La estructura más práctica de un informe de auditoría interna sigue esta secuencia: resumen ejecutivo → alcance y objetivos → metodología → hallazgos (mediante bloques de hallazgos estándar) → recomendaciones → respuesta de la dirección → plan de acción → anexos. Es el formato utilizado en agencias federales de EE. UU., auditores estatales y grandes universidades, y se alinea con las expectativas de presentación de informes del IIA.
Resumen rápido: Copie la plantilla sección por sección de esta guía, complete sus hallazgos utilizando el bloque Condición / Criterio / Causa / Efecto / Recomendación, y descargue una versión editable en DOCX a través de la evaluación de preparación de Ismscalculator para adaptarla a su organización.
Tabla de contenidos
- ¿Qué incluye un ejemplo completo de informe de auditoría interna?
- Un ejemplo completo y editable de informe de auditoría interna que puede copiar
- ¿Cómo se clasifican los hallazgos y se establecen los plazos de subsanación?
- ¿Qué hace que la redacción de informes de auditoría realmente funcione?
- ¿Cómo se recopilan y realizan seguimientos de las respuestas de la dirección?
- ¿Qué debe incluirse como anexos?
- Plantilla de memorando de una página y lista de verificación previa a la publicación
- Conclusiones clave
- La parte que la mayoría de los auditores omiten y por qué les resulta costosa
- Ismscalculator acelera la definición del alcance de la auditoría ISO 27001
- Fuentes de referencia
¿Qué incluye un ejemplo completo de informe de auditoría interna?
Cada sección que aparece a continuación es un elemento obligatorio, no un relleno opcional. Utilícela como lista de verificación durante la redacción.
Secciones obligatorias y contenido mínimo
- Memorando de portada / encabezado: — Título de la auditoría, entidad auditada, período de revisión, fecha del informe, nombres de los auditores, lista de distribución y clasificación (p. ej., Confidencial).
- Respuesta de la dirección: — Obligatoria según los estándares del IIA. Debe incluir conformidad o disconformidad, descripción de la acción correctiva, responsable y fecha límite de cumplimiento prevista.
El informe de muestra de la Universidad de Michigan utiliza tablas resumen para relacionar cada área auditada con su objetivo y resultado, lo que mejora significativamente la legibilidad para los comités de auditoría. Adopte este enfoque siempre que tenga tres o más hallazgos.
Bloque estándar de hallazgo (tabla copiable)
| Campo | Qué escribir |
|---|---|
| Criterio | La norma, política o regulación que debe cumplirse (p. ej., «Según la Política 4.2, todos los contratos con proveedores deben revisarse anualmente.») |
| Condición | Lo que realmente se observó (p. ej., «15 de los 40 contratos con proveedores analizados no habían sido revisados en más de 24 meses.») |
| Causa | Por qué existe la brecha (p. ej., «No existe ningún recordatorio automatizado ni asignación de responsabilidad en el sistema de gestión de contratos.») |
| Efecto / Impacto | El riesgo empresarial generado (p. ej., «Los contratos vencidos exponen a la organización a cláusulas inejecutables y posibles sanciones regulatorias.») |
| Recomendación | La acción correctiva específica, con un resultado medible y una fecha límite. |
| Respuesta de la dirección | Conformidad o disconformidad de la dirección, acción planificada, responsable y fecha límite. |
La plantilla de informe de auditoría del IIA confirma que la respuesta de la dirección —incluyendo la acción correctiva, el responsable y la fecha límite— es un componente obligatorio de cada bloque de hallazgo.
Orientaciones sobre formato y orden
Los directivos leen el resumen ejecutivo y se detienen ahí. Los auditores y el personal de cumplimiento leen los hallazgos. Los organismos reguladores y los equipos jurídicos van directamente a los anexos. Estructure el informe en consecuencia: coloque los hallazgos más relevantes primero, traslade los asuntos de personal sensibles a un anexo restringido y nunca entierre la opinión global al final del informe.
Un ejemplo completo y editable de informe de auditoría interna que puede copiar
A continuación encontrará un modelo completamente redactado que puede adaptar. Personalice los campos entre corchetes para su organización.
INFORME DE AUDITORÍA INTERNA MEMORANDO
Para: [Comité de Auditoría / Consejo de Administración] De: [Director de Auditoría Interna / Departamento de Auditoría Interna] Fecha: [DD de mes de AAAA] Asunto: Informe de Auditoría Interna — [Nombre de la auditoría], [Período de auditoría] Clasificación: Confidencial Distribución: [Véase la Sección 7]
Resumen ejecutivo
El Departamento de Auditoría Interna completó una revisión de [Proceso/Departamento] para el período comprendido entre [Fecha de inicio] y [Fecha de fin]. El objetivo de la auditoría fue evaluar la adecuación y eficacia de los controles internos sobre [área de control]. Se identificaron tres hallazgos con distintos niveles de severidad. En general, los controles son parcialmente eficaces y requieren una subsanación específica en [área concreta]. La dirección ha aceptado todas las recomendaciones con fechas límite de cumplimiento establecidas para los próximos meses.
Antecedentes y alcance
[Nombre de la organización] depende de [Proceso] para [breve descripción del propósito empresarial]. Esta auditoría se incluyó en el Plan Anual de Auditoría de [Año] aprobado por el Comité de Auditoría. El alcance abarcó [sistemas, ubicaciones, transacciones o períodos de tiempo específicos]. Fuera del alcance: [lista de exclusiones].
Objetivos de la auditoría:
- Verificar que [objetivo de control 1]
- Confirmar que [objetivo de control 2]
- Evaluar el cumplimiento de [Política / Regulación / Norma]
Metodología
Las evidencias se obtuvieron mediante entrevistas estructuradas con [número] responsables de proceso, revisión de [tipos de documentos] y pruebas transaccionales sobre una muestra de [N] elementos seleccionados mediante muestreo [aleatorio / basado en riesgos]. El trabajo de campo se realizó entre [fecha] y [fecha]. La auditoría se llevó a cabo de conformidad con las Normas Internacionales para el Ejercicio Profesional de la Auditoría Interna (Normas del IIA).
Hallazgos
Hallazgo 1 — Proceso de revisión de contratos con proveedores (Alto)
- Respuesta de la dirección: — Conforme. El Responsable de Compras asignará titulares y configurará alertas antes del [fecha]. La revisión completa de los contratos vencidos se completará antes del [fecha].
Hallazgo 2 — Controles de aprovisionamiento de accesos (Medio)
Hallazgo 3 — Documentación de informes de gastos (Bajo)
- Causa: — El portal de envío de gastos acepta solicitudes sin adjuntar justificante para importes inferiores a 100 $ (umbral mal configurado).
Opinión de auditoría
Sobre la base del trabajo de campo y las evidencias revisadas, los controles internos sobre [Proceso] son parcialmente eficaces. El hallazgo de nivel Alto relacionado con la gestión de contratos con proveedores requiere subsanación urgente. Los controles en [otras áreas analizadas] funcionan según lo previsto.
Lista de distribución
Informe definitivo: Comité de Auditoría, Director Financiero, [Responsable del Proceso], Director de Auditoría Interna. Borrador para respuesta de la dirección: [Responsable del Proceso], [Responsable del Departamento].
El informe de auditoría de muestra de la EPA recomienda distribuir el informe formal en un plazo de dos semanas tras la finalización del trabajo de campo, un calendario que merece la pena incorporar al plan de auditoría. Para audiencias directivas, condense el informe completo al resumen ejecutivo más la tabla de hallazgos. La Oficina del Auditor del Estado de Washington ofrece buenos ejemplos de hallazgos cuantificados con respuestas de la dirección y plazos que pueden utilizarse como modelos adicionales de redacción.
Para una versión editable en DOCX de esta plantilla, la plantilla de informe de auditoría interna del Ministerio de Finanzas ofrece una disposición alternativa estructurada con campos de encabezado y formato de anexo que merece revisarse junto a este ejemplo.
¿Cómo se clasifican los hallazgos y se establecen los plazos de subsanación?
Las calificaciones de severidad ofrecen a la dirección una señal clara sobre dónde centrar la atención en primer lugar. Utilice una escala de tres o cuatro niveles de forma consistente en todas las auditorías para que el Comité de Auditoría pueda realizar un seguimiento de tendencias a lo largo del tiempo.
Matriz de calificación de severidad
| Severidad | Criterios | Plazo de subsanación recomendado |
|---|---|---|
| Crítico | Pérdida financiera inmediata, infracción regulatoria o fallo de control material sin control compensatorio | 30 días o escalada inmediata |
| Alto | Brecha de control significativa; probable que resulte en error material, exposición a fraude o incumplimiento normativo si no se subsana | 60–90 días |
| Medio | Debilidad de control con riesgo moderado; existen controles compensatorios pero son insuficientes | 90 días |
| Bajo | Desviación menor de política; impacto financiero u operativo reducido; los controles compensatorios son eficaces | Seguimiento en el próximo ciclo de auditoría |
Los informes de la Oficina del Auditor del Estado de Washington combinan sistemáticamente hallazgos cuantificados con plazos específicos de acción correctiva, un modelo a seguir al presentar hallazgos ante un consejo de administración o un organismo regulador.
Consejo práctico: Traduzca el impacto técnico en impacto empresarial antes de presentarlo a directivos no especializados en tecnología. En lugar de «el flujo de trabajo de aprovisionamiento de accesos carece de una puerta de aprobación», escriba «ocho empleados recibieron acceso al sistema sin aprobación de su responsable, lo que genera un riesgo de exposición de datos no autorizada». La segunda versión genera acción; la primera genera indiferencia.
¿Qué hace que la redacción de informes de auditoría realmente funcione?
La elección estructural más eficaz es comenzar cada hallazgo con la conclusión, no con los antecedentes. Los directivos no leen de forma lineal. Exponga el problema y su impacto empresarial en la primera frase y, a continuación, aporte la evidencia.
¿Cómo se recopilan y realizan seguimientos de las respuestas de la dirección?
La respuesta de la dirección no es opcional. Según las normas del IIA, cada hallazgo debe incluir la conformidad o disconformidad de la dirección, la acción correctiva planificada, el responsable y la fecha límite.
Calendario y proceso recomendados
- Emitir el borrador del informe — a la dirección en un plazo de dos semanas tras la finalización del trabajo de campo (en consonancia con las orientaciones del informe de muestra de la EPA).
- Informar de los elementos pendientes — al Comité de Auditoría trimestralmente, indicando la antigüedad del hallazgo, el responsable y el estado actual.
Plantilla de plan de acción (copie en su informe)
| Ref. hallazgo | Acción correctiva | Responsable | Fecha límite | Estado |
|---|---|---|---|---|
| Hallazgo 1 | Asignar titulares de contratos y configurar alertas de renovación | Responsable de Compras | [Fecha] | Abierto |
| Hallazgo 2 | Reconfigurar el flujo de aprobación del proceso de incorporación | Responsable de Seguridad TI | [Fecha] | Abierto |
| Hallazgo 3 | Corregir el umbral de gastos en el portal a 25 $ | Controller | [Fecha] | Abierto |
Consejo práctico: Cuando la dirección no esté de acuerdo con un hallazgo, documente su posición literalmente y registre la evaluación del auditor en un campo separado. Nunca elimine un hallazgo porque la dirección se oponga. Escale los desacuerdos no resueltos al Comité de Auditoría con un breve resumen de ambas posiciones.
El cierre requiere evidencia, no solo una actualización de estado. Antes de marcar un hallazgo como cerrado, obtenga y conserve documentación que demuestre que se implementó la acción correctiva (una captura de pantalla, una política revisada, un registro de configuración del sistema). La lista de hallazgos comunes de auditoría de UNCW Internal Audit es una referencia útil para definir el alcance de los pasos de seguimiento en categorías de control habituales.
¿Qué debe incluirse como anexos?
Los anexos contienen la evidencia que respalda los hallazgos sin saturar el cuerpo principal del informe. Todo aquello que un revisor pueda necesitar para verificar un hallazgo va aquí; todo lo que un lector necesite para comprender el hallazgo permanece en el cuerpo del informe.
Contenido habitual de los anexos:
- Anexo F: — Hallazgos de auditorías anteriores y estado de su subsanación (para hallazgos recurrentes)
Etiquete cada anexo con una letra y un título descriptivo. Haga referencia a los anexos en el cuerpo del texto por su letra («véase el Anexo B»). La plantilla de informe de auditoría interna del Ministerio de Finanzas muestra una disposición de anexos clara con campos de encabezado con referencias cruzadas.
Conserve los papeles de trabajo (el archivo de evidencia completo que respalda los anexos) de acuerdo con la política de retención de registros de su organización, habitualmente entre tres y siete años. Restrinja el acceso a los papeles de trabajo que contengan datos de personal sensibles, datos personales o configuraciones de seguridad únicamente al personal de auditoría autorizado. Para auditorías relacionadas con TI, la guía sobre tipos de evidencia para auditorías ISO 27001 abarca las categorías de evidencia y las prácticas de gestión que merece la pena referenciar en la sección de metodología.
Plantilla de memorando de una página y lista de verificación previa a la publicación
Para las actualizaciones dirigidas al Comité de Auditoría o a la alta dirección, un memorando breve más la tabla de hallazgos suele ser más eficaz que el informe completo. La plantilla de informe de auditoría interna de muestra incluye tanto un informe completo como un formato de memorando breve adecuado para una revisión ejecutiva rápida.
Plantilla de memorando de una página (pegue en un correo electrónico o en Word):
MEMORANDO Para: [Comité de Auditoría / Patrocinador Ejecutivo] De: [Director de Auditoría Interna] Fecha: [Fecha] Asunto: [Nombre de la auditoría] — Resumen de hallazgos
El trabajo de campo de la auditoría [Nombre de la auditoría] ha concluido. Se identificaron [N] hallazgos: [X] Altos, [Y] Medios, [Z] Bajos. El problema más significativo es [descripción en una frase del hallazgo principal y su impacto empresarial]. La dirección ha aceptado todas las recomendaciones. Se espera que la subsanación completa se realice antes del [fecha]. El informe completo se adjunta.
Lista de verificación previa a la publicación
Antes de emitir cualquier informe de auditoría, confirme:
- Cada hallazgo hace referencia a evidencia específica (letra del anexo o nombre del documento)
- Cada recomendación tiene un responsable designado y una fecha límite realista
- Las respuestas de la dirección están incluidas para todos los hallazgos
- El resumen ejecutivo coincide con la sección de hallazgos (sin contradicciones)
- Las calificaciones de severidad son coherentes con la escala de calificación aprobada por la organización
- La lista de distribución está actualizada y aprobada
- El informe ha sido revisado ortográficamente y comprobado por un segundo auditor
- Los datos sensibles (NIF, contraseñas, datos personales) han sido anonimizados en los anexos
Para una lista de verificación de definición de alcance previa a la auditoría que alimenta directamente las secciones de alcance y metodología, la guía de evaluación previa a la auditoría cubre en detalle las áreas de control de ISO 27001.
Conclusiones clave
Un informe de auditoría interna bien estructurado utiliza la secuencia resumen ejecutivo → hallazgos → respuesta de la dirección, con cada hallazgo documentado en el bloque estándar de cinco campos: Condición / Criterio / Causa / Efecto / Recomendación.
| Punto | Detalles |
|---|---|
| Utilice el bloque estándar de hallazgo | Cada hallazgo necesita Condición, Criterio, Causa, Efecto y Recomendación para ser accionable y defendible. |
| Clasifique los hallazgos por severidad | Una escala de tres niveles (Crítico / Alto / Medio / Bajo) se corresponde directamente con plazos de subsanación de 30, 60–90 y 90 días. |
| La respuesta de la dirección es obligatoria | Según las normas del IIA, cada hallazgo debe incluir conformidad o disconformidad, acción correctiva, responsable y fecha límite. |
| Distribuya el borrador en dos semanas | Emita el borrador a la dirección en un plazo de dos semanas tras el trabajo de campo; conceda 10 días hábiles para las respuestas antes de finalizar el informe. |
| Ismscalculator para la definición del alcance de ISO 27001 | Utilice la evaluación de preparación de Ismscalculator para definir el alcance de las áreas de control de TI y estimar el esfuerzo de subsanación antes de redactar la sección de metodología. |
La parte que la mayoría de los auditores omiten y por qué les resulta costosa
La mayoría de los informes de auditoría interna fracasan no porque los hallazgos sean incorrectos, sino porque el informe está redactado para el auditor y no para el lector. La sección de hallazgos parece una lista de verificación de cumplimiento. El resumen ejecutivo entierra lo esencial. La dirección recibe un documento de 40 páginas cuando necesitaba un memorando de una página.
La plantilla de esta guía se basa en un principio: la función del lector determina el formato. Un miembro del Comité de Auditoría necesita la opinión global y los dos principales riesgos en 90 segundos. Un responsable de proceso necesita la acción correctiva específica y el plazo. Un organismo regulador necesita el rastro de evidencias en los anexos. Elaborar un único documento que sirva a las tres audiencias implica estructurarlo en capas, no redactarlo como una narración única.
Lo otro que los auditores suelen infravalorar es la respuesta de la dirección. Un hallazgo sin respuesta de la dirección es una observación. Un hallazgo con un responsable concreto, una acción correctiva específica y una fecha es un compromiso. Esa distinción determina si el informe impulsa cambios o queda archivado en una carpeta compartida.
Una nota práctica: la redacción de muestra de esta guía es intencionadamente genérica. El error más común al adaptar una plantilla es dejar el lenguaje genérico tal cual. Cada declaración de condición debe contener un número específico, un sistema específico o una fecha específica. «Varios contratos no fueron revisados» no es un hallazgo. «15 de los 40 contratos analizados no habían sido revisados en más de 24 meses» sí lo es.
Ismscalculator acelera la definición del alcance de la auditoría ISO 27001
Cuando su auditoría abarca controles de TI o el cumplimiento de ISO 27001, la parte más difícil suele ser la definición del alcance: ¿cuáles de los 93 controles del Annex A son relevantes y cuánto esfuerzo de subsanación es realista? La evaluación de preparación de ISO 27001 de Ismscalculator le proporciona en minutos una instantánea de madurez dominio a dominio a través de los cuatro dominios de control de ISO/IEC 27001:2022, con comparaciones de referencia que puede citar directamente en su sección de metodología.
La evaluación se exporta a PDF, por lo que los resultados pueden incorporarse directamente a su informe como evidencia de respaldo para el alcance de la auditoría y la priorización de riesgos. Para una entrada previa a la auditoría más rápida, la comprobación de preparación en 2 minutos le proporciona una línea base rápida de cobertura de controles antes de comenzar el trabajo de campo. Ejecútela antes de finalizar el alcance y dedicará menos tiempo en el trabajo de campo a descubrir brechas que podría haber anticipado.
Fuentes de referencia
Las siguientes referencias de autoridad respaldan las orientaciones de este artículo y merece la pena guardarlas como referencia para uso continuado:
- Plantilla de informe de auditoría — Herramienta ejecutiva del IIA
- Informe de auditoría interna de muestra — Universidad de Michigan (informe de muestra)
- Recomendaciones comunes para hallazgos frecuentes de auditoría — Oficina de Auditoría Interna de la Universidad de Minnesota
- Informe de auditoría de muestra (EPA) — Apéndice A: Informe de auditoría de muestra (Final 7/96)
- Informe del auditor estatal con hallazgos y recomendaciones detalladas — Oficina del Auditor del Estado de Washington
- Hallazgos comunes de auditoría — UNCW Internal Audit
- Informe de auditoría interna de muestra (plantilla PDF)
- Plantilla de informe de auditoría interna — Ministerio de Finanzas (plantilla PDF)
Recomendado
- Evaluación previa a la auditoría en el SGSI: Guía 2026 para equipos de cumplimiento | ISMS Calculator
- Blog - Base de conocimiento ISO 27001 | ISMS Calculator
- Inventario de activos de TI ISO 27001: Consejos para la preparación de auditorías | ISMS Calculator
- Declaración de Aplicabilidad ISO 27001: Guía completa | ISMS Calculator