Durante años, ESG (ambiental, social y de gobernanza) se manejó como comunicación corporativa: un documento anual, algunos indicadores y mensajes aspiracionales. Eso cambió. Hoy ESG es riesgo operativo, reputacional y regulatorio, y por eso la auditoría interna no puede tratarlo como “un reporte más”. Según The IIA, el rol de auditoría interna en ESG consiste en aportar aseguramiento independiente sobre la calidad de los datos, la solidez del control interno y la gobernanza detrás de lo que se divulga (por ejemplo, en el documento del IIA sobre el rol de auditoría interna en el reporte ESG). 

1) ESG no es un documento: es un sistema de información (y puede fallar) 

El principal error que cometen las organizaciones es asumir que ESG es una historia que se escribe al final del año. En realidad, ESG es un sistema: captura datos desde múltiples fuentes (operaciones, talento humano, compras, proveedores, seguridad y salud, energía), los consolida y los convierte en indicadores. Y ahí aparece el riesgo: datos dispersos, criterios inconsistentes, responsabilidades difusas y ajustes manuales sin control. 

El IIA ha insistido (en sus publicaciones sobre ESG y paisaje de riesgos ESG) en que auditoría interna aporta valor cuando evalúa el sistema completo: gobernanza, procesos, controles y trazabilidad de los datos, no solo el resultado final. 

2) La gobernanza ESG: la pregunta incómoda que define todo 

Antes de revisar cifras, auditoría interna debe responder una pregunta simple: ¿quién es dueño de ESG? Si la respuesta es “todos”, en la práctica es “nadie”. 

En términos de auditoría, la gobernanza ESG se ve en cosas concretas: 

• Si hay un comité o instancia que toma decisiones y prioriza métricas. 

• Si existen políticas aprobadas y criterios de medición estables. 

• Si hay responsables por indicador (no por “tema”) y líneas de escalamiento. 

Esto conecta con las Normas Globales de Auditoría Interna del IIA, que ponen el foco en evaluar gobernanza y gestión de riesgos como parte central del mandato de auditoría interna. Si la gobernanza ESG es débil, el reporte puede salir, pero el riesgo se queda. 

3) El problema real: datos ESG “no auditables” 

A diferencia de los estados financieros, muchos indicadores ESG nacen fuera del ERP y fuera de controles maduros. Y eso provoca tres fallas típicas: 

• Primero, definiciones de variables. Un indicador como “rotación”, “accidentes”, “horas de capacitación” o “consumo energético” puede cambiar de fórmula entre áreas o países. Eso destruye comparabilidad. 
• Segundo, exceso de manualidad. Cuando los números se consolidan en hojas de cálculo con correcciones “a mano”, aumenta el riesgo de error y de manipulación (incluso sin mala intención). 
• Tercero, trazabilidad débil. Si un auditor interno no puede ir desde el indicador publicado hasta el dato fuente (y entender el criterio), no hay aseguramiento real. En su guía sobre el rol de auditoría interna en ESG, The IIA enfatiza que el aseguramiento se apoya en evaluar la confiabilidad del proceso y los datos que alimentan el reporte, no solo la presentación. 

4) Materialidad ESG: donde se suele perder el enfoque 

Otro punto crítico es la materialidad: qué temas ESG realmente importan para la organización y por qué. Si la empresa reporta “de todo un poco”, puede terminar ignorando lo que sí representa riesgo: cadena de suministro, cumplimiento laboral, privacidad, emisiones, integridad, gobierno corporativo. 

Esto se volvió más relevante con la evolución de estándares y marcos de divulgación. Por ejemplo, el ISSB (IFRS S1 y S2) busca que las revelaciones se conecten con riesgos y oportunidades que afectan el valor empresarial; y regulaciones como la CSRD en Europa empujan a reportes más estructurados y exigentes. En ese contexto, auditoría interna aporta cuando valida que la empresa no está reportando “por cumplir”, sino enfocándose en lo material y controlable. 

5) Qué debería auditar en ESG (sin convertirlo en una auditoría eterna) 

La clave es auditar ESG como auditas cualquier sistema crítico: por diseño y operación de controles. 

Gobernanza y responsabilidades 

• ¿Hay políticas ESG aprobadas, roles claros y seguimiento? 

• ¿Se revisan cambios de criterio y se aprueban formalmente? 

Controles sobre datos 

• ¿De dónde sale cada dato? ¿Quién lo genera? ¿Quién lo valida? 

• ¿Hay controles de integridad (completitud), exactitud y consistencia? 

Consolidación y reporte 

• ¿Cómo se consolida (sistemas vs manual)? 

• ¿Hay revisiones, conciliaciones y evidencia de aprobación? 

Riesgos de “declaraciones sin sustento” 

• ¿Las metas publicadas tienen plan, responsables y medición real? 

• ¿Existe riesgo reputacional por promesas no verificables? 

Para organizaciones que van hacia aseguramiento externo, aquí entra un punto práctico: estándares como ISAE 3000 (aseguramiento sobre información no financiera) muestran que, sin trazabilidad y controles, los reportes ESG quedan expuestos a observaciones, recalificaciones o pérdida de confianza. Auditoría interna puede preparar a la organización antes de que eso ocurra. 

Conclusión 

ESG dejó de ser solo un informe. Hoy es un conjunto de riesgos y un sistema de información que puede fallar si no tiene gobernanza, controles y trazabilidad. Según el enfoque de The IIA sobre el rol de auditoría interna en ESG, el valor real está en asegurar que lo que se reporta se sostiene con procesos, evidencia y control interno, no con narrativa. 

Si auditoría interna hace bien su trabajo aquí, logra tres cosas: reduce riesgo regulatorio y reputacional, fortalece la disciplina de datos en toda la organización y convierte ESG en algo medible y gestionable —no en un documento de marketing.