Una auditoría anual puede describir correctamente un sistema de IA y, meses después, dejar fuera cambios materiales de modelos, datos o proveedores. Esta alerta, con corte de evidencia a mayo de 2026, examina esa brecha desde la práctica auditora. El ciclo formal conserva valor; el problema aparece cuando la organización usa el calendario como única frecuencia de control para una operación que cambia antes de la visita siguiente.
El dato operativo · verifíquelo usted mismo
La cadencia de actualización varía por proveedor y por trimestre; esta alerta no la sustituye por un promedio ajeno. Propone una comprobación que cualquier directorio puede hacer: contar los cambios materiales informados por sus proveedores durante el último trimestre y compararlos con las revisiones internas documentadas en el mismo período. La proporción no demuestra conformidad, pero hace visible la diferencia entre el ritmo técnico y la capacidad real de revisión. Esa diferencia define dónde hace falta control adicional.
Las tres patologías documentadas
El certificado válido sobre operación obsoleta
El certificado emitido en enero conserva la vigencia y el alcance que le correspondan. Si en octubre cambiaron el modelo base, los datos o un proveedor crítico sin revisión equivalente, el documento ya no basta para describir la operación actual.
La auditoría-evento que congela la operación
Algunas organizaciones restringen cambios antes de la visita y reanudan después el ritmo habitual. La muestra auditada puede ser coherente y, aun así, no representar el ciclo operativo completo. La observación no atribuye engaño: señala un diseño de auditoría que premia la estabilidad temporal aunque el riesgo viva en el cambio.
El equipo técnico que opera sin auditoría real
Entre auditoría y auditoría, el equipo técnico ejecuta cambios. Algunos los registra; otros no. Cuando llega la auditoría siguiente, se documenta solo lo registrable. Lo no registrado queda fuera del alcance auditor — hasta que genera el incidente que lo vuelve visible.
La métrica · deuda de auditoría
El Criterio 09 propone una métrica de trabajo. Pregúntele al responsable del sistema cuántos cambios materiales ocurrieron desde la última auditoría externa y cuántos quedaron registrados con actor, fecha, criterio, alcance y vigencia. La diferencia es la deuda de auditoría continua acumulada. No mide por sí sola la eficacia de los controles; sí identifica cambios que todavía no tienen una revisión trazable.
Lo que la auditoría continua agrega
La auditoría continua complementa el ciclo formal. Puede combinar telemetría auditable, revisiones disparadas por cambios relevantes y verificación de la versión efectivamente operada. Cada mecanismo deja evidencia distinta.
| Componente | Qué agrega | Evidencia que genera |
|---|---|---|
| Telemetría auditable | Observación del sistema en operación, además de su documentación | Registros estructurados — accesos, versiones, configuraciones, decisiones automatizadas — legibles por un auditor independiente, con integridad protegida |
| Revisiones de frecuencia variable | Verificación independiente disparada por cambio relevante, además del ciclo fijo | Acta de revisión por evento, con el disparador, el alcance revisado y el firmante documentados |
| Trigger-based verification | Evaluación de la versión del sistema cuando cambia el modelo base, el dataset de entrenamiento, el prompt sistémico o un proveedor | Registro del evento técnico con actor, fecha, criterio, alcance y vigencia |
Marco profesional y límite
ISO/IEC 42001 exige seguimiento, medición, análisis y evaluación del sistema de gestión; no prescribe una modalidad denominada «auditoría continua». Los Estándares Globales de Auditoría Interna del IIA son obligatorios para la práctica profesional de auditoría interna, mientras que su guía sobre auditoría y monitoreo continuos, vigente desde septiembre de 2025, presenta esta modalidad como práctica recomendada. Estándar y guía cumplen funciones distintas.
Este informe no estima la adopción del método ni convierte una guía en requisito normativo. Propone una decisión basada en riesgo: documentar qué cambios obligan a revisar, quién puede disparar la revisión y qué evidencia demuestra que la versión en producción sigue dentro del alcance gobernado.
La deuda de auditoría identifica los cambios materiales que todavía no tienen revisión trazable.