Serie: Gobernanza en la era de la IA

Retrocedamos apenas un par de años y la adopción de la inteligencia artificial en el entorno corporativo se sentía como una novedad fascinante, pero relativamente contenida. Nos maravillábamos con asistentes virtuales capaces de redactar correos electrónicos con tono impecable, resumir informes financieros de cincuenta páginas en tres viñetas o generar código de programación a partir de instrucciones básicas. Era la era del ‘copiloto’: una herramienta poderosa, sí, pero que siempre requería que un humano estuviera al volante, validando cada giro y pisando el acelerador.

Ese paradigma hoy está fuera de época. Hemos cruzado un punto de inflexión tecnológico y operativo de forma silenciosa. Ya no estamos en la era de la asistencia, sino que hemos entrado de lleno en el amanecer de la empresa agéntica (The Agentic Enterprise).

Como Directores de Auditoría (CAEs), líderes de riesgo y profesionales del control interno, esto no es un mero avance de software para que el departamento de TI administre. Es un cambio tectónico en la forma en que el riesgo se manifiesta en nuestras organizaciones y, por lo tanto, exige una transformación radical en nuestra forma de auditar.

¿Qué es exactamente una empresa agéntica?

Para comprender la magnitud de este cambio, debemos aislar una palabra clave: Agencia.

En sociología y filosofía, la agencia es la capacidad de un individuo para actuar independientemente y tomar sus propias decisiones libres. En el terreno de la tecnología, una compañía agéntica es aquella que cede esta capacidad a redes de sistemas de inteligencia artificial. Ya no se habla de algoritmos que analizan una gran cantidad de datos para ofrecer un panel de control (dashboard) a un gerente humano. Estamos hablando de sistemas autónomos que operan en segundo plano, interactuando directamente con nuestros ERPs (sistemas de planificación de recursos), ejecutando pagos, renegociando contratos con proveedores en tiempo real o ajustando la cadena de suministro sin intervención humana directa.

Los incentivos para que las empresas acometan esta transformación son enormes e innegables. Los consejos directivos y los CEOs quieren una hiper-eficiencia operativa, una escalabilidad sin precedentes y, sobre todo, la capacidad de reaccionar en milisegundos operando 24 horas al día, 7 días a la semana. En un escenario competitivo tan encarnizado, la delegación de decisiones tácticas a redes autónomas de IA no se contempla ya como ventaja competitiva, sino como requisito de supervivencia.

Sin embargo, esta velocidad plantea un desafío existencial para la función de Auditoría: ¿Cómo garantizamos el control, la ética y la trazabilidad de decisiones que ocurren en fracciones de segundo y de forma autónoma? Intentar auditar a una empresa agéntica con los marcos de control interno diseñados para el software del siglo XX es tan ineficaz como detener un tren bala con una señal de alto de madera.

La paradoja del control en tiempos de permacrisis

Para comprender por qué las empresas están dispuestas a delegar el control a las máquinas, debemos entender el contexto global en el que operamos. No es una coincidencia que la Empresa Agéntica surja en este preciso momento de la historia.

Vivimos en un estado de permacrisis; como hemos conversado en publicaciones anteriores, la permacrisis define un período extendido de inestabilidad global, volatilidad en las cadenas de suministro, tensiones geopolíticas e incertidumbre macroeconómica. Las crisis dejaron de ser incidentes puntuales; ahora constituyen el escenario habitual de la operación, por lo que proponemos adaptarnos proactivamente.

En la permacrisis, las reglas estáticas y la intervención humana manual son simplemente lentas. Si a las 3 de la madrugada se rompe la cadena de suministro de un componente clave por un repentino conflicto geopolítico, esperar hasta el martes a las 10 de la mañana para que se reúna el comité de compras y busque alternativas puede costar millones de dólares en pérdidas de producción. La IA agéntica promete resolver esta lentitud: un sistema que detecta la disrupción, busca proveedores alternativos preaprobados, negocia la tarifa con base en parámetros históricos y emite la orden de compra antes de que el director de operaciones despierte.

Aquí es donde se hace más patente nuestra mayor paradoja como profesionales de riesgo: los sistemas deben ser rápidos y autónomos para que el negocio sobreviva, pero esa misma autonomía, sin los límites (o guardrails) adecuados, es capaz de destruir la organización a una velocidad jamás vista.

De autopsia a arquitectura: El mandato de auditoría

La auditoría interna, tradicionalmente, se ha sentido cómoda actuando en el ámbito de la retrospectiva. El trabajo consistía en evaluar una muestra de transacciones pasadas, identificar en dónde se habían apartado de las políticas establecidas y emitir recomendaciones para que el error no se repitiera. En muchos sentidos éramos excepcionales historiadores del riesgo.

Sin embargo, en la empresa agéntica, este enfoque retrospectivo no sirve de nada. Si un algoritmo autónomo de nuestra empresa sufre una alucinación lógica y asume una posición financiera desastrosa en milisegundos, enviar un equipo de auditores seis meses después a revisar la bitácora de eventos, no es un ejercicio de aseguramiento; es una autopsia. El daño económico, de imagen y legal está hecho, y sucedió a la velocidad de la luz.

Nuestra profesión ha visto esta amenaza a nuestra existencia y desde nuestras más altas esferas hemos respondido. El cambio de paradigma ya no es una propuesta innovadora, es una norma obligatoria.

Si estudiamos las Nuevas Normas Globales de Auditoría Interna (NOGAI) que ha publicado el Institute of Internal Auditors (IIA) y que están en vigor desde el año 2024, observaremos que hay un mensaje claro y contundente, especialmente en su Dominio IV (Gestión de la Función de Auditoría Interna) y en la Norma 10.3 sobre Recursos Tecnológicos. Esta norma establece que el Director de Auditoría Interna (CAE) debe asegurar que la función de auditoría adquiera, implemente y utilice de manera efectiva los recursos tecnológicos necesarios para cumplir con su mandato. En el contexto actual, esto significa que es inaceptable que la función de auditoría carezca de las competencias, herramientas y marcos metodológicos para auditar ecosistemas autónomos. Si el negocio utiliza IA para operar, la auditoría debe dominar la IA para ejercer control.

Aún más inspirador es el llamado a la acción que plantea la Visión 2035 del IIA. Este proyecto global traza la ruta evolutiva de nuestra profesión, instándonos a abandonar nuestra zona de confort como meros proveedores de aseguramiento reactivo (hindsight y insight) para convertirnos en asesores estratégicos armados con verdadera capacidad de previsión (foresight).

Desarrollar foresight en la era de la IA agéntica significa anticiparse a cómo un modelo autónomo podría fallar antes de que siquiera sea puesto en producción. Significa sentarse en la mesa de diseño con los ingenieros de datos y los desarrolladores de software desde el día cero, exigiendo la incorporación de registros inmutables, límites de autoridad claros y "botones de pánico" (kill switches) automatizados.

El arquitecto de la confianza

El riesgo tecnológico ha dejado de ser una preocupación de nicho confinada a los sótanos del departamento de TI; hoy es el riesgo estratégico número uno del negocio. Cuando la inteligencia artificial asume la agencia sobre decisiones financieras, operativas y legales de nuestra organización, la confianza no puede darse por sentada. No podemos simplemente confiar ciegamente en la reputación del proveedor tecnológico que nos vendió el modelo fundacional.

La confianza, en la empresa agéntica, no se asume; se diseña, se orquesta y se audita de forma continua.

Como auditores internos, tenemos la oportunidad de redefinir nuestro rol para diseñar y auditar la confianza en la era de la IA. Debemos despojarnos del traje de revisores retrospectivos y asumir nuestro nuevo rol: debemos convertirnos en los arquitectos de la confianza. Solo así garantizaremos que, mientras la IA acelera la competitividad de nuestras empresas a través de la permacrisis, los frenos institucionales funcionen con absoluta precisión.

En la próxima entrega de esta serie, desglosaremos a nivel técnico y operativo exactamente cómo se ve este salto cuántico. Dejaremos atrás la automatización tradicional (RPA) para adentrarnos en la anatomía de un sistema autónomo y entender cómo el auditor debe evaluar sistemas que ya no siguen reglas estrictas, sino que razonan por sí mismos.