En muchas organizaciones, los riesgos no desaparecen.
Se mantienen. Se repiten. Se integran al día a día hasta volverse parte del funcionamiento normal.

Ese fenómeno poco discutido pero altamente peligroso se conoce como normalización del riesgo.

Cuando una exposición relevante deja de incomodar, deja de generar urgencia y deja de provocar decisiones, la organización entra en una falsa sensación de estabilidad. El riesgo sigue ahí, pero ya no se percibe como tal.

Y en ese punto, la auditoría interna enfrenta uno de sus mayores desafíos profesionales.

El problema no es identificar el riesgo, es convivir con él

En la práctica, no es extraño encontrar:

• Riesgos críticos identificados desde hace años
• Hallazgos que se repiten auditoría tras auditoría
• Recomendaciones aceptadas formalmente, pero no ejecutadas
• Acciones correctivas que siempre quedan para después

El riesgo no sorprende.
La gerencia lo conoce.
El informe lo documenta.

Sin embargo, nada cambia.

Aquí el problema ya no es técnico.
Es decisional.

Cuando el riesgo se normaliza, la organización se adapta… mal

La normalización del riesgo ocurre cuando la organización aprende a operar con exposiciones relevantes sin consecuencias visibles en el corto plazo. El razonamiento implícito suele ser simple y peligroso:

“Siempre ha estado ahí y no ha pasado nada”.

Ese razonamiento genera efectos acumulativos:

• El riesgo pierde prioridad frente a lo urgente
• Las debilidades se perciben como “parte del negocio”
• Se posterga la inversión en controles
• Las responsabilidades se diluyen
• El órgano de gobierno recibe información, pero no presión real para decidir

En este escenario, la auditoría interna corre el riesgo de convertirse en un actor meramente formal, más asociado al cumplimiento que a la generación de valor.

El límite del enfoque tradicional de auditoría

Cuando el informe se enfoca únicamente en describir:

• Incumplimientos normativos
• Controles inexistentes o inefectivos
• Procedimientos no ejecutados

…la conversación se queda en el plano operativo.

La gerencia escucha algo que, en esencia, ya sabe.
El hallazgo existe, pero no genera urgencia ni decisión.

Ahí es donde la auditoría pierde influencia, no por falta de rigor, sino por falta de conexión estratégica.

Del hallazgo al impacto: el cambio de enfoque necesario

La auditoría interna agrega verdadero valor cuando logra traducir una debilidad técnica en una consecuencia concreta para la organización.

No se trata solo de decir qué está mal, sino de explicar con claridad:

• Qué decisiones se están tomando con información poco confiable
• Qué objetivos estratégicos están en riesgo
• Qué escenarios adversos pueden materializarse
• Cuál es el costo real de seguir conviviendo con la exposición

Un riesgo conocido que no genera decisión es, en la práctica, un riesgo aceptado de facto.

La pregunta incómoda que el auditor debe plantear

Frente a riesgos recurrentes, el rol del auditor no es resignarse ni repetir el mismo informe. Es formular la pregunta que incomoda:

¿Por qué este riesgo sigue sin resolverse?

Las respuestas suelen ser reveladoras:

• Falta de recursos reales
• Controles diseñados, pero inviables
• Responsabilidades poco claras
• Decisiones de aceptación nunca formalizadas
• Temor a escalar el tema al nivel correcto

Identificar estas causas agrega tanto valor como identificar el riesgo mismo.

Forzar una definición clara: el verdadero aporte de la auditoría

Cuando un riesgo se repite, la auditoría interna debe ayudar a cerrar la zona gris. Toda situación debería conducir explícitamente a una decisión:

• Implementar un plan correctivo viable, con responsables y plazos reales
• Aceptar formalmente el riesgo, con aprobación del nivel correspondiente
• Redefinir el control para hacerlo efectivo
• Escalar el tema al Consejo o al máximo órgano de gobierno

Lo que no es sostenible es la ambigüedad permanente.

El rol moderno de la auditoría interna

Las expectativas actuales sobre la auditoría interna, a nivel internacional, son claras:
ya no se mide por la cantidad de hallazgos, sino por su capacidad de influir en decisiones relevantes.

Influir implica:

• Conectar riesgos con estrategia
• Traducir problemas técnicos en impactos reales
• Elevar conversaciones incómodas, pero necesarias
• Evitar que el riesgo se vuelva costumbre

La auditoría no está para sorprender, está para movilizar criterio.

Una oportunidad, no un fracaso

Cuando un riesgo conocido no genera reacción, no necesariamente es un fracaso del auditor. Es una señal.

Una señal de que el riesgo fue identificado, pero no comprendido en toda su dimensión.

Ahí está la oportunidad de la auditoría interna:
romper la rutina, cambiar la narrativa y volver a incomodar con propósito.

Porque el impacto real ocurre cuando la organización deja de decir
“ya lo sabemos”
y empieza a preguntarse, seriamente,
si alguien ha decidido qué hacer con ese riesgo.

Jorge Gutiérrez Guillén, CPA
Socio Fundador | JGutierrez Auditores Consultores S.A.
Costa Rica | 🌐 consultoresjg.com
+506 2552-5433 | +506 8811-5090
[email protected]

#AuditoríaEstratégica #GestiónDeRiesgos #COSOERM #GobiernoCorporativo #JGutierrezAuditores