Origen de los datos e informes de auditoría

Cuando las organizaciones se preparan para una auditoría —ya sea financiera, normativa, informática u operativa—, una de las principales fuentes de preocupación son los datos. ¿De dónde proceden? ¿Quién ha tenido acceso a ellos? ¿Cómo se han transformado? ¿Podemos confiar en ellos? Estas preguntas constituyen el núcleo de un concepto conocido como «linaje de datos».

Entonces, ¿en los informes de auditoría se solicita el linaje de los datos?

La respuesta breve es: sí, a veces de forma explícita y casi siempre de forma implícita. Aunque es posible que los auditores no utilicen siempre la expresión exacta «linaje de datos», suelen esperar pruebas que lo demuestren. En este artículo, analizaremos qué significa esto en la práctica, por qué es importante para los auditores, cómo se manifiesta el linaje en los distintos tipos de auditorías y cómo pueden prepararse las organizaciones sin complicar en exceso su enfoque.

¿Qué es el linaje de los datos?

El linaje de los datos describe el recorrido completo de los datos desde su fuente original, pasando por cada transformación, sistema, cálculo y transferencia, hasta su destino final en informes, cuadros de mando o documentos presentados ante las autoridades reguladoras.

Un linaje de datos completo responde a preguntas como:

• ¿De dónde proceden estos datos?
• ¿Qué sistemas lo procesaron?
• ¿Qué transformaciones o cálculos se han aplicado?
• ¿Quién tuvo acceso o realizó modificaciones?
• ¿Con qué frecuencia se actualizan los datos?
• ¿Qué controles existen para evitar errores o manipulaciones?

Piensa en el linaje de los datos como una cadena de custodia rastreable de los datos. Del mismo modo que los auditores siguen el flujo de dinero en las auditorías financieras, en las auditorías modernas siguen el flujo de datos.

Por qué los auditores se preocupan por el linaje de los datos

Las auditorías se basan fundamentalmente en la confianza y la garantía. Los auditores no se limitan a validar cifras, sino que validan los procesos que han dado lugar a esas cifras. El linaje de los datos proporciona esa garantía de varias formas fundamentales.

1. Comprobación de la exactitud

Los auditores deben confirmar que las cifras presentadas son exactas y completas. Sin un historial de los datos, es imposible verificar si estos:

• Extraído de la fuente correcta
• Se ha transformado correctamente
• Agregado sin errores
• Excluidos o incluidos de forma incorrecta

Lineage permite a los auditores «rastrear los datos» desde el informe final hasta la fuente original.

2. Evaluación de la eficacia de los controles

Los controles internos sobre los datos son tan importantes como los controles sobre las finanzas. Los auditores evalúan si:

• Se autorizan las modificaciones de los datos.
• Las transformaciones están documentadas y son repetibles.
• Los errores se pueden detectar y corregir.
• Las intervenciones manuales están controladas.

Un linaje de datos claro demuestra que existen controles y que estos funcionan correctamente.

3. Fomento de la auditabilidad y la reproducibilidad

Los auditores suelen preguntar: «Sivolviéramos a realizar este proceso, ¿obtendríamos el mismo resultado?».

El linaje de datos favorece la reproducibilidad al documentar:

• Fuentes de datos.
• Lógica de procesamiento.
• Dependencias entre sistemas.

Sin un linaje, los resultados pueden parecer arbitrarios o imposibles de verificar.

¿Se solicita explícitamente el «linaje de los datos» en los informes de auditoría?

A veces sí, pero la mayoría de las veces piden cosas para las que se necesita el linaje de los datos para responder.

Los auditores pueden solicitar:

• Asignaciones entre fuentes e informes.
• Diagramas de flujo de datos.
• Diagramas de arquitectura del sistema.
• Lógica de transformación o reglas de negocio.
• Pruebas de los controles de validación de datos.
• Conciliaciones entre sistemas.

Todos ellos son elementos propios del linaje, aunque la palabra «linaje» no aparezca en ningún momento en la lista de comprobación de auditoría.

Sin embargo, en entornos normativos maduros, el término «linaje de datos» se utiliza cada vez de forma más explícita. Esto es especialmente cierto en las auditorías de tecnología, riesgo y cumplimiento normativo.

El origen de los datos en distintos tipos de auditorías

A continuación, analizaremos los diferentes tipos de auditorías a las que puede enfrentarse una organización, así como la forma en que el linaje de datos puede ayudar a responder a las preguntas de los auditores.

Auditorías financieras

En las auditorías financieras, el historial es esencial para la trazabilidad. Los auditores suelen realizar «revisiones» en las que rastrean un número desde:

1. Un estado financiero.
2. Volver a un informe o a un libro mayor.
3. Volvamos a los sistemas transaccionales.
4. Volver a los documentos originales.

Por ejemplo:

• Ingresos contabilizados en la cuenta de resultados.
• Procedente de un sistema de consolidación.
• Extraído de varios sistemas ERP.
• Procedente de facturas individuales o registros de ventas.

El linaje de datos respalda esta cadena de pruebas y reduce la dependencia de las explicaciones manuales.

Auditorías SOX (Sarbanes-Oxley)

Las auditorías de la ley SOX conceden gran importancia a los controles internos sobre la información financiera (ICFR). En este contexto, el linaje de los datos resulta fundamental para demostrar:

• Cómo circulan los datos financieros entre los sistemas.
• Cuándo se aplican los controles automatizados frente a los manuales.
• Cómo se regulan los cambios en los datos o en la lógica.
• Si los controles de acceso se ajustan al nivel de confidencialidad de los datos.

Los auditores pueden solicitar:

• Diagramas de flujo de datos que respaldan los informes clave.
• Pruebas de la gestión del cambio en las transformaciones.
• Asignaciones de controles vinculadas al movimiento de datos.

Sin un historial, las organizaciones suelen tener dificultades para demostrar que los controles son exhaustivos y eficaces.

Auditorías normativas (RGPD, HIPAA, BCBS 239, etc.)

En las auditorías normativas, el linaje se hace aún más evidente.

Algunos ejemplos son:

• RGPD: Demostrar dónde se recogen, tratan, almacenan y comparten los datos personales.
• HIPAA: Seguimiento de la información sanitaria protegida en los distintos sistemas.
• BCBS 239 (sector bancario): Obligación de que los bancos documenten la agregación de datos de riesgo y el historial de los informes.

Las autoridades reguladoras quieren pruebas de que las organizaciones comprenden:

• De qué datos disponen.
• Adónde va.
• Cómo se utiliza.
• ¿Quién puede acceder a ella?

En este caso, el linaje de los datos no es opcional. Se trata de un requisito normativo.

Auditorías de TI y de sistemas

Los auditores de TI evalúan la fiabilidad de los sistemas y los flujos de datos. Lineage les ayuda a evaluar:

• Integraciones y dependencias del sistema.
• Transferencias de datos entre aplicaciones.
• Procesamiento por lotes frente a procesamiento en tiempo real.
• Puntos de fallo o de riesgo.

Los auditores pueden preguntar:

• Cómo se transfieren los datos del sistema A al sistema B.
• Si se supervisan las interfaces.
• Cómo se detectan y resuelven los errores.

Es imposible responder a estas preguntas con certeza sin un linaje documentado.

Auditorías internas

Los equipos de auditoría interna se centran cada vez más en la gobernanza y el análisis de datos. Utilizan el linaje para:

• Identificar los flujos de datos no documentados.
• Destaca las dependencias clave entre personas.
• Evaluar los riesgos relacionados con la calidad de los datos.
• Recomendar mejoras en los controles.

Aunque las auditorías internas sean menos formales, el seguimiento suele constituir la base de sus conclusiones y recomendaciones.

¿Qué ocurre cuando no se dispone de un historial de datos?

Las organizaciones que carecen de un linaje de datos claro suelen sufrir:

1. Auditorías más largas y más tediosas

Los equipos se apresuran a:

• Reconstruye los flujos de datos manualmente.
• Extrae diagramas y hojas de cálculo ad hoc.
• Confía en el conocimiento colectivo.

Esto aumenta la duración, el coste y el estrés de la auditoría.

2. Mayor riesgo de que se detecten irregularidades en la auditoría

Desde el punto de vista de la auditoría, un historial no documentado supone un fallo en la gobernanza y el control, y no solo una laguna en la documentación. En consecuencia, las organizaciones pueden recibir observaciones adversas no porque las cifras sean erróneas, sino porque no hay pruebas suficientes que demuestren que dichas cifras se hayan obtenido de forma coherente y fiable.

3. Dependencia excesiva de las explicaciones manuales

Cuando no se documenta el historial, las auditorías dependen de las explicaciones verbales de unas pocas personas clave. Esto da lugar a:

• Puntos únicos de fallo.
• Respuestas incoherentes.
• Menor confianza de los auditores.

Los auditores prefieren las pruebas documentadas y reproducibles a la memoria institucional.

¿Qué nivel de trazabilidad de los datos esperan los auditores?

Por lo general, los auditores esperan proporcionalidad, no perfección.

No esperan que se asignen todos los campos para cada sistema, ni un historial en tiempo real de todos los activos de datos, ni costosas herramientas empresariales para organizaciones pequeñas.

En cambio, lo que suelen esperar es:

• Origen claro de los datos sobre los materiales.
• Documentación sobre los informes y las métricas clave.
• Pruebas de que los procesos están controlados y son repetibles.

Las organizaciones deben centrarse en los aspectos más importantes del alcance de la auditoría a la hora de prepararse para cualquier tipo de auditoría. Contar con protocolos sólidos y básicos de gobernanza de datos ayuda a alcanzar este estado de preparación constante.

Elementos habituales del historial de datos utilizados en las auditorías

Las organizaciones suelen cumplir con los requisitos de auditoría mediante una combinación de:

• Documentos de correspondencia entre fuentes y destinos.
• Diagramas de flujo de datos.
• Documentación sobre la lógica de los informes.
• Matrices de control vinculadas a los pasos de datos.
• Diagramas de arquitectura del sistema.
• Diccionarios de datos para campos clave.

No es necesario que sean perfectos, pero deben ser precisos, actuales y comprensibles.

Linaje de datos automatizado frente a manual

Muchas organizaciones se preguntan si necesitan herramientas automatizadas de linaje de datos para cumplir con los requisitos de los auditores. A continuación, se ofrece una breve lista de las ventajas y desventajas de ambos tipos de estrategias de linaje de datos.

Origen del manual

Ventajas:

• Más rápido de implementar.
• Menor coste.
• A menudo resulta suficiente para telescopios más pequeños.

Contras:

• Más difícil de mantener.
• Tiende a quedar obsoleto.
• Requiere mucho trabajo durante las auditorías.

Herramientas automatizadas de linaje

Ventajas:

• Siempre al día.
• Se adapta a distintos sistemas.
• Reduce el esfuerzo de auditoría a lo largo del tiempo.

Contras:

• Un coste inicial más elevado.
• Requiere integración técnica.
• Quizá resulte excesivo para entornos pequeños.

Por lo general, los auditores no exigen la automatización. Lo que les importa es la precisión y la fiabilidad, no las herramientas que utilice una organización para alcanzar esos objetivos.

Cómo prepararse para las auditorías teniendo en cuenta el linaje de los datos

Un enfoque práctico incluye los siguientes pasos.

1. Identificar los informes y los indicadores clave que se utilizan en las auditorías o en las presentaciones reglamentarias.
2. Documenta las fuentes de datos y las transformaciones correspondientes a esos resultados.
3. Asigna controles a cada paso del flujo de datos.
4. Validar la documentación con los responsables de los datos técnicos y de negocio.
5. Mantén actualizado el linaje a medida que cambian los sistemas.

Hacerlo por etapas es mucho más eficaz que intentar hacerlo todo de una vez bajo la presión de una auditoría.

La plataforma Actian Data Intelligence ofrece herramientas de trazabilidad de datos para facilitar las auditorías

Puede que los informes de auditoría no lo denominen siempre «linaje de datos», pero exigen sistemáticamente que los activos y los procesos demuestren:

• Trazabilidad.
• Transparencia.
• Control sobre los flujos de datos.
• Confianza en los resultados comunicados.

Si puedes explicar con claridad de dónde proceden tus datos, cómo se han transformado y cómo se controlan, estarás cumpliendo con la esencia del linaje de datos y satisfaciendo las expectativas de auditoría. La plataforma Actian Data Intelligence se basa en gráfico de conocimiento , impulsada por la observabilidad de los datos, y puede proporcionar a las organizaciones información precisa sobre el linaje de datos para prepararse de cara a las auditorías.

Para descubrir cómo la plataforma puede ayudar a su organización a consolidar la gobernanza de los datos y documentar el linaje de los datos, solicite una demostración personalizada de sus funcionalidades.

Acerca del autor

Acerca de Actian Corporation

Actian permite a las empresas gestionar y controlar los datos a gran escala con total confianza. Las organizaciones confían en las soluciones de gestión e inteligencia de datos de Actian para optimizar entornos de datos complejos y acelerar la entrega de datos preparados para la IA. Diseñadas para ofrecer flexibilidad, las soluciones de Actian se integran a la perfección y funcionan de forma fiable tanto en entornos locales como en la nube y en entornos híbridos. Obtén más Acerca de Actian, la división Acerca de Actian datos e IA de HCL Software, en actian.com.