Aseguramiento calidad

Aseguramiento de calidad de la auditoría (QAIP)

Propósito

El Programa de Aseguramiento y Mejora de la Calidad (QAIP — Quality Assurance and Improvement Program) garantiza que la función de auditoría interna opere conforme a las Normas Globales del IIA y agregue valor consistente. Esta SKILL guía su diseño y operación.

Sin QAIP, la función no puede declarar conformidad con las Normas, lo que limita su credibilidad ante el Comité de Auditoría y reguladores.

Cuándo activar esta SKILL

• Al diseñar o actualizar el QAIP de la función.
• En cada revisión periódica de calidad (autoevaluaciones, revisiones de supervisión).
• Antes y durante una evaluación externa de calidad (EQA).
• Cuando se reporten al Comité los indicadores de la función de auditoría.
• Cuando el usuario pregunte por madurez de la función, KPIs, conformidad con IIA.

Marco de referencia

• Normas Globales de Auditoría Interna (IIA, 2025):
  • Dominio III: Gobernanza de la función de auditoría interna
  • Dominio IV: Gestión de la función
  • Principio 12: Mejorar la calidad
  • Estándar 12.1: Programa de aseguramiento y mejora de la calidad
  • Estándar 12.2: Evaluación interna
  • Estándar 12.3: Evaluación externa
  • Estándar 12.4: Comunicar los resultados del QAIP
• IIA Quality Assessment Manual (cuando aplique).
• Código de Ética del IIA.

Componentes del QAIP

El QAIP debe ser continuo y abarcar tres niveles:

1. Supervisión continua de los engagements

• Revisión por el responsable del engagement antes de la emisión del informe.
• Revisión por el director de auditoría (CAE) o delegado para informes significativos.
• Lista de verificación estándar para cierre de papeles de trabajo.
• Indicadores en tiempo real (porcentaje de pruebas con revisor asignado, tiempos de cierre, etc.).

2. Evaluaciones internas periódicas

• Autoevaluación: la propia función evalúa su conformidad con las Normas. Anual.
• Revisión de pares interna: equipos cruzados revisan engagements terminados para evaluar calidad y consistencia.
• Revisión de archivo post-emisión: una muestra de archivos finalizados es revisada con detalle.

3. Evaluación externa (EQA)

• Obligatoria al menos cada 5 años según las Normas IIA.
• Ejecutada por evaluador o equipo independiente y calificado.
• Modalidades: full external (un equipo externo realiza todo) o autoevaluación con validación independiente externa.
• Resultado: opinión sobre la conformidad ("Conforma generalmente / Conforma parcialmente / No conforma") más recomendaciones.

Indicadores típicos del QAIP (KPIs)

Categoría	Indicador
Cumplimiento del plan	% de engagements completados vs plan / desviación de horas
Oportunidad	Días promedio de emisión de informe desde cierre de campo
Calidad técnica	% de engagements con revisión completada / hallazgos por engagement / repetitivos
Valor agregado	Recomendaciones implementadas / impacto cuantificado / cobertura del universo de riesgos
Independencia	Casos de deterioro reportados / presiones documentadas
Talento	Horas de formación per cápita / certificaciones (CIA, CISA, CFE…) / rotación
Satisfacción	Encuesta de satisfacción del auditado y del Comité de Auditoría
Eficiencia	Costo por hora de auditoría / horas de auditoría por unidad de riesgo cubierta

Encuesta de satisfacción

Se aplica al cierre de cada engagement al auditado y, periódicamente, al Comité de Auditoría. Preguntas típicas:

• ¿La planeación fue clara y oportuna?
• ¿El equipo demostró competencia técnica?
• ¿Las observaciones fueron objetivas y se basaron en evidencia?
• ¿Las recomendaciones son útiles y accionables?
• ¿La comunicación fue oportuna y profesional?
• ¿La auditoría aportó valor?

Escala numérica + comentario abierto. Reportar resultados consolidados, no individuales (proteger anonimato).

Proceso de evaluación interna

Anual

1. Autoevaluación de conformidad con cada Estándar:
   • Revisar literal por literal cada estándar aplicable.
   • Calificar conformidad (conforma / conforma parcialmente / no conforma).
   • Documentar evidencia.
2. Revisión de archivos: muestra de engagements (típicamente 10–20%) revisada por par interno o supervisor que no participó.
3. Análisis de KPIs del año.
4. Resultado de encuestas consolidado.
5. Plan de mejora con acciones y responsables.

Continuo

• Listas de verificación al cierre de cada engagement.
• Indicadores actualizados al menos mensualmente.
• Reporte trimestral de tendencias al CAE.

Proceso de evaluación externa (EQA)

Preparación (3–6 meses antes)

1. Definir alcance, modalidad (full vs validation) y calendario.
2. Seleccionar evaluador independiente (criterios: certificación CIA o equivalente, experiencia, no conflicto de interés).
3. Aprobar términos en Comité de Auditoría.
4. Preparar documentación: Estatuto, política, plan, manuales, archivos seleccionados, resultados de QAIP interno.

Ejecución

1. El evaluador revisa documentación, archivos seleccionados, entrevista al equipo y a stakeholders (Comité, CEO, CFO, gerencias clave).
2. Valida conformidad con cada Estándar.
3. Borrador del informe.
4. Reunión de cierre, ajustes, informe final.

Resultado

El evaluador emite una opinión con uno de tres niveles (terminología IIA):

• Conforma generalmente: la función está alineada con las Normas; pueden existir oportunidades de mejora menores.
• Conforma parcialmente: hay desviaciones que afectan parcialmente la conformidad.
• No conforma: la función no opera conforme a las Normas en aspectos materiales.

El resultado se reporta al Comité de Auditoría y la calificación se utiliza en el informe de la función ("la función opera de conformidad con las Normas Globales de Auditoría Interna del IIA").

Comunicación del QAIP

El CAE reporta al Comité de Auditoría al menos anualmente:

• Estado de conformidad con las Normas.
• Resultados de evaluaciones internas.
• Resultado más reciente de la EQA y avance del plan de acción.
• KPIs de la función.
• Plan de mejora.

Si la función no puede declarar conformidad, debe explicar específicamente qué Estándares no cumple y por qué.

Rol del CAE

El director ejecutivo de auditoría (CAE) es el dueño del QAIP. No puede delegar la responsabilidad última. Debe:

• Diseñar el QAIP y asegurar su recursos.
• Asegurar la independencia del evaluador externo.
• Comunicar resultados al Comité.
• Mantener actualizada la formación y certificación del equipo.
• Salvaguardar la independencia y objetividad en todo momento.

Banderas rojas

• Función que opera durante años sin EQA.
• Autoevaluaciones que siempre concluyen "todo conforma" sin sustento.
• KPIs que se reportan pero no se actúa sobre ellos.
• Encuesta de satisfacción aplicada por la misma persona que ejecutó el engagement.
• Evaluador externo con relaciones previas con la organización.
• Plan de mejora con acciones repetitivas año a año (señal de no implementación).
• CAE que reporta al CFO o a otro nivel con conflicto de interés en lugar del Comité.

Buenas prácticas

• Independencia del CAE: línea funcional de reporte al Comité de Auditoría; línea administrativa al CEO. Nunca al CFO.
• Documentar el código de ética y rotaciones para evitar autorrevisión.
• Plan de capacitación anual con horas mínimas (40 horas/año por persona es referencia común).
• Programa de certificaciones: CIA, CISA, CFE, CGAP, CRMA, según especialidades cubiertas.
• Madurez progresiva: usar modelos como IA-CMM (Internal Audit Capability Maturity Model) para avanzar de nivel reactivo a integrado.

Conexión con otras SKILLs

• Supervisa la calidad de todas las demás SKILLs.
• Sus indicadores se alimentan de los outputs de cada SKILL de proceso.
• Las EQAs revisan archivos producidos vía papeles-trabajo.
• Los hallazgos del QAIP se gestionan internamente con la lógica de seguimiento-recomendaciones aplicada a la propia función.