Comités de auditoría deben dejar de ser reactivos y convertirse en socios estratégicos del directorio, según expertos en Lima

Ante un entorno de riesgos empresariales cada vez más complejo y volátil, especialistas en auditoría corporativa y gestión de riesgos coincidieron en que las organizaciones deben abandonar los enfoques reactivos y migrar hacia modelos preventivos que integren tecnología, gobernanza y cultura organizacional. El llamado se produjo durante el panel “Auditoría y control interno: adaptación a crisis concurrentes”, organizado por la Asociación de Secretarios Corporativos de América Latina (ASCLA) en la Torre KPMG de San Isidro, Lima, en el marco del encuentro anual de la institución.

El evento, moderado por Zelma Acosta Rubio, presidenta del Consejo Consultivo de ASCLA, reunió a Rafael Salazar Tafur, director independiente y consultor máster en innovación y emprendimiento, y a Óscar Mere, socio de Auditoría de KPMG en Perú. Los tres expertos abordaron desde distintos ángulos la transformación que atraviesa la función auditora en un contexto donde los riesgos digitales, operativos y estratégicos convergen con una frecuencia e intensidad sin precedentes.

El debate giró en torno a tres ejes: el nuevo rol del auditor como socio estratégico de la alta dirección, el uso de inteligencia artificial y herramientas de análisis de datos para fortalecer el control interno, y la necesidad de construir una cultura de ciberseguridad que coloque al factor humano en el centro de la gestión de amenazas digitales.

La sesión se desarrolló ante directores de empresa, miembros de comités de auditoría y secretarios corporativos de distintos países de la región, con el propósito de ofrecer perspectivas prácticas y aplicables para el fortalecimiento de los sistemas de control en las organizaciones latinoamericanas.

El auditor como socio estratégico del directorio

Salazar subrayó que la figura del auditor debe desprenderse de su imagen tradicional como agente fiscalizador o punitivo, para consolidarse como un aliado del directorio en la toma de decisiones. Según el consultor, esta transformación exige que la gestión basada en riesgos conecte de manera explícita el planeamiento estratégico con los objetivos operativos, de cumplimiento y de reporte de la organización.

“La empresa debe identificar qué situaciones pueden afectar el cumplimiento de sus objetivos, identificar qué consecuencias tendría esto y cuáles son los controles que te permiten mitigar, reducir o transferir el riesgo”, afirmó Salazar durante el panel. El experto también resaltó que la comunicación del auditor con el directorio debe ser efectiva y desprovista de tecnicismos, condición indispensable para que los hallazgos generen cambios reales en la gestión.

Tecnología al servicio del juicio crítico

Mere planteó que las herramientas digitales no sustituyen al auditor, sino que amplían su capacidad de análisis. El socio de KPMG Perú explicó que tecnologías como la inteligencia artificial permiten procesar contratos con mayor rapidez, extraer datos de facturas de forma automática y detectar patrones que de otro modo pasarían inadvertidos, pero que ninguna de estas funciones reemplaza el escepticismo y la curiosidad que definen al buen auditor.

“Para que un auditor haga un buen trabajo hoy en día, necesita ser escéptico, curioso y tener la mayor cantidad de herramientas posibles para poder hacer mejores preguntas. En el mundo de la auditoría ahora hay mucho involucramiento de la inteligencia artificial, que te permiten leer más rápido los contratos o extraer mucho más rápido los datos de las facturas, pero eso no reemplaza al humano, sí le da herramientas tecnológicas para que tu inteligencia natural y tu capacidad de análisis se expanda”, afirmó Mere.

La matriz de riesgos como organismo vivo

Mere también advirtió sobre uno de los errores más frecuentes en la gestión corporativa: tratar la matriz de riesgos como un documento estático que se elabora una vez al año y se archiva. Para el socio de KPMG, este instrumento debe actualizarse de manera permanente y mantenerse articulado con las áreas que generan el negocio.

“La matriz de riesgos es útil, pero debe ser un organismo vivo que se actualice constantemente. Debemos mantener una comunicación estrecha con las áreas que generan el negocio, como comercial, logística y personal, que son las más expuestas a vulnerabilidades”, señaló. La recomendación apunta a que los comités de riesgos y auditoría trasciendan la formalidad documental y adopten una dinámica de monitoreo continuo, con equipos multidisciplinarios que combinen experiencia sectorial y dominio técnico.

Ciberseguridad: el eslabón humano

Acosta Rubio cerró el encuentro con una advertencia que los especialistas coinciden en señalar como el desafío más persistente de la seguridad corporativa: el factor humano. La presidenta del Consejo Consultivo de ASCLA planteó que la ciberseguridad debe concebirse como un sistema circular donde la persona ocupa el centro, lo que exige un enfoque integral de cultura y capacitación que vaya más allá de la instalación de software o la implementación de protocolos técnicos.

“Debemos colocar en valor el buen comportamiento en ciberseguridad y promover una cultura donde se entienda que hábitos perniciosos, como caer en correos de phishing, pueden comprometer toda la operatividad de la empresa”, señaló Acosta Rubio. Su intervención instó a las organizaciones a fortalecer sus prácticas internas frente a la creciente ola de ataques digitales que afecta a las empresas peruanas.

40.000 ciberataques al mes: la escala del problema en Perú

Las cifras que rodean al cibercrimen en el país ilustran la magnitud del reto. Perú registra aproximadamente 40.000 ciberataques por mes, una cifra que refleja una tendencia global de escalada de amenazas digitales dirigidas tanto a grandes corporaciones como a organizaciones de menor tamaño. Ante este escenario, Salazar recomendó el uso de herramientas como Kaspersky para monitorear en tiempo real el volumen y la evolución de las amenazas globales.

El panel concluyó con un llamado directo a los comités de auditoría de la región: abandonar los procesos lentos y anacrónicos, adoptar metodologías ágiles, evaluar los riesgos de forma transversal y permanente, y conformar equipos que combinen la experiencia generacional con el dominio técnico necesario para responder a un entorno que no da tregua.