna fortalece la capacidad de una organización para crear, proteger y sostener valor mediante servicios independientes, objetivos y basados en riesgos. Estos servicios proporcionan aseguramiento, asesoramiento, perspectivas y previsiones al Consejo y a la Alta Dirección.
Su contribución puede observarse en:
- el logro de los objetivos;
- los procesos de gobierno;
- la gestión de riesgos;
- el funcionamiento de los controles;
- la toma de decisiones;
- la supervisión;
- la reputación;
- la credibilidad ante las partes interesadas;
- la capacidad de servir al interés público.
La auditoría interna resulta más eficaz cuando la realizan profesionales competentes, la función está posicionada de manera independiente y los auditores pueden emitir evaluaciones objetivas sin influencias indebidas.
El Dominio I no se desarrolla mediante un grupo de normas numeradas. Funciona como fundamento para interpretar los cuatro dominios restantes.
Dominio II: Ética y profesionalidad
El Dominio II establece las expectativas de conducta aplicables a los auditores internos y a las entidades que prestan estos servicios.
Esta parte integra y sustituye al anterior Código de Ética independiente del MIPP de 2017. La ética y la profesionalidad ya no aparecen como un documento separado, sino incorporadas directamente dentro de las Normas vigentes.
Comprende cinco principios:
- Principio 1: Demostrar integridad. Exige honestidad, precisión, transparencia, respeto y valentía profesional. También prohíbe participar en actividades ilegales o perjudiciales para la organización o la profesión.
- Principio 2: Mantener la objetividad. Obliga a reconocer, evitar o mitigar impedimentos reales, potenciales o aparentes. También regula los conflictos de intereses y las evaluaciones de actividades sobre las que el auditor tuvo responsabilidades anteriores.
- Principio 3: Demostrar competencia. Requiere que los auditores posean o desarrollen los conocimientos, aptitudes y habilidades necesarios para sus responsabilidades.
- Principio 4: Ejercer el debido cuidado profesional. Exige considerar la naturaleza, complejidad, importancia y riesgos del servicio, así como aplicar escepticismo profesional.
- Principio 5: Mantener la confidencialidad. Regula el uso, protección, conservación y divulgación de la información obtenida durante los servicios.
El auditor individual es responsable de su propia conducta. Al mismo tiempo, el Director de Auditoría Interna debe crear condiciones, metodologías, formación y supervisión que favorezcan la conformidad del equipo.
Dominio III: Gobierno de la Función de Auditoría Interna
Este dominio establece las condiciones necesarias para que la función tenga autoridad, independencia, recursos y supervisión.
Una característica importante es que no asigna todas las responsabilidades al Director de Auditoría Interna. También identifica condiciones esenciales que deben ser proporcionadas por el Consejo y la Alta Dirección.
Comprende tres principios:
- Principio 6: Autorización del Consejo.
- Principio 7: Posicionarse de manera independiente.
- Principio 8: Supervisión del Consejo.
Mandato y estatuto
El Consejo establece, aprueba y apoya el mandato de auditoría interna. Este mandato define la autoridad, el papel, las responsabilidades, el alcance y los tipos de servicios que puede prestar la función.
El mandato debe quedar documentado en el Estatuto de Auditoría Interna. El estatuto también debe describir la posición de la función dentro de la organización, sus relaciones de dependencia y su compromiso con las Normas.
No debe utilizarse un modelo genérico sin adaptación. El estatuto debe reflejar las características, riesgos, estructura y necesidades reales de la organización.
Independencia organizativa
La función necesita una relación directa con el Consejo que le permita cumplir su mandato sin interferencias indebidas.
El Director de Auditoría Interna debe confirmar al Consejo, al menos anualmente, la independencia organizativa de la función. También debe comunicar los impedimentos y las salvaguardas establecidas.
La independencia no significa que auditoría interna opere sin coordinación con la dirección. Significa que su alcance, procedimientos, conclusiones y comunicaciones no deben ser limitados o alterados de forma inapropiada.
Supervisión y recursos
El Consejo debe participar en asuntos como:
- aprobación del estatuto;
- aprobación del plan;
- presupuesto y recursos;
- nombramiento o cese del Director de Auditoría Interna;
- evaluación del desempeño;
- comunicación de resultados;
- programa de calidad;
- evaluación externa.
La Alta Dirección apoya la autoridad de la función, facilita el acceso a información y recursos y participa en las conversaciones necesarias para su funcionamiento.
En las Normas, el término Consejo se refiere al órgano de gobierno de más alto nivel pertinente. Dependiendo de la organización, puede ser un consejo de administración, directorio, comité de auditoría, junta, comisión u otra estructura equivalente.
Dominio IV: Gestión de la Función de Auditoría Interna
El Dominio IV se concentra en la manera en que el Director de Auditoría Interna organiza y dirige la función.
Comprende cuatro principios:
- Principio 9: Planificar estratégicamente.
- Principio 10: Gestionar los recursos.
- Principio 11: Comunicar de manera eficaz.
- Principio 12: Mejorar la calidad.
Estrategia y conocimiento de la organización
El Director de Auditoría Interna debe comprender los procesos de gobierno, gestión de riesgos y control.
Este conocimiento comprende:
- objetivos y estrategias;
- estructura organizativa;
- procesos y sistemas;
- riesgos significativos;
- cultura ética;
- cumplimiento;
- información financiera y operativa;
- mecanismos de supervisión;
- proveedores internos y externos de aseguramiento.
A partir de este conocimiento debe desarrollar una estrategia para la función. La estrategia incluye una visión, objetivos y acciones que permitan cumplir el mandato y responder a las expectativas del Consejo y de la Alta Dirección.
Metodologías
Las metodologías documentan las políticas, procesos y procedimientos que guían a los auditores.
Pueden abarcar:
- evaluación de riesgos;
- elaboración del plan;
- planificación de trabajos;
- documentación;
- supervisión;
- comunicación;
- seguimiento;
- coordinación con otros proveedores;
- protección de información;
- aseguramiento y mejora de la calidad.
El nivel de detalle dependerá del tamaño y complejidad de la función, pero la ausencia de recursos no elimina la necesidad de establecer una forma sistemática y disciplinada de trabajar.
Plan de auditoría interna
El plan debe fundamentarse en una evaluación documentada de las estrategias, objetivos y riesgos de la organización. Esa evaluación debe realizarse al menos anualmente.
Una forma práctica de organizar la población que será evaluada consiste en construir un universo auditable que relacione unidades de negocio, procesos, programas y sistemas con los riesgos clave de la organización.
La aplicación práctica de este requerimiento exige relacionar objetivos, riesgos, cobertura y capacidad disponible. La guía para elaborar un plan anual de auditoría interna basado en riesgos desarrolla el procedimiento completo e incluye una matriz y un ejemplo de asignación de horas.
El plan no debe ser una lista invariable de áreas revisadas cada año. Debe ser dinámico y actualizarse cuando cambien los riesgos, operaciones, sistemas, proyectos, regulaciones o prioridades.
También debe considerar los recursos humanos, tecnológicos y financieros necesarios. Cuando los recursos sean insuficientes, el Director de Auditoría Interna debe comunicar el efecto de esa limitación al Consejo.
Comunicación y calidad
La función debe mantener relaciones eficaces con sus partes interesadas y comunicar oportunamente sus resultados.
También debe establecer un Programa de Aseguramiento y Mejora de la Calidad que cubra todos los aspectos de la función. Este programa relaciona la conformidad con las Normas con el logro de los objetivos de desempeño.
Dominio V: Desempeño de los Servicios de Auditoría Interna
El Dominio V desarrolla el ciclo de los trabajos de auditoría interna, desde su planificación hasta la comunicación y el seguimiento.
Comprende tres principios:
- Principio 13: Planificar eficazmente los trabajos.
- Principio 14: Ejecutar los trabajos.
- Principio 15: Comunicar las conclusiones y monitorear los planes de acción.
Planificación del trabajo
Cada trabajo debe tener objetivos y alcance definidos. El auditor necesita comprender la actividad, evaluar sus riesgos, identificar criterios, determinar los recursos y elaborar un programa de trabajo.
Los riesgos del trabajo deben relacionarse con los objetivos de la actividad revisada. No es suficiente aplicar procedimientos históricos sin evaluar si continúan respondiendo a los riesgos actuales.
Ejecución y evidencia
Durante la ejecución, los auditores recopilan, analizan y evalúan información para desarrollar hallazgos y conclusiones.
La información debe ser:
- relevante;
- confiable;
- suficiente;
- útil para alcanzar los objetivos.
Los procedimientos, evidencias y conclusiones deben quedar documentados en papeles de trabajo sujetos a supervisión y revisión.
Una herramienta útil para conservar esa relación es la matriz de riesgos y controles, que permite conectar los objetivos y riesgos del trabajo con los controles identificados, el enfoque de pruebas y los resultados obtenidos.
Esta relación puede observarse de forma práctica en la guía sobre el programa de trabajo y los papeles de auditoría interna, que explica cómo pasar de los riesgos identificados a los procedimientos, evidencias y conclusiones documentadas.
Hallazgos, recomendaciones y conclusiones
Un hallazgo refleja una diferencia entre los criterios y la condición encontrada.
Al documentarlo pueden considerarse:
- criterio;
- condición;
- causa raíz, cuando sea posible;
- efecto o exposición al riesgo;
- importancia;
- prioridad.
La aplicación práctica de estos requerimientos puede consultarse en la guía sobre hallazgos de auditoría interna, donde se desarrolla la relación entre condición, criterio, causa, efecto, prioridad y respuesta de la dirección mediante un caso completo.
La Norma 14.4 permite que los auditores formulen recomendaciones, soliciten planes de acción o colaboren con la dirección para acordar medidas. La decisión final y la responsabilidad de implementar las acciones continúan correspondiendo a la dirección.
Comunicación y seguimiento
La comunicación final debe incluir los objetivos, el alcance, las conclusiones y, cuando corresponda, los hallazgos, recomendaciones o planes de acción.
La aplicación práctica de estos requerimientos se desarrolla en la guía sobre el informe de auditoría interna, con una estructura explicada paso a paso y un ejemplo de conclusión, hallazgos y planes de acción.
Posteriormente, la función debe confirmar la implementación de las recomendaciones o acciones acordadas. El seguimiento no consiste únicamente en preguntar si una medida fue completada; puede requerir evidencia que demuestre su funcionamiento.
Aunque el Dominio V presenta las actividades en una secuencia comprensible, las Normas reconocen que el proceso puede ser iterativo. La evaluación de riesgos, la recopilación de información y la comunicación pueden continuar durante diferentes etapas del trabajo.
¿A quiénes se aplican las Normas Globales?
Las Normas se aplican a la función de auditoría interna y a los auditores que prestan sus servicios.
Esto incluye funciones:
- integradas por empleados de la organización;
- externalizadas a un proveedor;
- desarrolladas mediante un esquema combinado;
- formadas por una sola persona;
- pertenecientes al sector privado;
- pertenecientes al sector público.
La responsabilidad práctica varía según el papel de cada participante.
| Participante | Responsabilidad principal |
|---|---|
| Consejo | Autorizar, apoyar y supervisar la función |
| Alta Dirección | Facilitar autoridad, acceso, recursos y coordinación |
| Director de Auditoría Interna | Gestionar la función y responder por su conformidad global |
| Auditores internos | Cumplir los principios y normas aplicables a su trabajo |
| Proveedores externos | Aplicar las Normas cuando prestan servicios de auditoría interna |
El Director de Auditoría Interna mantiene la responsabilidad final sobre la gestión eficaz de la función, aunque delegue determinadas actividades en otros profesionales.
Los auditores individuales, por su parte, son responsables de las normas de ética y profesionalidad y de aquellas relacionadas con las tareas que realizan.
¿Qué significa estar en conformidad con las Normas?
La conformidad no debe reducirse a completar una lista de comprobación o incluir una frase en los informes.
Implica que la función:
- comprende los principios;
- identifica los requerimientos aplicables;
- incorpora los requerimientos en sus metodologías;
- ejecuta los servicios de acuerdo con esas metodologías;
- conserva evidencia;
- evalúa su desempeño;
- identifica deficiencias;
- ejecuta acciones de mejora;
- informa adecuadamente al Consejo y a la Alta Dirección.
Una declaración de conformidad debe estar respaldada por el Programa de Aseguramiento y Mejora de la Calidad. No basta con que la función afirme que aplica las Normas si no ha evaluado y documentado su aplicación.
Cuando no puede cumplirse un requerimiento
Las Normas reconocen que pueden surgir circunstancias excepcionales en las que una función no pueda cumplir literalmente un requerimiento y, aun así, necesite alcanzar la intención del principio relacionado.
En esos casos, el Director de Auditoría Interna debe:
- identificar el requerimiento afectado;
- documentar la circunstancia;
- explicar por qué no puede cumplirse;
- establecer acciones alternativas;
- justificar cómo esas acciones responden a la intención;
- comunicar la situación a las partes apropiadas;
- conservar la evidencia para las evaluaciones de calidad.
Esto no significa que los requerimientos sean opcionales. La imposibilidad debe ser real, estar justificada y contar con medidas alternativas adecuadas.
Evaluaciones internas y externas de calidad
El Programa de Aseguramiento y Mejora de la Calidad debe cubrir todos los aspectos de la función de auditoría interna.
Incluye dos clases de evaluación.
Evaluaciones internas
Comprenden el monitoreo continuo y las autoevaluaciones periódicas o evaluaciones realizadas por personas con conocimientos suficientes dentro de la organización.
Al menos una vez al año, el Director de Auditoría Interna debe comunicar los resultados de la evaluación interna de calidad al Consejo y a la Alta Dirección.
La evaluación debe considerar tanto la conformidad con las Normas como el logro de los objetivos de desempeño.
Evaluación externa
Debe realizarse al menos una vez cada cinco años por un evaluador o equipo:
- cualificado;
- independiente;
- ajeno a la función evaluada;
- libre de conflictos de intereses reales o aparentes.
El requerimiento puede cumplirse mediante una evaluación externa completa o mediante una autoevaluación con validación independiente.
Al menos una persona del equipo de evaluación debe poseer la designación activa de Certified Internal Auditor. El Consejo debe participar en la aprobación del alcance, la frecuencia, las competencias y la independencia del evaluador.
Aplicación en funciones pequeñas
El tamaño reducido de una función de auditoría interna no la exime automáticamente de las Normas.
Una función con pocos integrantes puede tener dificultades para:
- separar ejecución y supervisión;
- reunir todas las competencias necesarias;
- mantener especialidades;
- realizar evaluaciones internas independientes;
- sostener un programa de calidad;
- cubrir todos los riesgos del plan.
Las metodologías pueden adaptarse al tamaño, la complejidad y los recursos disponibles, pero deben seguir permitiendo una forma disciplinada de trabajar y producir evidencia.
Cuando la función está integrada por una sola persona, las Normas señalan que será necesaria asistencia externa a la propia función para mantener un Programa de Aseguramiento y Mejora de la Calidad adecuado. Esto no significa que toda función pequeña tenga que externalizar todos sus servicios. La necesidad concreta depende de las responsabilidades y recursos disponibles.
Aplicación en el sector público
Las Normas también se aplican a las funciones de auditoría interna del sector público.
Sin embargo, estas pueden operar bajo condiciones particulares relacionadas con:
- leyes y regulaciones;
- estructuras de gobierno;
- autoridades elegidas o designadas;
- presupuestos públicos;
- rendición de cuentas;
- transparencia;
- publicación de informes;
- relaciones de dependencia;
- restricciones sobre recursos.
La terminología y la estructura no siempre coinciden con una organización privada. Por ejemplo, el órgano que desempeña la función de “Consejo” puede tener una denominación o configuración diferente.
Estas particularidades deben documentarse y analizarse, pero no deben utilizarse para ignorar la independencia, la objetividad, la calidad o las demás intenciones fundamentales de las Normas.
Principales diferencias respecto del MIPP de 2017
La edición de 2024 no consiste únicamente en cambiar la numeración. Reorganiza e integra contenidos que anteriormente estaban distribuidos en varios componentes.
| Aspecto | MIPP de 2017 | MIPP de 2024 |
|---|---|---|
| Organización | Varios elementos separados | Tres componentes principales |
| Normas | Normas Internacionales | Normas Globales |
| Ética | Código de Ética separado | Integrada en el Dominio II |
| Definición y misión | Elementos separados | Incorporadas en las Normas |
| Principios fundamentales | Documento independiente | Integrados en los 15 principios |
| Guía de implementación | Documento recomendado separado | Incorporada como consideraciones |
| Evidencia | Menos visible en la estructura | Ejemplos dentro de cada norma |
| Gobierno | Requerimientos distribuidos | Dominio específico con condiciones esenciales |
| Temas especializados | Sin Requerimientos Temáticos | Nuevo componente obligatorio cuando aplica |
Las Normas de 2024 incorporan contenidos de la misión, la definición de auditoría interna, los principios fundamentales, el Código de Ética y las Normas de 2017. También integran parte de la anterior guía de implementación mediante consideraciones y ejemplos de evidencia.
Estado actual de los Requerimientos Temáticos
Los Requerimientos Temáticos forman parte del MIPP, pero cada uno tiene su propia fecha de entrada en vigor.
A la fecha de revisión de este artículo, su estado es el siguiente:
| Requerimiento | Entrada en vigor | Estado al 4-08-2026 |
|---|---|---|
| Ciberseguridad | 5 de febrero de 2026 | Vigente |
| Terceros | 15 de septiembre de 2026 | Emitido, todavía no vigente |
| Comportamiento organizacional | 15 de diciembre de 2026 | Emitido, todavía no vigente |
| Resiliencia organizacional | 30 de abril de 2027 | Emitido, todavía no vigente |
Cuando un Requerimiento Temático vigente resulta aplicable a un servicio de aseguramiento, la función debe evaluar sus requerimientos y documentar cualquier exclusión.
La existencia de un Requerimiento Temático no significa que todas sus disposiciones se apliquen de idéntica forma en todos los trabajos. Debe utilizarse juicio profesional, considerar el alcance y justificar las exclusiones que correspondan.
Cómo prepararse para aplicar las Normas
La implementación debe comenzar con una evaluación de la situación actual. No es suficiente cambiar el nombre de los manuales o actualizar una declaración de conformidad.
Una ruta práctica comprende los siguientes pasos:
- Obtener la versión oficial vigente. El equipo debe trabajar con la edición completa, el glosario y las actualizaciones emitidas por The IIA.
- Realizar una evaluación de brechas. Comparar los requerimientos con el estatuto, las metodologías, el plan, los papeles de trabajo, las comunicaciones y el programa de calidad actuales.
- Informar al Consejo y a la Alta Dirección. Explicar las condiciones esenciales, responsabilidades y posibles limitaciones.
- Revisar el mandato y el estatuto. Confirmar autoridad, alcance, servicios, relaciones de dependencia y acceso a información.
- Evaluar la independencia. Identificar responsabilidades adicionales, relaciones de dependencia e impedimentos reales o aparentes.
- Actualizar la estrategia de auditoría interna. Definir una visión, objetivos e iniciativas coherentes con la organización.
- Revisar el plan basado en riesgos. Confirmar que la evaluación está documentada, se actualiza y contempla riesgos tecnológicos, fraude, cumplimiento y ética.
- Revisar recursos y competencias. Identificar brechas de personal, conocimientos, presupuesto y tecnología.
- Actualizar metodologías y plantillas. Relacionar objetivos, riesgos, criterios, procedimientos, evidencia, hallazgos, conclusiones y seguimiento.
- Fortalecer la supervisión. Documentar revisiones de programas, papeles de trabajo y comunicaciones.
- Actualizar el programa de calidad. Incorporar evaluación interna, objetivos de desempeño, planes de mejora y evaluación externa.
- Identificar Requerimientos Temáticos aplicables. Mantener un registro de sus fechas de vigencia y de los trabajos afectados.
- Capacitar al equipo. La formación debe abarcar tanto los requerimientos como su aplicación práctica.
- Conservar evidencia de la transición. Actas, planes, actualizaciones, aprobaciones, capacitaciones y evaluaciones deben quedar documentados.
Esta ruta ayuda a organizar la transición, pero no sustituye una evaluación completa de conformidad adaptada a la función y a la organización.
Errores frecuentes al interpretar las Normas
- Continuar tratándolas como una novedad futura. Están vigentes desde el 9 de enero de 2025.
- Leer únicamente los resúmenes. La aplicación requiere revisar los requerimientos, consideraciones, ejemplos, glosario y referencias relacionadas.
- Confundir requerimientos con recomendaciones. “Debe”, “debería” y “podrá” no expresan el mismo nivel de obligación.
- Suponer que los ejemplos de evidencia son una lista cerrada. Son posibilidades, no la única forma de demostrar conformidad.
- Afirmar conformidad sin una evaluación de calidad. La declaración necesita respaldo documentado.
- Considerar que las funciones pequeñas están exentas. Pueden adaptar sus metodologías, pero deben responder a la intención de las Normas.
- Asignar toda la responsabilidad al Director de Auditoría Interna. El Consejo y la Alta Dirección tienen condiciones esenciales que deben cumplir.
- Confundir independencia con aislamiento. Auditoría interna necesita relacionarse con la dirección, pero sin permitir interferencias indebidas.
- Ignorar los Requerimientos Temáticos. Forman parte del MIPP y pueden ser obligatorios en servicios de aseguramiento.
- Copiar un estatuto o manual sin adaptarlo. Los documentos deben reflejar el mandato, riesgos, tamaño, estructura y necesidades reales.
- Concentrarse únicamente en los informes. La conformidad también comprende gobierno, estrategia, recursos, metodología, supervisión, calidad y seguimiento.
- Convertir el asesoramiento en responsabilidad de gestión. Auditoría puede recomendar y colaborar, pero no debe asumir decisiones que corresponden a la dirección.
Dónde consultar el texto completo de las Normas
Para aplicar correctamente las Normas no basta con consultar resúmenes. Es necesario revisar la redacción exacta de los requerimientos, las definiciones del glosario, las consideraciones para la implementación y las referencias entre normas relacionadas.
Las traducciones facilitan el estudio del marco, pero también conviene comprobar que se utiliza la edición vigente y revisar las actualizaciones, Requerimientos Temáticos y guías publicadas posteriormente por The IIA.
Puedes consultar el texto completo, las traducciones disponibles y los materiales relacionados en la página oficial de las Normas Globales de Auditoría Interna de The IIA.
Conclusión sobre las Normas Globales de Auditoría Interna
Las Normas Globales de Auditoría Interna proporcionan una estructura común para gobernar, gestionar y ejecutar los servicios de auditoría interna.
Su aplicación no se limita a modificar procedimientos de trabajo. Requiere revisar la relación con el Consejo, el mandato, la independencia, la estrategia, los recursos, el plan basado en riesgos, las metodologías, la documentación, la comunicación y el Programa de Aseguramiento y Mejora de la Calidad.
Los cinco dominios permiten distinguir responsabilidades que corresponden al auditor individual, al Director de Auditoría Interna, a la Alta Dirección y al Consejo. Esta distribución es importante porque una función no puede alcanzar plenamente su propósito únicamente mediante el esfuerzo técnico de sus auditores si carece de autoridad, independencia, recursos o supervisión.
La conformidad debe demostrarse mediante prácticas reales y evidencia suficiente. No depende de utilizar una frase en el estatuto o en el informe, sino de que la función pueda explicar cómo interpreta los requerimientos, cómo los incorpora en su trabajo y cómo evalúa y mejora continuamente su desempeño.
