Análisis de causa raíz en Auditoría Interna: cómo llegar al origen de un hallazgo
10/13/20267 min read
¿Qué es la causa raíz de un hallazgo?
Un hallazgo bien construido tiene varios elementos. La Norma 14.3 de las NOGAI menciona estos:
Criterio: lo que debería ocurrir.
Condición: lo que ocurre, según la evidencia.
Causa raíz: por qué existe la diferencia.
Efecto: el riesgo o la exposición que genera.
Importancia y priorización.
La causa raíz es el elemento que más cuesta, porque no está en la evidencia a simple vista. Hay que preguntar por ella.
No se trata solo de describir lo que falló. Se trata de entender qué permitió que fallara.
¿Qué piden las NOGAI sobre la causa raíz?
Tres normas del Dominio V hablan de ella:
Norma 14.3, Evaluación de los hallazgos: los auditores internos deben colaborar con la Dirección para identificar la causa raíz, determinar los potenciales efectos y evaluar la importancia de la cuestión.
Norma 14.4, Recomendaciones y planes de acción: las acciones que se acuerdan con la Dirección deben, entre otras cosas, abordar la causa raíz del hallazgo.
Norma 11.3, Comunicar los resultados: los hallazgos de varios trabajos, vistos en conjunto, pueden revelar patrones o tendencias, como las causas raíz. Cuando el Director de Auditoría Interna identifica esos temas, debe comunicarlos al Consejo y a la Alta Dirección.
Hay dos matices que conviene tener presentes:
La norma pide determinar la causa raíz en la medida de lo posible. En las plantillas de hallazgos aparece como «causa raíz (cuando sea posible)».
La identificación se hace con la Dirección, que, según la norma, está mejor posicionada para comprender las causas fundamentales de la diferencia.
En resumen: el auditor no adivina la causa. La construye con quien conoce el proceso.
¿En qué se diferencian la condición, la causa directa y la causa raíz?
La Norma 14.3 distingue dos niveles. Hay un motivo directo por el que existe la condición, que habitualmente se relaciona con una deficiencia de control. Y hay una cuestión más profunda que contribuyó a esa condición: la causa raíz.
Condición. ¿Qué encontramos? Varias conciliaciones bancarias no se hicieron en el mes.
Causa directa. ¿Por qué pasó? La persona encargada estuvo ausente.
Causa raíz. ¿Por qué pudo pasar? El procedimiento no define quién reemplaza al encargado ni quién revisa que la conciliación se hizo.
Una recomendación que solo atiende la causa directa («ponerse al día con las conciliaciones») corrige el mes. Una que atiende la causa raíz corrige el proceso.
¿Tu recomendación evitaría que el hallazgo se repita?
Esa es la pregunta que separa una causa directa de una causa raíz. Si priorizas los hallazgos por su importancia, tiene sentido dedicar el análisis más profundo a los que más pesan.
¿Qué técnicas ayudan a encontrar la causa raíz?
La Norma 14.3 lo describe en sus términos más sencillos: determinar la causa raíz implica hacer una serie de preguntas sobre el motivo de la diferencia. Dos técnicas de uso común ordenan esas preguntas.
Los cinco porqués
Consiste en preguntar «¿por qué?» de forma sucesiva: cada respuesta lleva a la siguiente pregunta.
Se parte de una descripción clara y específica del problema.
Suele tomar de tres a cinco preguntas, pero pueden ser más.
Para saber si ya llegaste, pregunta: si se corrigiera esta causa, ¿podría el problema volver a ocurrir? Si la respuesta es sí, es un factor que contribuye, no la causa raíz.
El diagrama de causa y efecto
También se conoce como diagrama de espina de pescado. Es útil cuando el problema puede tener varias causas.
El problema se escribe en la cabeza del diagrama.
Las posibles causas se agrupan por categorías: personas, procedimientos y políticas, equipos o sistemas, y entorno.
Sobre cada causa se vuelve a preguntar por qué ocurre.
Las dos técnicas se pueden combinar, y un mismo problema puede tener más de una causa raíz.
Ejemplo práctico
En una auditoría de compras, un auditor encuentra pagos a proveedores sin la aprobación que exige la política. Pregunta por qué y la respuesta es que el aprobador estaba de vacaciones. Vuelve a preguntar: el sistema no permite delegar la aprobación. Pregunta de nuevo: al configurar el sistema nadie tenía a cargo definir los reemplazos.
La recomendación deja de ser «aprobar los pagos pendientes» y pasa a ser «definir y configurar la delegación de aprobaciones».
¿Cómo aplicar el análisis de causa raíz paso a paso?
Estos pasos recogen lo que piden las normas 14.2, 14.3 y 14.4:
Describe la diferencia. Compara el criterio con la condición y redacta el problema en una frase, con la evidencia que lo respalda.
Decide cuánto profundizar. La norma pide ejercer el debido cuidado profesional: considera la importancia del hallazgo, la información disponible y el costo y beneficio de un análisis adicional.
Reúnete con la Dirección de la actividad auditada. Pregunta por el motivo de la diferencia con quienes conocen el proceso.
Distingue la causa directa de la causa raíz. Usa la pregunta de validación: si se corrige, ¿puede repetirse?
Determina el efecto y la importancia. La causa explica el hallazgo; el efecto dice cuánto importa.
Acuerda acciones que aborden la causa raíz. Es uno de los propósitos de las recomendaciones y los planes de acción según la Norma 14.4.
Documenta. El papel de trabajo debe dejar ver el criterio, la condición, la causa raíz, el efecto y la priorización.
Este análisis ocurre durante la ejecución, después de las pruebas de auditoría y antes de comunicar los resultados.
Ejemplo práctico
Un equipo de auditoría revisa los hallazgos del año y nota que cuatro, de procesos distintos, tienen la misma causa raíz: nadie tiene asignada la actualización de los procedimientos. El Director de Auditoría Interna lo presenta al Comité de Auditoría como un tema transversal, en lugar de cuatro hallazgos aislados.
¿Cómo documentar la causa raíz y demostrar que se analizó?
Las normas 14.3 y 14.4 dan ejemplos de evidencias de conformidad:
El papel de trabajo que indica el criterio, la condición, la causa raíz (cuando sea posible), el efecto y la priorización de cada hallazgo.
Los papeles de trabajo de cada hallazgo con sus recomendaciones o planes de acción.
Notas y documentación de los debates con la Dirección sobre los hallazgos y la viabilidad de las acciones.
Las metodologías, plantillas y guías de Auditoría Interna.
La norma también señala que el Director de Auditoría Interna puede proporcionar plantillas para que todos los auditores documenten los hallazgos con los mismos elementos.
¿Tu equipo puede ver las causas de todos sus hallazgos?
Estas preguntas ayudan a saberlo:
¿Cada hallazgo tiene registrada su causa, separada de la condición?
¿Puedes ver qué causas se repiten entre auditorías?
¿Cada plan de acción está ligado al hallazgo que lo originó?
Cuando los hallazgos, sus causas y sus planes de acción están en un mismo lugar, estas preguntas se responden sin armar un consolidado. En Dynaudit, cada hallazgo se registra con sus elementos y se conecta con el plan de acción y su seguimiento.
El análisis de causa raíz es el trabajo de identificar por qué existe la diferencia entre lo que debería pasar (el criterio) y lo que encontró la auditoría (la condición). Las Normas Globales de Auditoría Interna (NOGAI) definen la causa raíz como la cuestión fundamental o el motivo subyacente de esa diferencia.
Sirve para que la recomendación resuelva el origen del hallazgo y no solo su síntoma. Cuando la acción ataca la causa raíz, es menos probable que el mismo hallazgo aparezca en la siguiente auditoría.
En este artículo encontrarás:
Qué es la causa raíz y qué piden las NOGAI.
En qué se diferencian la condición, la causa directa y la causa raíz.
Dos técnicas sencillas para encontrarla.
Cómo aplicar el análisis paso a paso, con la Dirección.
Cómo documentarlo y un checklist para tu equipo.
Checklist práctico: análisis de causa raíz de un hallazgo
El problema está descrito en una frase clara y específica.
El criterio y la condición están respaldados con evidencia.
La causa se conversó con la Dirección de la actividad auditada.
La causa registrada explica por qué pudo ocurrir, no solo qué ocurrió.
Pasa la pregunta de validación: si se corrige, no debería repetirse.
El efecto y la importancia están determinados.
El plan de acción aborda la causa raíz.
Todo quedó en el papel de trabajo del hallazgo.
Este checklist es una guía de trabajo. No sustituye la metodología de Auditoría Interna de cada organización.
Conclusión: un hallazgo se cierra de verdad cuando se atiende su causa
El análisis de causa raíz no es un paso adicional del informe. Es lo que permite que la recomendación sea útil para la Dirección y que el hallazgo no regrese.
Preguntar por qué, junto con quien conoce el proceso, y dejarlo documentado es una forma concreta de mostrar el valor de Auditoría Interna.
Explora más contenidos sobre hallazgos y ejecución de la auditoría
Cómo comunicar resultados de Auditoría Interna que la Alta Dirección valore
Pruebas de Auditoría Interna: cómo ejecutarlas con evidencia y basado en riesgos
Fases de Auditoría Interna: guía para planificar, ejecutar y dar seguimiento
Fuentes de referencia
The Institute of Internal Auditors (IIA). Normas Globales de Auditoría Interna (2024). Glosario («causa raíz»); Norma 11.3 «Comunicar los resultados», página 76; Norma 14.3 «Evaluación de los hallazgos», página 103; Norma 14.4 «Recomendaciones y planes de acción», página 105.
Centers for Medicare & Medicaid Services (CMS). Five Whys Tool for Root Cause Analysis: descripción de la técnica de los cinco porqués (en inglés).
Centers for Medicare & Medicaid Services (CMS). How to Use the Fishbone Tool for Root Cause Analysis: descripción del diagrama de causa y efecto (en inglés).
Suscribete a la Ruta del Auditor
No te pierdas más guías, consejos y actualizaciones que potenciarán tu carrera.
Solución integral para auditoría interna.
Contactanos
info@dynaudit.com
© Copyright 2025 - Dynaudit . Todos los derechos reservados.
