Sostengo algo incómodo sobre las auditorías internas: en muchas organizaciones, el valor real de una auditoría no está en lo que encuentra, está en si la organización tiene la disciplina de cerrar lo que ya encontró antes. Y en varias, ese cierre no ocurre.
El patrón es reconocible: el informe de auditoría señala un hallazgo, se acepta formalmente, se asigna un responsable, se define una fecha de cierre. Un año después, el mismo hallazgo aparece de nuevo, casi con las mismas palabras, porque nada cambió más allá del papel donde quedó aceptado.
Cuando eso pasa, el problema casi nunca es que el hallazgo fuera difícil de entender. Es que aceptar un hallazgo se convirtió en un acto administrativo (una firma, una casilla marcada) en vez de un compromiso real con consecuencia si no se cumple. El riesgo que la auditoría identificó sigue abierto, pero ya nadie lo trata como una alarma activa, porque “ya se sabe” y “ya está en el plan”.
Esto tiene un costo que rara vez se cuantifica: cada hallazgo repetido erosiona un poco más la credibilidad de la función de auditoría misma. Si el resultado de señalar un riesgo es que se repita el próximo año sin consecuencia, la organización aprende, sin decirlo en voz alta, que los hallazgos no son urgentes.
Por eso, cuando reviso el gobierno de riesgo de una empresa, no me interesa tanto el número de hallazgos del último informe. Me interesa cuántos de los hallazgos del informe anterior siguen abiertos, y qué pasó (o no pasó) con la persona responsable de cerrarlos.