Durante una auditoría de cumplimiento en una empresa de comercio exterior, el equipo de auditoría interna encontró algo que no esperaba. Los controles formales estaban implementados, las políticas estaban actualizadas y la documentación de respaldo existía para cada transacción revisada. Todo cuadraba en el papel. Sin embargo, en las entrevistas con personal operativo, surgió un patrón inquietante: varios empleados mencionaron que existía una presión implícita por cerrar operaciones antes de fin de mes «sin importar qué faltara.» Nadie lo había reportado porque, según sus palabras, «así funciona esto aquí.» 

Los controles estaban. La cultura los anulaba. 

El riesgo que los controles formales no mitigan 

Las organizaciones invierten recursos significativos en diseñar políticas, implementar controles y documentar procedimientos. Todo eso es necesario, pero insuficiente si la cultura organizacional opera en dirección contraria. Un manual de ética impecable no previene conductas irregulares si los empleados perciben que la dirección premia resultados sin cuestionar los métodos para obtenerlos. 

Las NOGAI reconocen esta dimensión. El Estándar 9.1 establece que la función de auditoría interna debe comprender los procesos de gobernanza de la organización, y la cultura de control es un componente esencial de esa gobernanza. Evaluar cultura no es un ejercicio abstracto ni subjetivo. Es una responsabilidad profesional que puede abordarse con metodología y evidencia. 

Cinco indicadores de que la cultura de control está debilitada 

Existen señales observables que el auditor interno puede identificar durante el curso normal de su trabajo, sin necesidad de herramientas sofisticadas ni encuestas masivas. 

• La primera es la normalización de las excepciones. Cuando las desviaciones a las políticas se aprueban de manera rutinaria y sin documentación de justificación, el mensaje implícito es que las reglas son negociables. Si el equipo de auditoría detecta que las excepciones superan en volumen a las transacciones que siguen el proceso estándar, la política dejó de ser un control real. 
• La segunda es el canal de denuncias inactivo. Una organización de quinientos empleados que no recibe una sola denuncia en dos años no tiene un ambiente libre de problemas. Tiene un canal en el que nadie confía. La ausencia de reportes es, paradójicamente, una de las señales más claras de debilidad en la cultura de transparencia. 
• La tercera es la resistencia sistemática a la auditoría. Cuando las áreas auditadas dificultan el acceso a información, postergan entrevistas o cuestionan la legitimidad del trabajo de auditoría interna, no se trata de un problema logístico. Es un indicador de que la supervisión se percibe como amenaza y no como parte natural del gobierno corporativo. 
• La cuarta es la desconexión entre el discurso y la práctica. La dirección comunica valores de integridad y transparencia, pero las decisiones operativas premian exclusivamente los resultados comerciales. Los empleados detectan esa incongruencia con rapidez y ajustan su comportamiento en consecuencia. 
• La quinta es la rotación concentrada en áreas específicas. Si un área de la organización presenta niveles de rotación significativamente superiores al promedio, vale la pena investigar si existen condiciones laborales que empujan al personal a buscar alternativas. Ambientes donde se toleran conductas irregulares o donde se presiona al personal para omitir controles generan desgaste que se refleja en la permanencia del equipo. 

Cómo auditar cultura sin perder objetividad 

El principal obstáculo para evaluar cultura organizacional es la percepción de que se trata de un ejercicio subjetivo. La clave está en basar las conclusiones en evidencia verificable. 

El auditor interno puede analizar datos concretos: tasas de uso del canal de denuncias, frecuencia de excepciones aprobadas por área, rotación de personal por departamento, resultados de encuestas de clima laboral y porcentaje de implementación de recomendaciones de auditorías anteriores. Documentar estos análisis dentro de la plataforma de gestión de auditoría, como lo permite AuditBrain, asegura que la evaluación de cultura tenga el mismo rigor y trazabilidad que cualquier otra prueba de auditoría. 

Las entrevistas complementan los datos. No se trata de preguntar directamente si existe presión para incumplir controles, sino de formular preguntas abiertas sobre cómo se toman decisiones bajo presión de tiempo, qué sucede cuando alguien reporta un problema y cómo perciben los empleados el compromiso real de la dirección con el cumplimiento. 

El riesgo más costoso es el que no se mide 

Los fraudes corporativos más graves no ocurren porque falten controles. Ocurren porque la cultura permite que esos controles se ignoren de manera sistemática. El auditor interno que limita su trabajo a verificar la existencia de políticas y procedimientos está evaluando la forma sin examinar el fondo. 

Auditar la cultura organizacional no es una moda. Es la diferencia entre una función de auditoría interna que detecta síntomas y una que identifica causas.