En una auditoría interna reciente, un equipo se enfrentó a un hallazgo inesperado. La empresa, dedicada a servicios financieros, había adoptado un modelo híbrido: empleados trabajando desde casa tres días a la semana y dos en la oficina. En apariencia, la transición fue fluida. Pero al revisar los controles de acceso a sistemas críticos, el equipo auditor descubrió que más de 50 cuentas de usuario seguían activas, aunque pertenecían a empleados que ya no trabajaban en la organización.
Lo más preocupante no era el número, sino el hecho de que esas cuentas habían sido utilizadas desde direcciones IP externas después de la salida de los empleados. Aunque no se detectó un fraude consumado, la situación representaba un riesgo crítico de seguridad y confidencialidad.
Este hallazgo refleja una realidad en 2025: el trabajo híbrido y remoto ofrece beneficios de flexibilidad y productividad, pero también introduce riesgos operativos y tecnológicos que la auditoría interna debe evaluar con rigurosidad.
El nuevo escenario laboral
Tras la pandemia, muchas organizaciones adoptaron modelos híbridos o totalmente remotos. Lo que empezó como una solución temporal se consolidó como una práctica estándar. Según Gartner 2025 Workforce Survey, el 67% de las empresas medianas y grandes mantienen esquemas híbridos de trabajo.
Las ventajas son evidentes:
- Reducción de costos de oficina.
- Mayor satisfacción y retención de talento.
- Acceso a profesionales en diferentes regiones.
Pero este cambio también significa que:
- Los sistemas críticos se acceden desde redes domésticas menos seguras.
- El control físico sobre dispositivos corporativos es limitado.
- La segregación de funciones puede diluirse en equipos dispersos.
Riesgos clave en entornos híbridos
La auditoría interna debe adaptar su enfoque para identificar riesgos específicos del trabajo remoto. Algunos de los más frecuentes son:
- Accesos no autorizados: Cuentas de ex empleados que no se desactivan, contraseñas compartidas o dispositivos sin control.
- Pérdida de trazabilidad: Actividades críticas realizadas desde múltiples ubicaciones, sin registros adecuados de hora, lugar y usuario.
- Uso de dispositivos personales: Algunos empleados utilizan computadoras o teléfonos propios para acceder a sistemas, aumentando el riesgo de malware o pérdida de información.
- Debilidad en la cultura de control: En entornos remotos, las interacciones cara a cara disminuyen, lo que puede relajar la percepción de cumplimiento y aumentar la probabilidad de errores o fraudes.
- Cumplimiento regulatorio: Normativas como GDPR o leyes locales de protección de datos exigen mayor control sobre información personal, incluso cuando se procesa desde el hogar.
El caso continuado: cómo se abordó
Ante el hallazgo de accesos indebidos en la empresa de servicios financieros, el equipo de auditoría interna diseñó un plan de acción inmediato:
- Notificación al área de TI, para bloquear las cuentas inactivas y revisar todos los accesos recientes.
- Evaluación de controles de baja de empleados, detectando que el proceso dependía de notificaciones manuales del área de recursos humanos.
- Recomendación de integración automática, entre el sistema de gestión de personal y el directorio activo de usuarios, de forma que la baja laboral generara de inmediato la desactivación de accesos.
- Revisión de accesos privilegiados, confirmando que varios administradores tenían permisos excesivos sin justificación actualizada.
El resultado fue un fortalecimiento de la gobernanza de accesos y la implementación de monitoreo continuo sobre conexiones remotas.
Buenas prácticas para auditores internos en trabajo híbrido
A partir de experiencias como esta, la profesión ha identificado prácticas clave que deberían formar parte de cualquier programa de auditoría interna:
- Revisión periódica de cuentas y accesos: Validar que las altas y bajas de empleados se reflejen en los sistemas en tiempo real.
- Pruebas de seguridad en conexiones remotas: Verificar que las conexiones utilicen VPN, autenticación multifactor y protocolos cifrados.
- Políticas claras sobre dispositivos personales: Revisar que exista una política BYOD (Bring Your Own Device) con medidas de seguridad mínimas, como antivirus, cifrado y bloqueo automático.
- Evaluación de cultura organizacional: Incluir encuestas y entrevistas para medir la percepción de cumplimiento y el compromiso ético en entornos remotos.
- Monitoreo continuo y análisis de logs: Recomendar a las áreas de TI sistemas de detección de accesos inusuales y alertas automáticas.
- Pruebas sorpresa de cumplimiento: Simular accesos desde ubicaciones no autorizadas para validar la eficacia de los controles.
Un rol más estratégico para la auditoría interna
El trabajo híbrido no solo implica riesgos, también brinda una oportunidad para que la auditoría interna se posicione como aliada estratégica.
Al evaluar estos nuevos escenarios, los auditores pueden:
- Identificar debilidades en procesos tecnológicos.
- Recomendar mejoras que incrementen la seguridad y la eficiencia.
- Aportar confianza a la alta dirección sobre la solidez de los controles en un entorno cambiante.
En el caso de la empresa financiera, el comité de auditoría reconoció que el hallazgo no solo evitó un posible incidente de seguridad, sino que también permitió alinear mejor la política de recursos humanos con la de tecnología, generando un modelo más integrado y confiable.
Conclusión: adaptarse o quedar rezagados
El trabajo híbrido y remoto llegó para quedarse, y con él surgieron riesgos que no existían hace pocos años. Para la auditoría interna, esto significa que los programas tradicionales deben evolucionar.
Ya no basta con revisar controles físicos en oficinas o verificar procesos centralizados. Hoy es imprescindible evaluar cómo se protege la información en múltiples ubicaciones, cómo se gestionan los accesos a distancia y cómo se mantiene la cultura de control en equipos dispersos.
El auditor interno que logre entender y auditar este nuevo entorno no solo protegerá a la organización de incidentes, sino que también aportará un valor estratégico: asegurar que la flexibilidad laboral no se traduzca en vulnerabilidad operativa.
En un mundo donde la confianza es tan importante como la eficiencia, la auditoría interna tiene un papel clave para garantizar que la transformación digital del trabajo no deje cabos sueltos.
