El equipo de auditoría interna de una empresa del sector financiero incluyó en el plan anual una revisión al proceso de inversiones, área bajo la responsabilidad del director financiero. El CFO llevaba doce años en la organización, reportaba directamente al CEO y había construido una de las unidades más rentables del grupo. Cuando el DEA le comunicó el alcance de la revisión, la respuesta fue directa: prefería que esa revisión esperara hasta el siguiente año. 

El DEA tenía dos opciones. Ceder y preservar la relación. Sostener su posición y enfrentar la incomodidad. La decisión que tomara en ese momento definiría, más que cualquier informe técnico, el tipo de función que era capaz de construir. 

Auditar áreas de alto poder político dentro de la organización es una de las situaciones más recurrentes y menos documentadas de la carrera del auditor interno. Los manuales técnicos explican cómo evaluar controles. Ninguno explica qué hacer cuando el responsable del área evaluada tiene más acceso al CEO que el propio DEA. 

Por qué el poder político es un riesgo de auditoría 

La independencia del auditor interno no se amenaza únicamente desde fuera de la función. Se erosiona también desde adentro, cuando el DEA toma decisiones sobre qué auditar y qué postergar basándose en la jerarquía informal de la organización en lugar de en la evaluación técnica de riesgos. 

El resultado es un plan anual que, visto desde afuera, parece completo y bien estructurado, pero que sistemáticamente deja fuera los procesos donde el riesgo real es más alto precisamente porque los responsables de esos procesos tienen más poder que el DEA. Esta dinámica no siempre es consciente. En muchos casos es el resultado acumulado de decisiones pequeñas tomadas bajo presión que, individualmente, parecen razonables. 

El comité de auditoría que supervisa la función tiene la obligación de proteger la independencia del DEA frente a estas presiones. Pero esa protección solo funciona si el DEA documenta las restricciones que enfrenta y las comunica formalmente. El silencio ante la presión política no protege a nadie. Deja al DEA solo frente al riesgo y al comité sin la información que necesita para ejercer su función de supervisión. 

Cómo estructurar la conversación con el área de alto poder 

La clave no está en confrontar sino en estructurar. Cuando el DEA comunica el alcance de una revisión a un área políticamente sensible, la forma en que presenta esa comunicación define en gran medida cómo será recibida. Una comunicación que enmarca la revisión como obligación técnica del plan anual aprobado por el comité es estructuralmente más sólida que una que depende de la relación personal del DEA con el director del área. 

Esto implica que el plan anual debe estar formalmente aprobado por el comité con el alcance específico de cada revisión, antes de que el DEA lo comunique a las áreas. Cuando la aprobación del comité precede a la comunicación al área, el DEA no está ejerciendo una prerrogativa personal. Está ejecutando un mandato del órgano de supervisión de la organización. Esa diferencia es la que sostiene la posición del DEA cuando el director del área expresa resistencia. 

La documentación como protección profesional 

Toda restricción de alcance, toda solicitud de postergación y toda presión informal para modificar el enfoque de una revisión debe quedar registrada en el expediente del encargo. No como un acto de confrontación, sino como parte de la trazabilidad profesional del trabajo de la función. 

Esta documentación cumple tres funciones. Primero, protege al DEA si en el futuro se cuestiona por qué cierta área no fue auditada con el alcance que el riesgo requería. Segundo, proporciona al comité la información que necesita para evaluar si las condiciones de independencia de la función son adecuadas. Tercero, construye un registro histórico que permite identificar patrones de resistencia sistemática que merecen atención del máximo órgano de gobierno. 

El rol del comité como escudo institucional 

El DEA que enfrenta presión política de un área de alto poder no debería gestionar esa presión de forma individual. Eso es precisamente para lo que existe el comité de auditoría. Cuando la resistencia de un área supera lo que el DEA puede manejar en el marco de su relación directa con el director responsable, el comité es el canal correcto para escalar la situación. 

Esto requiere que el DEA haya construido previamente una relación de confianza con el comité, basada en reportes oportunos, información verificable y comunicación directa sobre los desafíos que enfrenta la función. Un comité que recibe esta información solo cuando hay una crisis no tiene el contexto necesario para actuar con efectividad. Un comité que ha sido informado consistentemente sobre el estado de la función puede intervenir con autoridad y legitimidad cuando la situación lo requiere. 

AuditBrain Internal permite registrar estas comunicaciones y restricciones dentro del expediente del encargo con trazabilidad completa, vinculadas al hallazgo o al proceso afectado. El DEA que opera con este nivel de documentación no solo protege su posición profesional. Demuestra al comité que la función opera con el rigor institucional que justifica su existencia. La independencia del auditor interno no se declara. Se construye encargo por encargo, decisión por decisión, con documentación que lo demuestre.