El director de auditoría interna de una compañía del sector industrial presentó su informe trimestral ante el comité de auditoría. Expuso tres hallazgos de alto impacto, incluyendo debilidades en la segregación de funciones del área de tesorería. La presentación duró cuarenta minutos. Las preguntas del comité duraron dos. 

«¿Algo más?» fue la respuesta del presidente del comité antes de pasar al siguiente punto del orden del día. 

Ese silencio no es señal de conformidad. Es una de las señales de alerta más serias que un auditor interno puede encontrar en su ejercicio profesional. 

Cuando el órgano de supervisión no supervisa 

Las Normas Globales de Auditoría Interna (NOGAI) establecen con claridad que la función de auditoría interna debe mantener una relación efectiva con el órgano de gobierno. El Estándar 9.1 exige que el director de auditoría interna comprenda los procesos de gobernanza de la organización, y parte de esa comprensión implica evaluar si el comité de auditoría realmente cumple su rol. 

Un comité que no cuestiona, no profundiza y no exige seguimiento a los hallazgos críticos no está ejerciendo su función de supervisión. Y cuando esto ocurre, el riesgo organizacional se multiplica porque desaparece la última línea de defensa antes de que un problema menor se convierta en crisis. 

Cinco señales de que el comité no está funcionando 

Existen patrones recurrentes que indican debilidad en la gobernanza del comité de auditoría. El auditor interno debe estar atento a cada uno de ellos. 

• Primero, la ausencia de preguntas sustantivas. Un comité que recibe informes de auditoría sin cuestionar las causas raíz de los hallazgos, sin pedir evidencia adicional o sin solicitar contexto sobre el impacto financiero u operacional no está cumpliendo su mandato. 
• Segundo, el seguimiento inexistente. Si los hallazgos reportados en trimestres anteriores no aparecen en la agenda de reuniones posteriores, significa que las recomendaciones se pierden en el vacío organizacional. Nadie verifica, nadie exige, nadie responde. 
• Tercero, la composición inadecuada. Comités integrados por miembros sin experiencia en gestión de riesgos, control interno o finanzas difícilmente podrán hacer las preguntas correctas. La independencia formal no sustituye la competencia técnica. 
• Cuarto, las reuniones que son trámite. Cuando las sesiones del comité duran menos de lo programado, cuando no se discuten temas difíciles y cuando las actas reflejan aprobaciones unánimes sin debate, la supervisión se convierte en formalidad. 
• Quinto, la presión para suavizar hallazgos. Si la dirección general solicita al auditor interno modificar la clasificación de un hallazgo antes de presentarlo al comité, o si el comité valida esa práctica sin cuestionarla, la independencia de auditoría interna está comprometida. 

Qué puede hacer el auditor interno 

Frente a un comité débil, el auditor interno no puede quedarse de brazos cruzados. Existen acciones concretas que fortalecen la relación y elevan el nivel de supervisión. 

• La primera es educar con información. Incluir en los informes comparativos de tendencias, indicadores de exposición al riesgo y proyecciones de impacto financiero. Cuando los datos hablan con claridad, las preguntas surgen de manera natural. 
• La segunda es proponer reuniones privadas. El Estándar 11.1 de las NOGAI contempla que el director de auditoría interna mantenga comunicación directa con el órgano de gobierno. Las sesiones sin presencia de la administración permiten abordar temas sensibles con mayor franqueza. 
• La tercera es documentar todo. Si el auditor interno reportó un riesgo significativo y el comité no actuó, esa documentación se convierte en respaldo profesional ante cualquier consecuencia futura. 
• La cuarta es escalar cuando sea necesario. Si las señales persisten y el comité continúa sin ejercer su función, el auditor interno tiene la responsabilidad ética de buscar canales alternativos, incluyendo reguladores o juntas directivas superiores, dependiendo de la estructura de gobierno de la organización. 

El silencio tiene consecuencias 

Los casos más emblemáticos de fraude corporativo y colapso empresarial comparten un elemento común: comités de auditoría que no hicieron las preguntas que debían hacer. La gobernanza no falla el día de la crisis. Falla en cada reunión donde el comité decidió no profundizar, no cuestionar y no exigir respuestas. 

El auditor interno que identifica un comité débil y decide callar se convierte en parte del problema. El que actúa con profesionalismo, documenta y busca fortalecer la supervisión cumple con la esencia misma de su función: proteger el valor de la organización.