Las entrevistas a empleados convierten la práctica organizativa en evidencia de auditoría al revelar cómo operan realmente los controles en el trabajo diario, exponiendo las brechas entre la política escrita y el comportamiento real, y poniendo de manifiesto señales de riesgo que los documentos por sí solos no pueden mostrar. Ese es el papel central de las entrevistas a empleados en las auditorías, y cada fase de su encargo debería reflejarlo.
Tres cosas que las entrevistas hacen y que ningún otro método puede lograr:
- Revelan el proceso real. Los empleados describen lo que hacen, no lo que el manual de procedimientos dice que deberían hacer. Esa brecha es donde suelen encontrarse los hallazgos.
- Evidencian señales de riesgo e intención. El tono, la vacilación y la inconsistencia son datos. Los análisis automatizados no pueden interpretar una pausa.
- Corroboran o cuestionan la evidencia documental. Un registro de control de acceso firmado tiene poco valor si la persona que lo firmó no puede explicar el proceso que hay detrás.
Cuándo las entrevistas son imprescindibles: recorridos de control, investigaciones de fraude, evaluaciones de controles de TI, revisiones de preparación para ISO 27001 y cualquier auditoría en la que la documentación de procesos sea escasa u obsoleta.
Cuándo las entrevistas son opcionales pero siguen siendo valiosas: verificaciones de cumplimiento rutinarias con sólida evidencia transaccional, revisiones de procesos de bajo riesgo o auditorías de seguimiento en las que los hallazgos previos ya están bien documentados.
Consejo práctico: Antes de su próximo encargo, redacte una sola frase que indique qué debe confirmar o descartar la entrevista. Si no puede escribirla, la entrevista no está lista para programarse.
Conclusiones clave
Las entrevistas a empleados son más fiables cuando están estructuradas, documentadas y trianguladas frente a al menos otros dos tipos de evidencia antes de concluir un hallazgo.
| Punto | Detalles |
|---|---|
| La estructura mejora la fiabilidad | Las entrevistas estructuradas producen mayor validez que las no estructuradas; utilice una guía de preguntas escrita en cada entrevista. |
| Modelo de tres fases | La planificación previa a la entrevista, la conducción estructurada y la evaluación posterior en un plazo de 48 horas producen evidencia consistente y defendible. |
| Triangule antes de concluir | Contraste cada afirmación significativa de la entrevista con documentos, registros de sistemas o una segunda entrevista independiente antes de tratarla como evidencia. |
| Las señales de alerta requieren acción inmediata | Las inconsistencias conductuales y los procedimientos alternativos no documentados deben registrarse textualmente y escalarse antes de la siguiente entrevista. |
| Ismscalculator para el alcance de ISO 27001 | La verificación gratuita de preparación y la evaluación completa ayudan a los equipos de auditoría a priorizar los objetivos de entrevista por riesgo de dominio antes de comenzar el trabajo de campo. |
Índice de contenidos
- Cómo las entrevistas a empleados configuran la planificación de la auditoría y la recopilación de evidencias
- Un modelo de entrevista de auditoría paso a paso que puede aplicar en cada encargo
- Diseño de preguntas que producen respuestas fiables y verificables
- Cómo conducir la entrevista: rapport, control de sesgos y captura de evidencias
- Señales de alerta e indicadores de fraude a observar durante las entrevistas
- Convertir la información de la entrevista en evidencia de auditoría fiable
- Después de la entrevista: documentación, seguimiento e integración de resultados
- Herramientas prácticas: banco de preguntas, listas de verificación y plantillas que puede usar ahora
- Por qué las entrevistas estructuradas producen evidencia de auditoría más fiable
- Consideraciones legales y éticas para auditores en EE. UU.
- Lo que los auditores experimentados realmente hacen con las entrevistas a lo largo del trabajo de campo
- Ismscalculator le ayuda a definir el alcance de los objetivos de entrevista de ISO 27001 antes de comenzar el trabajo de campo
- Fuentes
Cómo las entrevistas a empleados configuran la planificación de la auditoría y la recopilación de evidencias
Una planificación eficaz previa a la entrevista marca la diferencia entre una conversación que genera evidencia útil y una que solo genera notas de reunión. Según la guía del IIA sobre preparación de entrevistas, una investigación exhaustiva de antecedentes y la definición del propósito mejoran materialmente la calidad de la información que obtienen los auditores y la relación de trabajo con el entrevistado.
Defina primero el objetivo. Cada entrevista debe vincularse directamente a un objetivo de auditoría específico: verificar la eficacia operativa de un control, comprender el flujo del proceso o identificar excepciones. Una entrevista diseñada para verificar la eficacia operativa plantea preguntas diferentes a las de una diseñada para mapear un proceso. Mezclar ambos propósitos produce respuestas que no sirven a ninguno de los dos.
Documentos de referencia que debe recopilar antes de programar la entrevista:
- Mapas de procesos y procedimientos operativos estándar del área bajo revisión
- Informes de gestión recientes, KPI o cuadros de mando relacionados con el proceso
- Hallazgos de auditorías anteriores y planes de acción de la dirección
- Organigramas que muestren las líneas de reporte y las responsabilidades de cada rol
- Políticas relevantes, matrices de control de acceso y registros de configuración de sistemas
Selección y secuenciación de los entrevistados. Elija según la función, no solo por el cargo. Un responsable de proceso y un operador de primera línea describirán el mismo control de manera diferente, y ambas perspectivas son importantes. Secuencie las entrevistas de lo general a lo específico: comience con los responsables de proceso para comprender el diseño previsto, y luego avance hacia los operadores para comprobar si ese diseño funciona como se describe. Evite entrevistar a subordinados antes que a sus superiores cuando el tema sea sensible, ya que los superiores pueden condicionar involuntariamente las respuestas.
Lista de verificación de programación y logística:
- Envíe una agenda breve con al menos 48 horas de antelación, indicando el objetivo de la auditoría y la duración aproximada.
- Confirme el rol del entrevistado y los procesos específicos que gestiona u opera.
- Reserve una sala privada o una videollamada segura, no un espacio abierto de trabajo.
- Destine entre 30 y 60 minutos por entrevista; las áreas de control complejas pueden requerir 90 minutos.
- Asigne un tomador de notas separado del entrevistador principal antes de la reunión, no durante ella.
Un modelo de entrevista de auditoría paso a paso que puede aplicar en cada encargo
Un modelo reproducible de tres fases le proporciona resultados consistentes y defendibles independientemente de qué miembro del equipo conduzca la entrevista. La guía de entrevistas de auditoría del TCE define tres propósitos principales de la entrevista: orientación, examen y confirmación. Su modelo de fases debe contemplar los tres.
Fase 1: Previa a la entrevista
- Finalice el objetivo de la entrevista y vincúlelo al paso del programa de auditoría que sustenta.
- Revise los documentos de referencia y elabore una guía de preguntas estructurada (no un guión rígido).
- Asigne los roles del equipo: entrevistador principal, tomador de notas y, en entrevistas complejas, un observador que supervise el lenguaje corporal y anote en silencio las preguntas de seguimiento.
- Acuerde señales internas del equipo: un tomador de notas que necesite aclaración puede escribir «SONDEAR?» en un bloc compartido en lugar de interrumpir.
- Confirme la logística, envíe la agenda y verifique que el entrevistado comprende el alcance.
Fase 2: Conducción de la entrevista
- Abra con una declaración clara del propósito, las expectativas de confidencialidad y el marco temporal.
- Avance por la guía de preguntas usando la técnica del embudo: primero preguntas abiertas, después preguntas de sondeo, y finalmente preguntas cerradas de confirmación.
- El entrevistador principal se centra en escuchar y hacer seguimiento; el tomador de notas captura citas textuales siempre que sea posible, etiquetando cada respuesta con el control o área de riesgo que aborda.
- El observador anota vacilaciones, cambios de tema o variaciones emocionales que justifiquen una pregunta de seguimiento.
- Cierre resumiendo los puntos clave y preguntando al entrevistado si desea añadir algo.
Fase 3: Evaluación posterior a la entrevista
- Realice un informe conjunto del equipo en los 30 minutos siguientes mientras el recuerdo está fresco. Las notas del observador se debaten en primer lugar.
- Clasifique cada respuesta: corrobora la evidencia existente, la contradice o introduce una nueva área de riesgo que requiere pruebas.
- Identifique las acciones de seguimiento: documentos, capturas de pantalla del sistema o una segunda entrevista.
- Redacte el acta de la entrevista y circúlela para revisión del entrevistado en un plazo de 48 horas.
Consejo práctico: Programe su informe conjunto antes de abandonar el edificio o finalizar la videollamada. Un informe de 15 minutos inmediatamente después de la entrevista capta matices que desaparecen a la mañana siguiente.
Diseño de preguntas que producen respuestas fiables y verificables
El diseño de preguntas es donde fracasan la mayoría de las entrevistas de auditoría. Las preguntas vagas producen respuestas vagas; las preguntas tendenciosas producen la respuesta que ya esperaba. Ninguna de las dos constituye evidencia.
Cuatro tipos de preguntas y cuándo utilizarlas:
- Preguntas estructuradas: Predeterminadas, formuladas en el mismo orden a todos los entrevistados que cubren el mismo control. Úselas cuando necesite respuestas comparables entre múltiples entrevistas o cuando el hallazgo deba resistir el escrutinio.
- Preguntas conductuales: Preguntan qué hizo realmente la persona en una situación pasada («Descríbame la última vez que tramitó una solicitud de excepción»). Úselas para comprobar si un control opera según lo descrito.
- Preguntas situacionales: Presentan un escenario hipotético («Si recibiera una solicitud para conceder acceso de administrador temporal fuera del horario habitual, ¿qué haría?»). Úselas para evaluar la comprensión de la política y las vías de escalado.
- Preguntas de confirmación: Preguntas cerradas de sí/no o de valor específico que se utilizan al final de un tema para fijar un hecho («Entonces, la aprobación siempre va al responsable de seguridad TI antes de que se conceda el acceso, ¿es correcto?»). Úselas para asentar una afirmación concreta antes de avanzar.
La técnica del embudo en la práctica. Comience con una pregunta amplia para que el entrevistado describa el proceso con sus propias palabras. Luego sondee: «Mencionó que la solicitud va a su responsable, ¿quién exactamente y cómo?». Luego confirme: «¿Entonces toda solicitud de acceso, sin excepción, requiere la aprobación escrita del responsable de seguridad TI antes del aprovisionamiento?». Cada capa acota la respuesta y pone a prueba la consistencia interna.
Plantillas de preguntas de muestra que los auditores pueden adaptar:
Eficacia del control: «Describa cómo verifica que [control X] se completó antes de que [proceso Y] continúe.»
Segregación de funciones: «¿Hay alguna otra persona en su equipo que tenga la capacidad de iniciar y aprobar [tipo de transacción] sin una segunda firma?»
Gestión de accesos: «Cuando un empleado abandona su departamento, ¿qué pasos sigue para eliminar su acceso al sistema y en qué plazo ocurre?»
Respuesta a incidentes: «Hábleme del último incidente de seguridad del que tuvo conocimiento. ¿Qué ocurrió y a quién notificó?»
Preguntas que debe evitar:
- Tendenciosas: «Usted revisa los registros diariamente, ¿verdad?» (indica la respuesta esperada)
- De doble cañón: «¿Revisa los registros de acceso y escala las anomalías?» (dos preguntas en una)
- Con exceso de jerga: «¿Realiza una conciliación del flujo de trabajo de aprovisionamiento del IAM?» (use lenguaje claro primero, luego aclare)
- Hipotéticas sin anclaje: «¿Qué haría en un mundo perfecto?» (produce respuestas aspiracionales, no operativas)
Los principios basados en la investigación para una buena entrevista destacan la importancia de evitar un diseño deficiente de preguntas y de utilizar sondeos estructurados para comprobar la consistencia entre respuestas, algo especialmente importante cuando varios entrevistados describen el mismo control.
Cómo conducir la entrevista: rapport, control de sesgos y captura de evidencias
Los dos primeros minutos de una entrevista marcan el tono de todo lo que sigue. Exponga el propósito de la auditoría con claridad, aclare que la entrevista no es una evaluación del desempeño y confirme aproximadamente cuánto tiempo llevará. Ese encuadre reduce la actitud defensiva e incrementa la sinceridad.
Rapport sin condicionar. Presentar la entrevista como colaborativa, en la que el auditor intenta comprender cómo funciona el proceso en lugar de pillar a alguien, produce de forma consistente mejores revelaciones. La guía del IIA para profesionales señala que los auditores que se posicionan como socios para la resolución de problemas obtienen mayor cooperación e información de mayor calidad. Eso no significa suavizar las preguntas, sino que el entrevistado entiende que el auditor está ahí para comprender, no para acusar.
Gestión de sesgos. Tres sesgos distorsionan con más frecuencia las entrevistas de auditoría:
- Sesgo de confirmación: Ya sospecha que un control es débil y pondera inconscientemente las respuestas que lo confirman. Para contrarrestarlo, formule la misma pregunta con dos enfoques diferentes y compare las respuestas.
- Anclaje: La primera respuesta que escucha condiciona cómo interpreta las siguientes. Realice un informe conjunto del equipo antes de extraer conclusiones.
- Juicio prematuro: Decidir en los primeros cinco minutos si el entrevistado es o no creíble. La credibilidad se evalúa después de la corroboración, no durante la conversación.
Toma de notas y grabación:
| Práctica | Enfoque recomendado |
|---|---|
| Citas textuales | Capture la redacción exacta de las afirmaciones clave; indique claramente entre corchetes las paráfrasis |
| Etiquetado de respuestas | Etiquete cada respuesta con el control, el área de riesgo u objetivo de auditoría al que se refiere |
| Observaciones no verbales | Anote las vacilaciones, las evasiones temáticas o los cambios emocionales en una columna separada |
| Grabación de audio/vídeo | Requiere consentimiento explícito; evítela a menos que sea legalmente necesario |
| Notas compartidas | El entrevistador principal revisa el borrador del tomador de notas antes del informe conjunto, no después |
En contextos de auditoría de TI, las entrevistas frecuentemente evidencian fallos en los controles que los registros del sistema y las revisiones de configuración no muestran, precisamente porque los operadores describen procedimientos alternativos que consideran rutinarios pero que representan excepciones no documentadas al diseño del control.
Señales de alerta e indicadores de fraude a observar durante las entrevistas
Las entrevistas son uno de los pocos procedimientos de auditoría que pueden poner de manifiesto la intención, no solo el resultado. Un registro de transacciones muestra lo que ocurrió; una entrevista puede revelar por qué, y si la persona que lo describe era consciente de que estaba mal.
Señales de alerta conductuales a registrar:
- Inconsistencia entre lo que el entrevistado dice ahora y lo que dijo anteriormente en la misma entrevista
- Respuestas evasivas: cambios de tema, calificaciones excesivas o responder a una pregunta diferente a la formulada
- Procedimientos alternativos inusuales descritos como normales («Siempre lo hacemos así porque el sistema no permite la vía correcta»)
- Cambios de acceso o anulaciones del sistema no explicados que el entrevistado no puede atribuir a una necesidad empresarial específica
- Reticencia a nombrar aprobadores concretos o responsables de documentos
Señales de alerta factuales:
- Descripciones de procesos que contradicen los controles documentados
- Referencias a aprobaciones que no pueden rastrearse en un registro del sistema o una firma
- Cronologías que no coinciden con los datos de transacciones ya revisados
Distinción entre percepción y alegación. Un entrevistado que dice «Creo que alguien podría estar aprobando sus propias transacciones» está expresando una percepción. Un entrevistado que dice «Vi a Juan aprobar su propio informe de gastos el 14 de marzo» está realizando una alegación. Documente ambas, pero trátelas de manera diferente. Las percepciones orientan sus pruebas; las alegaciones requieren escalado inmediato y preservación de evidencias.
Si se sospecha fraude durante una entrevista:
- No confronte al entrevistado ni revele sus sospechas.
- Continúe la entrevista con normalidad y documente las respuestas textualmente.
- Inmediatamente después de la entrevista, notifique a su supervisor de auditoría o al director de auditoría interna.
- Preserve todas las notas, grabaciones (si las hubiera) y documentos recopilados hasta ese momento.
- No comente el asunto con otros entrevistados hasta recibir instrucciones.
Lista de verificación de señales de alerta posteriores a la entrevista para los papeles de trabajo:
- ¿Alguna respuesta fue inconsistente con la evidencia previa? (S/N, describa)
- ¿Describió el entrevistado algún procedimiento alternativo no documentado? (S/N, describa)
- ¿Se describieron pasos de escalado o aprobación que no pueden corroborarse? (S/N, describa)
- ¿Indicaron los indicadores conductuales evasión o incomodidad ante temas específicos? (S/N, describa)
Convertir la información de la entrevista en evidencia de auditoría fiable
Una respuesta de entrevista no es evidencia por sí sola. Se convierte en evidencia cuando está corroborada, documentada y evaluada en cuanto a su fiabilidad. La guía de auditoría sobre evidencia en entrevistas deja claro que las entrevistas son una fuente principal para orientar el esfuerzo de auditoría, pero generalmente se complementan con otro tipo de evidencia antes de concluir un hallazgo.
La triangulación en la práctica. Contraste cada afirmación significativa de la entrevista con al menos otros dos tipos de evidencia:
- Documentos: ¿Coincide el proceso descrito por el entrevistado con el procedimiento escrito y los registros de transacciones?
- Registros del sistema: ¿Aparece la secuencia de acceso o aprobación que describió en la traza de auditoría del sistema?
- Otras entrevistas: ¿Describe un segundo entrevistado, de forma independiente, el mismo control funcionando de la misma manera?
Factores de fiabilidad a evaluar para cada entrevista:
| Factor | Mayor fiabilidad | Menor fiabilidad |
|---|---|---|
| Independencia | El entrevistado no tiene interés en el hallazgo | El entrevistado es el propietario del control que se evalúa |
| Observación directa | Describe lo que él mismo hace | Describe lo que cree que hacen otros |
| Motivación para declarar falsamente | Sin incentivo aparente | Posible exposición disciplinaria o financiera |
| Registros contemporáneos | La respuesta coincide con registros fechados | La respuesta se basa íntegramente en la memoria |
Lista de verificación de documentación para papeles de trabajo:
- Fecha, hora, lugar y participantes de la entrevista
- Propósito declarado y objetivo de auditoría que sustenta la entrevista
- Citas textuales de las afirmaciones clave, claramente identificadas como citas
- Respuestas parafraseadas, claramente identificadas como paráfrasis
- Vínculos de evidencia: documentos, registros o hallazgos previos que la respuesta corrobora o contradice
- Evaluación de fiabilidad: una frase por cada afirmación significativa
- Elementos pendientes de seguimiento: qué requiere aún corroboración
En las auditorías de ISO 27001, las entrevistas son especialmente valiosas para evaluar cómo operan los controles en los cuatro temas de control del Annex A, ya que muchos controles dependen del comportamiento humano que la documentación por sí sola no puede verificar.
Después de la entrevista: documentación, seguimiento e integración de resultados
Las 48 horas posteriores a una entrevista son tan importantes como la entrevista en sí. La documentación tardía degrada la precisión; los elementos de seguimiento no documentados desaparecen.
Elaboración de actas de entrevista coherentes:
- Redacte el acta en las 24 horas siguientes utilizando las capturas textuales del tomador de notas como base.
- Estructure el acta del siguiente modo: propósito, participantes, temas principales tratados, respuestas significativas (citadas o parafraseadas con etiquetado claro), elementos de seguimiento y notas de fiabilidad.
- Circúlela al entrevistado para revisión factual en un plazo de 48 horas. Tenga en cuenta que se trata de una verificación de exactitud factual, no de una oportunidad para revisar las revelaciones sustantivas.
- Obtenga una confirmación firmada o por correo electrónico antes de cerrar el papel de trabajo.
- Archive el acta con los vínculos de evidencia adjuntos, no en una carpeta separada.
Acciones de seguimiento:
- Envíe las solicitudes de documentos en las 24 horas posteriores a la entrevista, haciendo referencia a la afirmación concreta que respaldan.
- Si se necesita una entrevista de seguimiento, prográmela antes de abandonar el lugar de trabajo de campo.
- Señale los elementos no resueltos en el registro de riesgos de la auditoría de inmediato, no al final del trabajo de campo.
Integración de los hallazgos de la entrevista en la auditoría:
- Cada hallazgo significativo de la entrevista debe vincularse a una entrada del registro de riesgos, a un paso de prueba o a un borrador de hallazgo.
- Si una entrevista revela un nuevo riesgo no contemplado en el alcance original, escálelo al responsable de auditoría antes de ampliar las pruebas de forma independiente.
- Utilice los resultados de las entrevistas para ajustar el tamaño de las muestras: si varios entrevistados describen la misma excepción, amplíe su muestra transaccional para ese control.
Campos del papel de trabajo para la trazabilidad:
- Cita o paráfrasis → control o área de riesgo → referencia de evidencia corroborante → número de hallazgo o paso de prueba
Herramientas prácticas: banco de preguntas, listas de verificación y plantillas que puede usar ahora
Lista de verificación de planificación de entrevistas en una página:
- [ ] Objetivo de auditoría que sustenta la entrevista: ___
- [ ] Tipo de entrevista (orientación / examen / confirmación): ___
- [ ] Documentos de referencia revisados: ___
- [ ] Rol y función del entrevistado confirmados: ___
- [ ] Guía de preguntas redactada y revisada por el responsable de auditoría: ___
- [ ] Roles del equipo asignados (entrevistador principal, tomador de notas, observador): ___
- [ ] Agenda enviada con al menos 48 horas de antelación: ___
- [ ] Sala privada o llamada segura confirmada: ___
- [ ] Decisión sobre grabación tomada y consentimiento obtenido si procede: ___
Banco de preguntas de muestra por objetivo:
- Eficacia del control: «Descríbame la última vez que realizó [control X]. ¿Qué verificó y qué hizo si algo no estaba bien?»
- Segregación de funciones: «¿Hay alguna persona en su equipo que pueda tanto crear como aprobar [tipo de transacción] sin una segunda firma?»
- Gestión de accesos: «¿Cómo gestiona su equipo la eliminación de accesos cuando alguien cambia de departamento o abandona la empresa?»
- Respuesta a incidentes: «Describa la última vez que identificó o notificó un posible problema de seguridad. ¿Qué pasos siguió?»
- Conocimiento de políticas: «¿Dónde consultaría la política actual para [proceso específico]? ¿Cuándo la revisó por última vez?»
- Gestión de excepciones: «¿Qué ocurre cuando una transacción o solicitud se sale del camino de aprobación habitual? ¿Puede darme un ejemplo reciente?»
- Gestión del cambio: «Cuando se implementa un cambio en un sistema o proceso, ¿cómo se le comunica y qué formación recibe?»
Campos de la plantilla de acta de entrevista:
- Fecha, hora, lugar y duración
- Nombre del encargo de auditoría y número de referencia
- Participantes (nombre, cargo, rol en el proceso)
- Propósito declarado de la entrevista
- Respuestas clave (citas textuales entre comillas; paráfrasis etiquetadas como «P:»)
- Elementos de seguimiento (elemento, responsable, fecha límite)
- Notas de fiabilidad
- Firma del auditor y fecha
Adaptación para entrevistas remotas frente a presenciales. En entrevistas remotas, confirme que el entrevistado se encuentra en un espacio privado antes de comenzar. Utilice la función de compartir pantalla para revisar documentos juntos en lugar de enviarlos por correo electrónico con antelación, lo que reduce el riesgo de respuestas preparadas. Anote en el acta cualquier interrupción técnica.
Consejo práctico: Construya su banco de preguntas en un documento compartido que su equipo pueda actualizar tras cada encargo. Las preguntas que producen respuestas útiles de forma consistente merecen conservarse; las que producen sistemáticamente «no lo sé» o evasiones merecen sustituirse.
Por qué las entrevistas estructuradas producen evidencia de auditoría más fiable
El argumento a favor de las entrevistas estructuradas no es solo una preferencia de los profesionales. El metaanálisis de McDaniel et al. muestra que las entrevistas estructuradas producen generalmente mayor validez que las no estructuradas para propósitos de evaluación, un hallazgo que se traslada directamente a los contextos de auditoría donde la fiabilidad de la evidencia es el estándar.
El enfoque de entrevista estructurada basado en FAINT (Forensic Assessment Interview Technique) demuestra que un proceso estructurado de tres fases aumenta el porcentaje de datos útiles y fiables en evaluaciones complejas. En entrevistas de fraude o de alto riesgo, el énfasis de FAINT en la narración abierta seguida de sondeos específicos reduce el riesgo de que el encuadre del auditor contamine el relato del entrevistado.
La guía de la Junta de Protección del Sistema de Méritos de EE. UU. recomienda entrevistas estructuradas para funciones de evaluación porque la estructura aumenta la probabilidad de tomar decisiones fiables y defendibles. El paralelismo con la auditoría interna es directo: cuando la evidencia de la entrevista va a sustentar un hallazgo o una valoración del riesgo, el proceso de entrevista debe estar suficientemente estructurado como para resistir cualquier cuestionamiento.
Implicaciones prácticas para los equipos de auditoría:
- Utilice una guía de preguntas escrita para cada entrevista, incluso en recorridos informales.
- Puntúe o valore las respuestas según criterios predeterminados al comparar varios entrevistados sobre el mismo control.
- Documente la base de las evaluaciones de fiabilidad, no solo la conclusión.
- Forme a los auditores menos experimentados en la técnica del embudo antes de que conduzcan entrevistas de forma independiente.
Conclusión clave: Las entrevistas estructuradas no hacen que las conversaciones sean rígidas. Hacen que la evidencia sea defendible. El entrevistado puede seguir hablando con libertad; la estructura garantiza que lo que dice se capture y evalúe de forma consistente.
Consideraciones legales y éticas para auditores en EE. UU.
Las leyes sobre grabación en los Estados Unidos varían según el estado. La legislación federal y la mayoría de los estados permiten la grabación con el consentimiento de una sola parte, lo que significa que solo uno de los participantes necesita dar su consentimiento. Sin embargo, un número significativo de estados, entre ellos California, Florida e Illinois, exigen el consentimiento de todas las partes. La guía práctica es la siguiente: salvo que haya confirmado la ley estatal aplicable y obtenido el consentimiento explícito de todos los participantes, no grabe.
Obligaciones legales y éticas clave:
- Confidencialidad: Informe a los entrevistados desde el principio qué se hará con sus respuestas, quién verá el acta y cómo se gestionarán las revelaciones sensibles.
- Declaraciones de denunciantes: Si un entrevistado realiza una revelación protegida, documéntela con precisión, escálela al asesor jurídico o al comité de auditoría según corresponda, y tome medidas para proteger la identidad del entrevistado en los papeles de trabajo.
- Información personal sensible: No incluya datos de carácter personal en los papeles de trabajo más allá de lo estrictamente necesario para sustentar el hallazgo.
- Consentimiento para la grabación: Obtenga confirmación escrita o por correo electrónico del consentimiento antes de grabar cualquier entrevista, independientemente de la legislación estatal, como práctica profesional.
- Límites del alcance: No amplíe la entrevista a áreas fuera del alcance de auditoría declarado sin notificárselo al entrevistado y obtener autorización del responsable de auditoría.
- Nota regulatoria: En investigaciones formales o auditorías regulatorias, la evidencia de las entrevistas puede estar sujeta a procedimientos de descubrimiento o citación judicial. Trate toda la documentación de entrevistas como potencialmente revisable por partes externas.
Lo que los auditores experimentados realmente hacen con las entrevistas a lo largo del trabajo de campo
La secuencia que produce consistentemente la mejor evidencia no es complicada, pero requiere disciplina. Comience el trabajo de campo con entrevistas de orientación: responsables de proceso, jefes de departamento y diseñadores de controles. Utilice esas conversaciones para construir su mapa de controles e identificar dónde divergen el diseño documentado y la realidad descrita. Esa divergencia le indica dónde centrar las entrevistas de examen.
Las entrevistas de examen van dirigidas a los operadores: las personas que ejecutan el proceso a diario. Formule preguntas conductuales. Pida ejemplos recientes. Cuando una respuesta contradiga el mapa de controles que elaboró en la fase de orientación, tiene un hallazgo potencial. Cuando lo confirme, tiene una corroboración.
Las entrevistas de confirmación llegan al final. En ese punto, ya dispone de evidencia transaccional, registros del sistema y dos capas de datos de entrevistas. Una breve entrevista de confirmación con el propietario del control, en la que le presenta lo que ha encontrado y le pide que lo explique, o bien cierra el hallazgo o lo profundiza.
Un hábito que mejora la calidad de cada entrevista: programe una sesión preparatoria de 15 minutos con su equipo la mañana de una entrevista importante. Revise los documentos de referencia, confirme la guía de preguntas y acuerde cómo sería una respuesta satisfactoria a cada pregunta clave. Los auditores que hacen esto de forma consistente reportan menos momentos de «olvidamos preguntar» en el informe posterior.
Las entrevistas también cumplen una función más allá de la evidencia. Los auditores que utilizan las entrevistas para construir relaciones con los responsables de proceso obtienen mayor cooperación a lo largo del encargo, respuestas más rápidas a las solicitudes de documentos y revelaciones más sinceras cuando algo va mal. No se trata de un beneficio blando; es un factor material en la calidad de la auditoría.
Ismscalculator le ayuda a definir el alcance de los objetivos de entrevista de ISO 27001 antes de comenzar el trabajo de campo
Cuando su auditoría cubre controles de ISO 27001, saber qué dominios presentan mayor riesgo de implementación le indica exactamente dónde centrar sus entrevistas. La verificación gratuita de preparación en 2 minutos de Ismscalculator mapea la madurez actual de su organización en los cuatro temas de control de ISO/IEC 27001:2022 en cuestión de minutos, proporcionándole un perfil de riesgo por dominio que puede utilizar para priorizar los objetivos de entrevista y la recopilación de evidencias antes de comenzar el trabajo de campo.
La evaluación completa de preparación va más allá: compara su madurez con valores de referencia del modelo, señala los dominios con mayor probabilidad de presentar brechas en los controles y genera un informe que puede utilizar como insumo de planificación para su programa de entrevistas. Trate el resultado como una ayuda para la definición del alcance, no como sustituto de las propias entrevistas. La herramienta acota su enfoque; sus entrevistas producen la evidencia.
Fuentes
- Guía de entrevistas de auditoría del TCE
- Planificación de entrevistas eficaces
- Validez de criterio de las entrevistas (metaanálisis) - McDaniel et al., 1994
- La entrevista como herramienta de auditoría en una auditoría de TI
Recomendados
- Tipos de evidencia para auditorías de ISO 27001: guía práctica | ISMS Calculator
- Propósito de la traza de auditoría en ISO 27001: guía de cumplimiento | ISMS Calculator
- Fallos habituales en auditorías de ISO 27001: guía 2026 | ISMS Calculator
- Preparación para auditorías de ISO 27001 en empresas financieras: guía 2026 | ISMS Calculator