Las organizaciones declaran cada vez más. Demostrar cuesta cada vez más. En esa distancia trabaja el auditor, con una pregunta simple: ¿cuál es la evidencia? Si para responder hay que salir a armarla, la evidencia todavía no existe.
Maneras de prometer sin demostrar
La promesa que se mide por intención. La organización declara su compromiso con la diversidad, la sustentabilidad o la IA responsable. Se pide el dato y aparece la voluntad: el reporte anual, la sección dedicada al tema. Un auditor necesita otra cosa: un número, una fecha, un responsable, un cambio verificable en la operación.
Las promesas ambientales ya llegaron a reguladores y tribunales. La gestora DWS pagó 19 millones de dólares a la SEC por declaraciones engañosas sobre su proceso ESG (2023). Un tribunal de Ámsterdam revisó diecinueve afirmaciones ambientales de KLM y declaró engañosas quince (2024). Después, el regulador europeo de valores (ESMA) fijó criterios medibles para que un fondo pueda llevar «ESG» en el nombre. La etiqueta sola dejó de alcanzar.
La promesa que se mide a sí misma. La organización tiene una política de calidad. La política declara compromiso con la calidad. El indicador es que la política existe. El círculo se cierra sin tocar la operación. Hasta el control falla en esto: en su informe de 2023, el regulador estadounidense de auditores (PCAOB) encontró deficiencias en cerca del 40 % de las auditorías que inspeccionó en 2022. Quien controla también tiene que demostrar lo que hace.
La promesa que estira un certificado. La organización tiene un certificado para un alcance definido y lo presenta como prueba de que toda la operación funciona siempre. El problema no suele estar en el documento sino en el relato, que concluye más de lo que se evaluó.
Datos que hacen comprobable una afirmación
Una afirmación se sostiene cuando permite reconstruir cinco datos. Si falta uno, el resto no se vuelve falso: se puede concluir menos, y hay que decirlo.
- Quién decidióUna persona, una función o un órgano con autoridad documentada. Si no, nadie sabe quién podía decidir ni quién debe responder.
- CuándoUn registro que ubique la decisión frente a lo que pasó después. La fecha escrita no alcanza: tiene que ser confiable. Sin eso, no se distingue una decisión tomada a tiempo de una reconstruida después.
- Con qué reglaLa regla aplicada, escrita con la precisión necesaria para que otro profesional pueda revisar el razonamiento. No elimina el juicio: permite explicarlo.
- Sobre quéEl objeto, el período y el contexto. Esos límites son parte del argumento: callarlos agranda la conclusión sin evidencia.
- Hasta cuándoUna fecha de revisión o una condición que obligue a reabrir la decisión. En sistemas que cambian todas las semanas, lo que hoy se sabe envejece rápido.
Cuando el registro es falso
Los cinco datos suponen algo que ya no se puede dar por hecho: que el registro que los sostiene es genuino. Un PDF se genera en segundos. Un log se fabrica. Un acta se sintetiza con la voz y la firma de alguien que nunca pisó la sala. Los cinco datos pueden estar presentes y ser falsos.
La primera defensa es separar la evidencia que dejó la operación de la que se preparó para explicarla. Muchos registros creados poco antes de la auditoría no prueban un fraude, pero obligan a corroborar. De dónde salió cada registro y si fue alterado también se evalúa.
Una prueba para la próxima reunión
Antes de la próxima reunión del comité, elegí una declaración pública de la organización: sustentabilidad, ciberseguridad, diversidad o IA responsable. Pedí los cinco datos, uno por uno. Si cada respuesta tiene evidencia, la declaración está bien construida. Si no, hay que corregirla.
Cada dato que falta achica lo que se puede afirmar.
Fernando Arrieta
