Durante décadas, la auditoría ha sido entendida, principalmente, como un ejercicio de revisión retrospectiva. Se examinan operaciones realizadas, se verifica el cumplimiento de disposiciones y procedimientos, se identifican desviaciones y, finalmente, se emite una opinión o un informe sobre hechos que ya ocurrieron. Esta función sigue siendo indispensable para las organizaciones para rendir cuentas, conocer si sus recursos fueron utilizados correctamente y determinar las causas y responsabilidades cuando se presentan irregularidades. El problema surge cuando la auditoría se limita a explicar el daño después de que éste se ha materializado.

Cuando se detecta un pago improcedente, un conflicto de interés, una sustracción de inventario o una contratación irregular, el hallazgo puede estar técnicamente bien sustentado y la investigación puede incluso identificar a los responsables. Sin embargo, el dinero quizá ya salió de la organización, la relación con el proveedor ya produjo consecuencias, la evidencia comenzó a dispersarse y la confianza de clientes, inversionistas o ciudadanos ya resultó afectada. En esas condiciones, la auditoría cumple su función de esclarecimiento, pero llega tarde para proteger los recursos.

Auditar ya no debería significar únicamente reconstruir lo sucedido, sino también generar información que permita anticipar riesgos, advertir comportamientos atípicos y corregir debilidades antes de que se conviertan en pérdidas.

El primer desafío consiste en reconocer que las pérdidas no siempre se presentan de forma evidente ni tienen una única explicación. En la práctica, la frontera entre fraude, error e ineficiencia puede ser difícil de distinguir. Las compras reiteradas fuera de contrato podrían responder a una emergencia operativa, a una planeación deficiente o al interés de favorecer a determinado proveedor.

Por ello, una auditoría preventiva no debería partir de acusaciones, sino de riesgos y señales de alerta. Su propósito inicial es identificar operaciones, relaciones o comportamientos que se apartan de lo esperado y que requieren una explicación razonable. La anomalía no demuestra por sí misma la existencia de un fraude, pero sí proporciona un criterio objetivo para decidir dónde concentrar la revisión. Esta distinción es fundamental, una herramienta analítica puede señalar que algo es inusual; corresponde al auditor investigar su contexto, contrastarlo con evidencia y determinar su relevancia.

El método tradicional de muestreo presenta limitaciones frente a este escenario. Seleccionar una parte representativa de las operaciones continúa siendo válido para numerosos objetivos de auditoría, pero puede resultar insuficiente cuando las irregularidades se distribuyen entre transacciones pequeñas, periodos distintos o múltiples unidades administrativas. Quien conoce los controles de una organización también puede conocer sus umbrales de autorización y revisión.

Una muestra puede confirmar si determinados expedientes cumplen con los requisitos establecidos, pero difícilmente revelará un patrón que solo resulta visible al relacionar miles de registros. Ésa es una de las transformaciones más importantes que ofrecen actualmente la analítica de datos y la inteligencia artificial, la posibilidad de examinar poblaciones completas de operaciones y encontrar coincidencias, concentraciones, secuencias o desviaciones que no suelen advertirse mediante revisiones aisladas.

Estas capacidades representan un avance significativo, pero deben analizarse sin exageraciones. Revisar el cien por ciento de una base de datos no equivale a conocer el cien por ciento de lo ocurrido. La tecnología solo puede procesar la información que la organización registra y conserva. Si los datos están incompletos, duplicados, dispersos o capturados sin criterios uniformes, el análisis también tendrá limitaciones. Además, no todas las decisiones relevantes quedan asentadas en un sistema: algunos acuerdos se producen fuera de los canales institucionales y determinadas irregularidades se ocultan, precisamente, mediante documentación aparentemente correcta.

La inteligencia artificial tampoco sustituye el juicio profesional. Un algoritmo puede identificar una coincidencia entre dos proveedores, pero no determinar automáticamente si existe una relación indebida. Puede advertir que un precio es atípico, pero no conocer, sin información adicional, si hubo una condición técnica, logística o de mercado que lo justificara.

El valor de estas herramientas no radica en producir acusaciones automáticas, sino en ampliar la capacidad de observación del auditor; su utilidad depende, por tanto, de la combinación entre tecnología, conocimiento del negocio, escepticismo profesional y evidencia suficiente.

Esa combinación también permite advertir algo que con frecuencia se pierde de vista, no toda fuga de recursos proviene de un fraude. Las organizaciones pueden perder cantidades importantes por duplicidad de actividades, autorizaciones innecesarias, procesos mal coordinados, fallas en la planeación, controles que existen únicamente en documentos o sistemas que no intercambian información. Estas ineficiencias suelen acumularse silenciosamente. Ninguna operación parece suficientemente grave para provocar una investigación, pero el efecto conjunto puede erosionar de manera considerable los márgenes, el presupuesto y la capacidad de operación.

Una auditoría concebida con una perspectiva más amplia puede revelar esos costos ocultos. Esta mirada resulta particularmente relevante en entornos donde el control se ha convertido en una sucesión de firmas y formatos que no necesariamente reduce los riesgos. Un proceso puede estar documentado y, al mismo tiempo, ser lento, costoso y vulnerable.

En ese sentido, controlar más no siempre significa controlar mejor. La auditoría moderna debe ser capaz de cuestionar no solo el incumplimiento de los controles, sino también su pertinencia. A veces, el problema no consiste en que un procedimiento haya sido ignorado, sino en que fue diseñado sin comprender el riesgo que pretendía atender.

La transformación tampoco se consigue mediante la simple adquisición de una plataforma tecnológica. Antes de automatizar alertas, una organización necesita definir qué conductas desea detectar, cuáles son sus operaciones críticas, qué desviaciones resultan relevantes y quién será responsable de analizarlas. Necesita contar con matrices de riesgo actualizadas, reglas de negocio comprensibles, datos confiables y protocolos para documentar, escalar e investigar las señales identificadas.

El componente preventivo de la auditoría depende, además, de su capacidad para convertir los resultados en decisiones. Detectar reiteradamente una misma excepción sin modificar el control que la permite transforma la revisión en un ritual. La verdadera prevención comienza cuando los hallazgos se traducen en ajustes a los procesos, responsabilidades más claras, controles proporcionales al riesgo y mecanismos de seguimiento que permitan comprobar si las medidas adoptadas funcionaron.

La auditoría aporta más valor cuando, además de señalar una desviación, explica por qué fue posible, qué condiciones podrían hacer que se repita y qué medidas resultarían razonables para prevenirla sin obstaculizar innecesariamente la operación.

Pasar de una auditoría retrospectiva a una función preventiva no significa prometer que todos los fraudes podrán evitarse. Ningún sistema de control ofrece una garantía absoluta y siempre existirán riesgos derivados de la colusión, el abuso de autoridad o la elusión deliberada de controles. La finalidad es reducir la probabilidad de ocurrencia, aumentar la posibilidad de detección temprana y limitar el impacto cuando una irregularidad se presenta.

La auditoría que revisa el pasado seguirá siendo necesaria para rendir cuentas y esclarecer responsabilidades. Pero la que utiliza ese conocimiento para anticipar riesgos, identificar ineficiencias y fortalecer decisiones cumple una función todavía más valiosa, evita que el informe final sea apenas la explicación técnicamente correcta de una pérdida que pudo haberse prevenido.