«Lo sentimos profundamente» fue todo lo que CrowdStrike pudo decir después de que una actualización de software defectuosa provocara la famosa pantalla azul de la muerte (BSD) a millones de usuarios en todo el mundo. Además de la caída del 10 % en el precio de las acciones en un día, CrowdStrike tuvo que responder ante clientes enfadados y nada menos que ante el Congreso de los Estados Unidos.
Aunque pueda parecer un caso extremo, los errores involuntarios son bastante comunes en las empresas. Con múltiples equipos en diferentes lugares trabajando en problemas complejos, pueden surgir muchos imprevistos.
Una de las formas más comunes y eficaces de prevenir este tipo de desastres es la auditoría interna. Con un proceso sólido y un software de gobernanza, riesgo y cumplimiento (GRC), las organizaciones pueden identificar de forma proactiva los posibles problemas y abordarlos de antemano.
En esta entrada del blog, le guiaremos a través del proceso de creación de una estrategia de auditoría y su implementación con una potente lista de control de auditoría interna.
¿Qué es una auditoría?
Una auditoría es un proceso para examinar y evaluar sistemáticamente los procesos. Estos procesos pueden ser financieros, operativos o relacionados con el cumplimiento normativo.
Por ejemplo, los auditores internos revisan periódicamente los extractos bancarios de su empresa para evaluar si hay errores o transacciones fraudulentas.
Una organización de servicios, como un restaurante o un spa, puede realizar auditorías sobre cómo el personal completa la prestación del servicio. Las empresas tecnológicas suelen utilizar el dogfooding como forma de realizar auditorías internas.
¿Por qué es necesaria una auditoría interna?
En pocas palabras, una auditoría interna está diseñada para detectar problemas antes de que cualquier trabajo se publique al mundo exterior. Esto garantiza lo siguiente:
- Precisión: las auditorías brindan a los equipos una oportunidad adicional para garantizar que el trabajo sea preciso, completo y sin errores.
- Gestión de riesgos: la auditoría interna identifica los riesgos potenciales, que pueden mitigarse con antelación para evitar pérdidas y sanciones.
- Calidad: Las auditorías también ayudan a garantizar la calidad de los resultados, verificando si cumplen con los requisitos y las normas del sector.
- Rendimiento: Las auditorías internas a veces evalúan el rendimiento para simular una situación real.
- Cumplimiento normativo: siendo la razón más común, las auditorías internas ayudan a cumplir con las leyes, normativas y estándares aplicables.
- Garantía para las partes interesadas: en las empresas en las que hay inversores o accionistas, las auditorías internas generan confianza en las operaciones y la elaboración de informes de la organización.
¿Cuáles son los tipos de auditorías?
En función de la naturaleza de su empresa, sus metas, necesidades y partes interesadas, puede realizar diferentes auditorías. La mayoría de ellas se clasifican en las tres categorías siguientes.
Auditoría interna
La organización lleva a cabo una auditoría interna para sus propias necesidades. Los auditores son empleados activos de su organización o expertos en la materia dentro del departamento que la ejecuta.
Por ejemplo, cada año, el equipo de gestión del talento podría realizar una auditoría interna de las estructuras de remuneración de cada empleado. Esto se utilizaría para identificar cualquier sesgo inconsciente o desigualdad.
Auditoría externa
Una auditoría externa consiste en contratar a expertos independientes para evaluar los procesos o los resultados de una organización. Además del equipo de auditoría interna, los auditores externos aportan una mayor variedad de conocimientos y experiencia. Esto aporta credibilidad y genera confianza en la organización.
Los organismos industriales y las organizaciones de normalización realizan periódicamente auditorías externas a las empresas. Las certificaciones ISO son las más solicitadas en todos los sectores.
Otros ejemplos son el Forest Stewardship Council para la gestión forestal sostenible, LEED para el diseño y la gestión de edificios, y Leaping Bunny para productos 100 % libres de pruebas en animales.
Auditoría de cumplimiento
Las auditorías de cumplimiento evalúan si una organización cumple con leyes, reglamentos o políticas internas específicas. Estas auditorías se centran exclusivamente en el cumplimiento de las normas del sector, las obligaciones contractuales o las regulaciones gubernamentales para evitar sanciones y mantener prácticas éticas.
En el ámbito tecnológico, las auditorías periódicas para verificar el cumplimiento del RGPD o la HIPAA son una práctica habitual. Cada sector tiene sus propios requisitos de cumplimiento, por lo que las organizaciones deben realizar auditorías periódicas.
Tanto si lo hace internamente como si recurre a ayuda externa, las auditorías son una necesidad si dirige una empresa. Garantizan a todas las partes interesadas (clientes, inversores, accionistas, empleados, proveedores, socios, etc.) que la organización cumple con sus estándares.
Para ello, necesita una estrategia de auditoría completa y orientada a metas. A continuación le explicamos cómo puede crearla.
Preparación para una auditoría
Antes de comenzar cualquier auditoría, prepárese a fondo. Esto sentará una base sólida para el proceso de auditoría a lo largo del tiempo.
1. Establezca los objetivos de la auditoría.
Defina claramente el objetivo de su auditoría. Haga un seguimiento del historial del problema y comprenda el contexto mientras lo hace.
Por ejemplo, un jefe de ingeniería podría solicitar una auditoría de DevOps porque el número de retrocesos en la producción en los últimos seis meses ha sido elevado. En ese caso, no establezca el objetivo como «realizar una auditoría de DevOps». En su lugar, establezca como meta «identificar las razones del retroceso en la producción».
2. Determine el alcance de la auditoría
En esta sección se determina cómo va a llevar a cabo la auditoría. Una buena forma de abordarla es mediante las 4 preguntas básicas.
- Quién: Las personas y departamentos responsables de la auditoría y de su ejecución.
- Qué: Los procesos o sistemas objeto de la auditoría.
- Cuándo: El cronograma en el que debe completarse la auditoría.
- Dónde: Los límites físicos del lugar donde debe realizarse la auditoría, si los hay.
Por ejemplo, al realizar una auditoría de DevOps, el alcance podría ser el siguiente.
Quién: El jefe de ingeniería es responsable de la supervisión de la auditoría. El equipo de auditoría, compuesto por dos desarrolladores, dos analistas de calidad y tres ingenieros de DevOps, se encargará de su ejecución.
Qué: Se auditará el proceso de CI/CD, incluidos todos los procesos de automatización y manuales. También se incluye el software de cumplimiento SOC 2.
Cuándo: La auditoría se llevará a cabo durante las ocho semanas a partir del 1 de julio de 2025.
Dónde: La auditoría de procesos se llevará a cabo en los entornos de ensayo y producción.
3. Desglose las áreas de auditoría
Una vez que el alcance del trabajo esté listo, divídalo en proyectos, tareas y subtareas más pequeños y manejables. Agrupe las tareas relacionadas y organícelas de forma sistemática.
4. Cree tareas y preguntas específicas.
Este es el paso en el que realmente se elaboran las listas de control de la auditoría interna. Aquí se enumeran todas las tareas viables y cuantificables para cada área de la auditoría.
Por ejemplo, una lista de control de auditoría de DevOps podría incluir preguntas como:
- ¿El código está libre de errores antes del lanzamiento de la producción?
- ¿Qué porcentaje de incidencias conocidas se envían a producción?
- ¿Existe una revisión del código por parte del desarrollador sénior antes de la producción?
- ¿Se realiza una auditoría de cumplimiento de TI antes de la producción?
- ¿Quién tiene acceso para impulsar la producción?
Algunas pautas a tener en cuenta al crear su lista de control de auditoría interna son:
Mantenga la sencillez: utilice un lenguaje claro y conciso que evite complejidades innecesarias. Céntrese en tareas viables que todo el mundo pueda comprender y seguir fácilmente.
Haga que sea relevante: adapte su lista de control a los objetivos, el alcance y las normas aplicables de la auditoría. Incluya solo los elementos que se refieran directamente a las áreas que está auditando.
Por ejemplo, si está creando una lista de control de cumplimiento del RGPD, evite añadir cualquier otro requisito legal a la misma auditoría.
Mantenga la coherencia: utilice formatos, terminología y criterios de evaluación estandarizados en todas las tareas.
5. Prepare la documentación necesaria.
Determine los registros, informes o datos específicos que verificarán el cumplimiento o la eficacia operativa de cada elemento de la lista de control. Por ejemplo, en una auditoría financiera, es posible que necesite balances, facturas y declaraciones de impuestos.
Para la auditoría de DevOps, es posible que necesite procedimientos operativos estándar (POE), una matriz de roles y responsabilidades, procesos de lanzamiento de producción, etc.
6. Finalice y estandarice
Realice una metaauditoría a pequeña escala para comprobar si hay redundancias, lagunas o elementos poco claros en su lista de control de auditoría. Utilice los resultados para perfeccionar la lista de control y mejorar su usabilidad y eficacia.
Dale un formato claro, con secciones organizadas y espacio para notas o conclusiones. Estandárzala para futuras auditorías a fin de garantizar la coherencia y la facilidad de uso en toda la organización.
Ejemplo de lista de control de auditoría interna
Cuando haya completado la preparación, dispondrá de una lista de control de auditoría interna similar a la que se muestra a continuación.
Objetivos y alcance de la auditoría
Esta es una breve sección que describe las metas y los objetivos del proceso de auditoría. También incluye la matriz RACI y los procesos de escalamiento.
Lista de control de auditoría
Esto incluiría todo el trabajo pendiente que debe realizarse como parte del proceso de auditoría. Algunos elementos de uso común serían:
Preparación
- Recopile toda la información relevante y acceda a ella.
- Programe el trabajo que debe completarse cada día.
- Obtenga las aprobaciones necesarias de las partes interesadas clave.
Implementación de la auditoría
- Mida la eficiencia de cada proceso.
- Identifique los cuellos de botella.
- Revise los indicadores clave de rendimiento y las métricas correspondientes.
- Evalúe el cumplimiento de la política.
- Ejecute la lista de control de cumplimiento de la Ley Sarbanes-Oxley (SOX).
Acciones de seguimiento
- Documente los resultados.
- Proporcione recomendaciones para medidas correctivas y preventivas.
- Asigne responsabilidades y plazos para resolver los problemas.
- Actualice la lista de control de cumplimiento.
- Programe auditorías de seguimiento para supervisar el progreso.
Resultados de la auditoría
El resultado habitual de una auditoría interna sería un informe dirigido a la parte interesada correspondiente en el que se describen las conclusiones y recomendaciones.
Por ejemplo, si la auditoría de DevOps reveló que las reversiones se deben al envío de código erróneo o defectuoso a producción, el informe de auditoría hará una mención al respecto. Además, también podría sugerir un proceso formal de revisión del código para evitar reversiones en el futuro.
Ya lo tiene todo planificado y listo; veamos cómo puede llevar a cabo su auditoría correctamente.
Realización de una auditoría: proceso paso a paso
Insistimos en que la preparación de la auditoría es posiblemente el paso más importante del proceso. Determina qué se va a auditar, cómo, cuándo y dónde. Por lo tanto, antes de comenzar a evaluar nada, complete sus actividades y planificación previas a la auditoría.
Cree una lista de control de auditoría completa y, a continuación, comience sus comprobaciones.
1. Recopile datos
Reúna todos los datos que existen actualmente. Por ejemplo, si está realizando una auditoría de DevOps, sus datos podrían incluir:
- Informes existentes de impulsos y retrocesos de producción anteriores.
- Registros de auditoría automatizados
- Retrospectivas existentes sobre por qué ocurrió.
- Diseños arquitectónicos y otros mapas de procesos.
- Comentarios de los jefes de equipo y los miembros sobre el proceso.
En algunos casos, es posible que también desee ver los datos del software GRC.
2. Realice sus comprobaciones
Esto puede parecer sencillo, pero sin duda no es fácil. La labor del comité de auditoría consiste en evaluar cada uno de los pasos de todos los procesos. Asegúrese de ser cuidadoso y minucioso.
- Revise todos los datos con todo detalle.
- Verifique todos los procesos incluidos en el alcance de la auditoría utilizando su lista de control de auditoría interna.
- Si algo no está bien, haga las preguntas pertinentes al miembro del equipo correspondiente.
- Anote claramente sus observaciones en cada paso.
3. Recopile pruebas de auditoría
La diferencia entre una auditoría y una opinión aleatoria es la evidencia. Una auditoría interna exhaustiva proporcionará evidencia concreta de las ineficiencias, anomalías, errores, fraudes u otras desviaciones del proceso. Concéntrese en recopilar evidencia suficiente, relevante y confiable para construir una base sólida para sus conclusiones.
4. Analice las pruebas de auditoría.
Analice cuidadosamente las pruebas para comprender qué está sucediendo y por qué. Utilice técnicas de análisis de datos, evaluación comparativa y evaluación de riesgos para identificar patrones, anomalías o áreas de preocupación.
5. Informe de los resultados de la auditoría
Ahora, recopile los resultados de su auditoría en un documento. Esto incluiría:
- Metas: una breve introducción sobre lo que se propone lograr.
- Resultados: Observaciones y conclusiones basadas en la auditoría.
- Recomendaciones: mejoras sugeridas para cualquier ineficiencia o incumplimiento observado.
- Próximos pasos: planes futuros para la próxima auditoría o cambios necesarios.
Aunque las auditorías son habituales en cualquier organización, hay un número de cosas que pueden salir mal. A continuación se indican algunas buenas prácticas para evitarlo.
Buenas prácticas para el uso de una lista de control de auditoría
Una lista de control de auditoría es su mapa del tesoro. Le muestra el camino que debe seguir para completar su misión de auditoría. Un mapa del tesoro claro, relevante y útil es fundamental para su éxito. Tenga en cuenta estos consejos mientras crea el suyo propio.
Audite su lista de control de auditoría: Sí, ha leído bien. Para garantizar que su lista de control siga siendo relevante y eficaz, revísela periódicamente. Actualícela para reflejar los procesos organizativos, las partes interesadas responsables, los cambios en el sistema, etc.
Mire desde fuera hacia dentro: no se aísle del mundo exterior mientras crea su lista de control de auditoría interna. Tenga en cuenta periódicamente las normas del sector y los avances normativos. Esto ayuda a que la lista de control de auditoría sea adecuada para su momento y lugar.
Obtenga comentarios: los auditores deben mantener una cierta distancia y autoridad para que se les tome en serio. Sin embargo, esto no debe impedir la recopilación de comentarios significativos de las partes interesadas internas, muchas de las cuales pueden formar parte del proceso que está auditando. Establezca un proceso de revisión de la documentación para recopilar comentarios.
Adapte las listas de control estandarizadas: los organismos industriales y las organizaciones certificadoras seguramente ya cuentan con listas de control de auditoría sólidas. Busque cualquiera de estas disponibles en licencias Creative Commons y adáptelas a sus procesos.
Manténgalo en formato digital: Utilice una lista de control digital para maximizar la accesibilidad y la eficiencia. Incluso podría encontrar valor en el uso de herramientas de gestión del cumplimiento que proporcionan alertas en tiempo real, automatizaciones y funciones de colaboración. Veamos cómo funcionaría.
Herramientas y recursos para crear listas de control de auditoría
Las auditorías son procesos largos que requieren mucho tiempo y esfuerzo. Una herramienta de gestión de proyectos sólida como ClickUp puede ayudarle a facilitarle la tarea. A continuación le explicamos cómo.
Planificación estructurada con plantillas
No se sienta presionado por empezar su plantilla de auditoría desde una página en blanco. Adapte cualquiera de las listas de control disponibles públicamente a sus necesidades.
También puede utilizar la plantilla de plan de auditoría de ClickUp, totalmente personalizable y fácil de usar para principiantes, para estructurar su trabajo. Con la ayuda de esta plantilla de documento, puede identificar las áreas clave para las necesidades de cumplimiento, recopilar datos, organizar conocimientos y planificar y ejecutar la auditoría sin ningún tipo de complicación.
Listas de control eficaces y reutilizables.
Una buena lista de control es la base de su auditoría. Por lo tanto, cree una plantilla de lista de control que pueda reutilizar una y otra vez. Si no sabe por dónde empezar, consulte la plantilla de lista de control de auditoría interna de ClickUp. Puede utilizar esta plantilla fácil de usar y lista para principiantes para:
- Identifique los elementos de auditoría.
- Cree listas de control reutilizables con las puntuaciones de auditoría correspondientes, los niveles de esfuerzo y otros campos personalizados.
- Duplíquela y utilícela siempre que sea necesario.
- Colabore con las partes interesadas y mantenga la agilidad.
Gestión de tareas para auditorías
¿Qué es una auditoría, si no una serie de tareas específicas? Gestione sus auditorías de manera eficiente con las tareas de ClickUp. Desglose la auditoría en tareas y subtareas. Cree listas de control más pequeñas dentro de las tareas, si es necesario. Colabore con las personas relevantes mencionándolas con @ en los comentarios. También puede asignar tareas a las personas según sea necesario.
Automatizaciones de auditoría
Las auditorías son un conjunto de pequeñas tareas repetitivas, muchas de las cuales se pueden automatizar de forma eficaz. ClickUp Automatizaciones incluye plantillas y desencadenantes prediseñados para dar soporte a una amplia variedad de situaciones.
- ¿Necesita actualizar elementos en varias listas de control? Automatícelo basándose en los desencadenantes de una de las listas.
- ¿Necesita notificar a una parte interesada sobre elementos que incumplen gravemente las normas? Automatice el etiquetado y las menciones.
- ¿Necesita crear nuevas tareas basadas en la puntuación de la auditoría? Automatice la creación de tareas en función del cambio de estado.
Información colaborativa
Organice sus conclusiones en ClickUp Docs. Compártalas de forma segura con otras personas para que aporten comentarios y sugerencias. Si lo necesita, también puede crear tareas directamente desde los documentos.
Para problemas más complejos, utilice la IA. ClickUp Brain le ayuda a generar ideas, resumir notas y obtener actualizaciones sobre el progreso al instante. También puede obtener respuestas a sus preguntas sobre cómo se gestiona el proyecto de auditoría.
Con eso, su auditoría habrá sido terminada y el informe estará listo. ¿Qué sigue?
Acciones y mejoras posteriores a la auditoría
La auditoría no es el paso final. De hecho, es solo un hito fundamental en el ciclo de mejora continua. Esto significa que tiene mucho trabajo pendiente después de la auditoría.
Implemente medidas correctivas: ejecute las recomendaciones de la auditoría para resolver los incumplimientos, subsanar las deficiencias de control y corregir las ineficiencias.
Por ejemplo, si la recomendación de la auditoría de DevOps es añadir un paso para la revisión básica, impleméntelo como parte de la gestión de proyectos de ingeniería.
Asigne responsabilidades: integre las recomendaciones de la auditoría en sus procesos. Asigne responsabilidades, establezca plazos y supervise el progreso.
Establezca medidas preventivas: una vez que haya solucionado el problema, establezca medidas para evitar que se repita.
Por ejemplo, puede implementar una revisión de código automatizada como parte de su canalización de DevOps. También puede configurar un proceso de aprobación, que garantiza que un desarrollador sénior apruebe el código para su lanzamiento en producción.
Actualice las políticas: basándose en las recomendaciones de la auditoría, actualice los controles internos, las políticas, los POE, la formación, etc. Establezca un proceso para supervisar periódicamente los cambios en el marco legal y adaptarse en consecuencia. Incorpore esto a los conocimientos de su organización.
Siga el progreso: ¡No espere hasta la próxima auditoría para saber si ha funcionado! Siga y mida su progreso en cada paso del camino. Utilice los paneles de ClickUp para realizar un seguimiento en tiempo real y llevar a cabo la elaboración de informes de rendimiento.
Por ejemplo, puede crear widgets en los paneles de ClickUp para tareas con revisión de código y reversiones. Utilícelos para supervisar la correlación entre ambos y asegurarse de que sus recomendaciones de auditoría sean útiles para resolver los problemas subyacentes.
No se pierda nunca una auditoría con ClickUp
Seamos realistas. Los errores ocurren constantemente, especialmente cuando hay personas involucradas. Aunque no se pueden evitar por completo, se pueden minimizar con los procesos adecuados.
Una buena auditoría interna mantiene la precisión, la eficacia, la eficiencia y la integridad de los procesos organizativos. También ayuda a mantener los estándares de los sistemas de seguridad, normativos, reglamentarios y de gestión de la calidad. Las auditorías internas y externas frecuentes abordan los riesgos y los mitigan.
Por otro lado, las auditorías frecuentes también pueden requerir mucho tiempo, recursos y presupuesto. La única forma de realizar auditorías de manera sistemática y mejorar continuamente los procesos es ponerlos en práctica.
La herramienta de gestión de proyectos ClickUp es una potente opción para ello. Con su eficiente gestión de tareas, flujos de trabajo optimizados, supervisión en tiempo real y colaboración sin esfuerzo, ClickUp tiene compatibilidad con la gestión de auditorías a gran escala. Configure sus auditorías personalizadas en ClickUp. ¡Pruebe ClickUp hoy mismo gratis!