Perspectivas · Auditoría Interna
Fragilidad digital en el mercado medio: qué controles de IA y ciberseguridad debe pedir el Comité de Auditoría Digital Fragility in the Middle Market: Which AI and Cybersecurity Controls the Audit Committee Should Require
En muchas empresas medianas mexicanas la fragilidad digital ya entró a la mesa del Consejo como riesgo de continuidad, reputación y cumplimiento. Lo que sigue es que el Comité de Auditoría sepa qué controles de inteligencia artificial (IA) y ciberseguridad pedir, y cómo la auditoría interna los prueba con analítica y evidencia documentada.
In many Mexican mid-sized companies, digital fragility has already reached the Board's table as a continuity, reputation and compliance risk. What comes next is for the Audit Committee to know which artificial intelligence (AI) and cybersecurity controls to require, and how internal audit tests them with analytics and documented evidence.
El Risk in Focus 2026/2027 (se abre en una pestaña nueva) del Instituto de Auditores Internos (IIA, por sus siglas en inglés) lo mide para América Latina: el 80% de los directores de auditoría interna encuestados ubica la ciberseguridad entre sus cinco principales riesgos, y el 61% hace lo mismo con la disrupción digital, que incluye la IA. El mismo estudio encontró que la disrupción digital es el riesgo con menor madurez de gobierno en la región. El problema no es desconocer el riesgo, sino convertirlo en una pregunta de control a la que el Comité pueda dar seguimiento.
The Institute of Internal Auditors (IIA) measures it for Latin America in Risk in Focus 2026/2027 (opens in a new tab): 80% of the chief audit executives surveyed place cybersecurity among their top five risks, and 61% do the same with digital disruption, which includes AI. The same study found that digital disruption is the risk with the lowest governance maturity in the region. The problem is not being unaware of the risk, but turning it into a control question the Committee can follow up on.
En las revisiones de ASG Risk el patrón se repite: herramientas de IA que operan sin inventario, datos que salen por canales no autorizados y matrices de riesgo empresarial (ERM, por sus siglas en inglés) que mencionan la ciberseguridad sin dueño, control ni prueba.
In ASG Risk's reviews, the pattern repeats: AI tools operating without an inventory, data leaving through unauthorized channels and enterprise risk management (ERM) matrices that mention cybersecurity with no owner, control or test.
El Comité de Auditoría ya tiene mapas de calor. Le falta saber qué control existe, quién lo opera y qué evidencia dejó la última prueba de auditoría interna.
— José Carlos Ortiz Avila, ASG Risk
El Cost of a Data Breach Report 2026 (se abre en una pestaña nueva) de IBM, que analizó 602 organizaciones con brechas entre marzo de 2025 y febrero de 2026, ubica dónde falla el control: más del 20% reportó una brecha dirigida a modelos o aplicaciones de IA, y las causas más frecuentes estuvieron alrededor del modelo, en interfaces de programación (APIs), aplicaciones o complementos comprometidos (27%) y en configuraciones erróneas de nube (27%). En una empresa mediana mexicana eso se traduce en preguntas concretas: ¿qué herramientas de IA usa la operación, incluidas las no autorizadas?, ¿qué datos se envían a servicios externos?, ¿quién aprueba una excepción y dónde queda registrada la salida de información?
La auditoría interna aporta más cuando sustituye parte de los cuestionarios por analítica: cruza inventarios tecnológicos con accesos, toma muestras de transferencias de datos, revisa los registros (logs) de las herramientas de IA y prueba la restauración de respaldos o la contención de un incidente simulado.
Qué debe pedir el Comité y cómo lo prueba la auditoría interna
- Inventario de IA: exigir el listado de herramientas autorizadas y no autorizadas, con dueño de negocio y el tipo de datos que procesa cada una; la auditoría interna lo confronta con el tráfico de red, los contratos y los gastos.
- Datos compartidos: pedir el mapa de salidas de información a nubes, proveedores y asistentes externos; la auditoría interna toma muestras de envíos, APIs y cuentas de servicio.
- Acceso y salida: revisar quién puede consultar, modificar o exportar información; la auditoría interna prueba altas, bajas, privilegios excesivos y excepciones abiertas.
- Integración al ERM: pedir que cada hallazgo de IA o ciberseguridad entre a la matriz con dueño, plazo y fecha de reevaluación; la auditoría interna reporta su avance en cada sesión del Comité.
Por dónde empezar
Un primer paso concreto: pedir para la próxima sesión del Comité el inventario de herramientas de IA en uso y compararlo con lo que la auditoría interna encuentre en tráfico de red y gastos. En ASG Risk acompañamos ese recorrido, del inventario a la integración de estos riesgos en el ERM. ¿Puede su Comité demostrar hoy qué control pide y qué prueba lo sostiene?
¿Este riesgo le
suena familiar?
Hablemos de cómo se ve en su organización: un socio de la firma le responde directamente.
Solicitar consulta