La política declara revisión trimestral de accesos. El procedimiento existe, el responsable está designado, el punto del checklist se cierra solo. Cuando pido el registro técnico del sistema, la última revisión real tiene nueve meses. Ningún paso del plan de auditoría exigía ese registro. Lo exigía el criterio.
Llamo a esto el orden del oficio · el auditor precede al método. El método hace la auditoría legible ante terceros. El criterio decide qué mirar cuando el método se queda sin preguntas. Auditor es quien sabe que el checklist completo todavía no es la verdad.
Qué resuelve el método
El método tiene autoría documentada · ISO 19011 para auditoría de sistemas de gestión, los Estándares Globales del IIA para auditoría interna e ISO/IEC 17021-1 para certificación. Son marcos publicados, sujetos a revisión formal. Ordenan la obtención de evidencia, el muestreo, la documentación de hallazgos y el cierre.
El método cumple además una función que ninguna práctica individual reemplaza · hace la auditoría legible por terceros. Sin método, dos auditores frente al mismo caso producen dos auditorías incompatibles. Con método, un tercero puede reconstruir qué se miró, bajo qué criterio y con qué resultado. La legibilidad es la mitad pública del oficio.
Qué resuelve la práctica profesional
La práctica profesional tiene autoría acumulada · organizaciones leídas, actas revisadas, incidentes reconstruidos y memoria operativa de lo que suele fallar. No se descarga. Se construye con casos, supervisión y firma sostenida.
La práctica resuelve preguntas que el método no formula · qué pregunta está evitando el comité, qué evidencia falta cuando todo parece cumplir, dónde se concentra el riesgo que nadie inventarió. La triangulación es el ejemplo más claro del orden entre los dos. El método ordena cruzar documento, registro y testimonio; el criterio decide qué hacer cuando las tres fuentes dicen cosas distintas. Las fuentes divergen cuando el problema está mal planteado · por eso la respuesta experta suele ser reformular la pregunta, no forzar el hallazgo. Sin ese juicio, el hallazgo es opinión emitida con metodología decorativa.
El caso que el método no pide
Vuelvo a la escena inicial · es el caso que este criterio le debe al lector. El plan de muestreo cerraba el punto con dos evidencias · la política vigente y la entrevista con el responsable. Las dos estaban en orden. La desviación consistió en pedir una tercera que el plan no exigía · el registro de máquina, con la fecha real de la última revisión de accesos. Nueve meses contra los tres declarados. El hallazgo existió porque el criterio ordenó leer la distancia entre el mapa y el territorio. La política dice una frecuencia, el sistema registra otra · auditar es leer esa distancia con honestidad técnica.
El caso inverso es público y está sancionado. APAS concluyó que hubo incumplimientos profesionales en las auditorías de Wirecard: impuso 500.000 euros a la firma, multas individuales a cinco auditores y dos años sin nuevos encargos de entidades de interés público (APAS, 2023). El expediente no autoriza una lectura cómoda: los papeles de trabajo pueden existir y el juicio profesional seguir fallando.
Las dos escenas son la misma tesis con signo opuesto. Cuando la práctica precede, el auditor entra con preguntas y usa el método para sostenerlas. Cuando el método precede, el auditor entra con listas, la organización aprende a presentar lo que la lista busca, y el sistema se confirma a sí mismo.
De ese orden deriva el segundo trabajo del auditor, el que ningún contrato escribe · además de verificar conformidad, ve antes la crisis que la organización todavía no nombró. Es prevención disfrazada de revisión.
La escalera rota
La pregunta de esta década tiene dos pisos. El primero · cuando el método es un copiloto de IA que pre-rellena el checklist, el riesgo cambia de escala. El copiloto produce método sin criterio a velocidad de máquina · completa los puntos, redacta hallazgos plausibles, cierra el papel de trabajo. Todo queda legible. Lo que deja sin hacer es exactamente lo que define al auditor · pedir el registro que el plan no exigía. La herramienta acelera la mitad pública del oficio y deja intacta la otra. Por eso la firma sigue siendo humana.
El segundo piso es menos visible. Si la herramienta absorbe el trabajo junior, también reduce el lugar donde se aprende a revisar actas, cruzar registros y equivocarse con supervisión. La profesión necesita decidir dónde formará a quienes, dentro de diez años, deberán reconocer cuándo el plan ya no alcanza.
El test del criterio
Tres preguntas de entrevista, antes de contratar a un auditor · cada una con su respuesta esperada.
Pregunta uno · pídale que describa una auditoría donde el método no fue suficiente. Respuesta esperada · un caso específico, con la decisión técnica que tomó y la razón por la que desviarse fue lo correcto · proceso, año y resultado. Quien responde con generalidades, o afirma que el método siempre alcanza, todavía no estuvo donde el método se termina.
Pregunta dos · pídale tres patrones que predicen no conformidades futuras en su sector. Respuesta esperada · patrones propios, formulados con vocabulario de campo y atados a casos. El umbral es la especificidad · quien repite los patrones del material de capacitación tiene método; quien nombra los que aprendió mirando tiene práctica profesional.
Pregunta tres · pídale que cuente qué hizo cuando detectó algo que la organización prefería no mirar. Respuesta esperada · sostuvo la pregunta, documentó el hallazgo y aceptó el costo de la incomodidad. La descripción orgullosa de cómo evitó el conflicto responde otra pregunta · cuánto vale su firma bajo presión.
El orden del oficio se verifica en una conversación y se construye en veinte años de campo. La organización que contrata un auditor contrata ese orden · primero el criterio, después el instrumento que lo vuelve legible.