NIGC 1 e Inteligencia Artificial, la base para una auditoría confiable

C.P.C. Ernesto Gerardo Herrera Hurtado Socio en C.C. en Soluciones Contables, S.C.

Ante esta realidad, surge una interrogante: ¿es posible incorporar IA sin contar formalmente con un Sistema de Gestión de la Calidad (SGC) conforme a la Norma Internacional de Gestión de la Calidad (NIGC) 1? La respuesta breve puede ser afirmativa. Desde una perspectiva técnica, una firma puede adquirir y utilizar herramientas de IA sin haber desarrollado previamente un SGC; no obstante, la cuestión más relevante no radica en la posibilidad de hacerlo, sino en la conveniencia de ello.

Comúnmente, se percibe a esta herramienta como una solución capaz de resolver problemas operativos, reducir tiempos de ejecución y mejorar la eficiencia de los equipos. Aunque estas ventajas son reales, existe el riesgo de considerarla como un sustituto de los controles internos y de los procesos de calidad.

Mientras más sofisticada sea la tecnología utilizada, mayor será la necesidad de contar con mecanismos que aseguren que los resultados generados son apropiados, confiables y consistentes con las responsabilidades profesionales del auditor. La IA puede procesar información, pero no asume responsabilidad profesional; asimismo, tampoco garantiza el cumplimiento de normas éticas, requisitos regulatorios o juicios profesionales adecuados.

Por lo anterior, la gestión de calidad debe verse como un requisito previo, obligatorio e independiente de la implementación de cualquier tecnología, en particular de la IA, lo que permitirá utilizarla de manera segura y efectiva.

La NIGC 1 establece que las firmas deben diseñar, implementar y operar un SGC basado en riesgos, con el objetivo de proporcionar una seguridad razonable de que la entidad y su personal cumplen las normas profesionales, así como con los requisitos legales y regulatorios aplicables; asimismo, que los informes emitidos por la firma son apropiados en las circunstancias. Aunque la norma fue emitida antes del auge de muchas herramientas actuales de IA generativa, sus principios son plenamente aplicables al uso de esta y otras tecnologías.

Ahora bien, la NIGC 1 establece la obligación de identificar y atender los riesgos que puedan incidir en la calidad de los encargos: el proceso de valoración de riesgos de la firma de auditoría, gobierno corporativo y liderazgo, requerimientos de ética aplicable, aceptación y continuidad de las relaciones con clientes y de encargos específicos, realización de los encargos, recursos, información y comunicación, así como el proceso de seguimiento y corrección.

Riesgos de implementar la IA sin una estructura de gestión de calidad

La implementación de esta tecnología en las entidades sin una adecuada gestión de sus elementos conlleva una serie de riesgos que se deben considerar:

• Falta de supervisión: uno de los errores más comunes es asumir que los resultados generados por la IA son correctos por definición; algunos modelos pueden producir respuestas convincentes, pero incorrectas, fenómeno conocido como alucinación. Sin procedimientos de revisión y supervisión, estos errores pueden incorporarse a análisis, recomendaciones o informes.
• Uso inadecuado de información confidencial: los sistemas de IA funcionan mediante plataformas externas en la nube. Si no existen políticas claras sobre el manejo de la información, los colaboradores podrían compartir datos sensibles de clientes sin evaluar las implicaciones legales, contractuales o éticas.
• Inconsistencia en los procesos: cuando cada integrante de la firma utiliza herramientas distintas o las emplea bajo criterios personales, los resultados pueden variar significativamente entre equipos y encargos; además, la ausencia de lineamientos genera riesgos de calidad y dificulta la supervisión.
• Dependencia tecnológica: otro riesgo es sustituir el juicio profesional por la confianza excesiva en la tecnología. La IA puede apoyar el análisis, pero no reemplaza el escepticismo profesional ni la responsabilidad del auditor.

¿Qué debería existir antes de implementar la IA?

No es indispensable tener un SGC completamente maduro antes de comenzar a explorar herramientas de IA; sin embargo, sí deberían existir ciertos elementos:

• Liderazgo comprometido: la dirección de la firma debe establecer que la calidad sigue siendo la prioridad, independientemente de las herramientas utilizadas. La tecnología debe apoyar los objetivos de calidad y no convertirse en un factor que los comprometa.
• Políticas sobre el uso de la IA: es recomendable definir elementos como las herramientas autorizadas, información que puede compartirse, niveles de supervisión requeridos, procedimientos de validación y responsables de aprobar su utilización.
• Capacitación: los colaboradores deben comprender tanto las capacidades como las limitaciones de la IA; además, la capacitación no solo debe enfocarse en cómo utilizar una herramienta, sino también en cómo evaluar críticamente sus resultados.
• Evaluación de riesgos: la filosofía de la NIGC 1 está basada en riesgos. Antes de implementar algún tipo de IA, la firma debe preguntarse lo siguiente: ¿qué riesgos introduce esta tecnología?, ¿cómo podrían afectar la calidad del servicio?, ¿qué controles son necesarios para mitigarlos?

Paradójicamente, cuando existe un sistema de calidad sólido, la IA puede convertirse en una herramienta para fortalecerlo, ya que puede ayudar a monitorear el cumplimiento de procedimientos, identificar inconsistencias en documentación, detectar desviaciones en procesos, analizar indicadores de calidad, así como apoyar actividades de seguimiento y monitoreo. En este contexto, la tecnología deja de ser un riesgo aislado y se convierte en un componente del SGC.

Para muchas firmas medianas, implementar simultáneamente la NIGC 1 y una estrategia integral de IA puede parecer una tarea compleja; no obstante, ambas iniciativas pueden desarrollarse de forma paralela.

Un enfoque prudente consiste en fortalecer los elementos fundamentales del SGC, identificar procesos específicos donde la IA pueda generar beneficios, realizar proyectos piloto controlados, evaluar riesgos y resultados, así como incorporar gradualmente la tecnología dentro de los procesos formales. De esta forma, la innovación se desarrolla sobre una estructura sólida y no sobre bases improvisadas.

Conclusiones

La pregunta no es si se puede utilizar la IA sin haber implementado previamente un SGC. En términos prácticos, sí se puede hacer; sin embargo, desde una perspectiva profesional, la verdadera respuesta es que la calidad debe preceder a la tecnología. La IA puede mejorar la eficiencia, acelerar procesos y generar nuevas oportunidades de servicio, pero también introduce riesgos que requieren supervisión, control y responsabilidad profesional (esos son los elementos que busca fortalecer la NIGC 1).

Para las firmas medianas, la mejor estrategia no consiste en elegir entre contar con un SGC o el uso de la IA; el verdadero desafío es integrar ambas iniciativas para que la tecnología contribuya al cumplimiento del objetivo fundamental de la profesión: generar confianza mediante trabajos realizados con calidad, ética y juicio profesional.