En una auditoría interna realizada en 2024 a una empresa del sector salud, el equipo auditor descubrió algo inquietante. Durante las pruebas de seguridad, detectaron que el sistema de gestión de pacientes permitía conexiones externas sin autenticación multifactor. Lo que parecía una simple vulnerabilidad técnica se transformó en un riesgo mayor cuando se comprobó que un tercero desconocido había accedido varias veces a los registros, aunque sin alterar la información. 

El hallazgo no solo representaba un posible incumplimiento de la normativa de protección de datos personales; también podía derivar en sanciones millonarias y pérdida de confianza por parte de pacientes y aseguradoras. El caso ilustra cómo, en la actualidad, los riesgos de ciberseguridad no se limitan a la tecnología: impactan directamente en la estrategia y la reputación de la organización. 

Un escenario de ciberamenazas en expansión 

La digitalización acelerada ha llevado a que las organizaciones dependan de sistemas interconectados, datos en la nube y servicios externos. En este contexto, la ciberseguridad dejó de ser un tema exclusivo de las áreas de TI. 

Según el Cybersecurity Outlook 2025 de PwC: 

• El 71% de las empresas medianas y grandes reportaron al menos un incidente de ciberseguridad significativo en los últimos 18 meses. 

• El 43% identificó la interrupción operativa como la consecuencia más crítica. 

• El 36% señaló la pérdida de confianza de clientes como el mayor daño. 

Para la auditoría interna, esto significa que los programas de revisión deben incorporar pruebas específicas de ciberseguridad y entender cómo los riesgos tecnológicos se traducen en riesgos de negocio. 

Riesgos clave que debe evaluar la auditoría interna 

La experiencia en diferentes industrias muestra que los principales focos de riesgo son: 

• Accesos no autorizados: Usuarios con privilegios excesivos o cuentas inactivas que permanecen abiertas, lo que facilita fraudes o fugas de información. 
• Vulnerabilidades técnicas sin parchear: Sistemas desactualizados que no reciben actualizaciones de seguridad, expuestos a ataques conocidos.
• Falta de monitoreo en tiempo real: Organizaciones que no detectan intentos de intrusión hasta semanas después.
• Tercerización de servicios sin control: Proveedores externos que manejan datos críticos sin estar alineados con estándares de seguridad. 
• Gestión deficiente de incidentes: Ausencia de planes claros para responder a un ataque y restaurar operaciones con rapidez. 

El caso continuado: de la vulnerabilidad al riesgo estratégico 

En el caso de la empresa de salud, la auditoría interna no se limitó a reportar la falla técnica. El equipo fue más allá: 

• Mapearon los impactos potenciales: pérdida de confianza de pacientes, sanciones regulatorias, interrupción de servicios médicos. 

• Revisaron la cultura de seguridad: descubrieron que muchos empleados compartían contraseñas y que no existían capacitaciones periódicas. 

• Recomendaron un plan de acción: implementar autenticación multifactor, reforzar el monitoreo de accesos y establecer un protocolo de respuesta a incidentes. 

La alta dirección comprendió que no se trataba de un problema de TI aislado, sino de un riesgo estratégico que podía afectar la sostenibilidad del negocio. 

Buenas prácticas para la auditoría interna en ciberseguridad 

La profesión ha identificado prácticas que fortalecen el rol del auditor interno frente a este tipo de riesgos: 

• Incluir ciberseguridad en el plan anual de auditoría: No limitarse a revisiones puntuales, sino incorporar pruebas periódicas de seguridad en sistemas críticos. 
• Coordinar con especialistas en TI: Trabajar de forma integrada con equipos de ciberseguridad, pero manteniendo independencia para evaluar objetivamente los controles. 
• Simulaciones de ataques (red teaming): Ejecutar pruebas de penetración controladas para detectar vulnerabilidades antes que los atacantes reales. 
• Revisión de la gestión de terceros: Verificar que proveedores y aliados cumplan con estándares reconocidos como ISO 27001 o NIST. 
• Evaluación de cultura organizacional: Incluir encuestas y entrevistas para medir la conciencia de seguridad de los empleados. 
• Revisión de planes de continuidad: Confirmar que la organización pueda responder y recuperarse rápidamente tras un ataque. 

El rol estratégico de la auditoría interna 

La auditoría interna ya no puede limitarse a evaluar controles contables o financieros. En un entorno donde los ciberataques pueden detener la operación de una empresa o destruir su reputación, los auditores deben actuar como asesores estratégicos que: 

• Traducen vulnerabilidades técnicas en riesgos comprensibles para la alta dirección. 

• Recomiendan controles que equilibren seguridad con eficiencia operativa. 

• Aportan confianza a inversionistas, reguladores y clientes. 

En la empresa de salud, el comité de auditoría reconoció que la intervención temprana evitó un potencial escándalo de datos y fortaleció la resiliencia organizacional. 

Conclusión: de la técnica a la estrategia 

La ciberseguridad ya no es solo un problema técnico; es un riesgo estratégico que afecta la continuidad del negocio, la reputación y la confianza de los clientes. 

Para la auditoría interna, esto implica ampliar su enfoque: no basta con identificar vulnerabilidades; es necesario comprender su impacto en la organización y proponer soluciones prácticas y sostenibles. 

En 2025, el auditor interno que logre conectar ambos mundos —el técnico y el estratégico— será clave para garantizar no solo la seguridad digital, sino también la solidez del modelo de negocio.