El 45% de los auditores internos indica que siempre, en todas las actividades relevantes, utilizan el análisis causa raíz

Así lo recoge la encuesta de Sabor del Mes de junio de 2026, y añade, además, que el 29% lo hace frecuentemente. Por su parte, el 40% considera tener un nivel medio de competencia de las metodologías de análisis causa raíz (se aplican, con orientación y apoyo). 

Normas Globales de Auditoría Interna, 2024 (en vigor desde el 9 de enero de 2025):​

Dominio IV: Gestión de la Función de Auditoría Interna / Principio 11 Comunicar de manera eficaz / Norma 11.3 Comunicar los resultados:​

Requisitos

“El Director de Auditoría Interna debe comunicar los resultados de los Servicios de Auditoría Interna al Consejo y a la Alta Dirección periódicamente y para cada trabajo, cuando sea apropiado. El Director de Auditoría Interna debe comprender las expectativas del Consejo y de la Alta Dirección con respecto a la naturaleza y oportunidad de las comunicaciones.

Los resultados de los Servicios de Auditoría Interna pueden incluir:

• Conclusiones de los trabajos.
• Temas como prácticas eficaces o causas raíz.
• Conclusiones a nivel de unidad de negocio o de la organización.

[…]

Temas

Los hallazgos y conclusiones de múltiples trabajos de auditoría, cuando se ven de manera integral (holística), podrán revelar patrones o tendencias, como las causas raíz. Cuando el Director de Auditoría Interna identifica temas relacionados con los procesos de gobierno, gestión de riesgos y control, los temas deben ser comunicados oportunamente al Consejo y a la Alta Dirección, aportando sus perspectivas, asesoramiento y/o conclusiones.

[…]”.

Dominio V: Desempeño de los Servicios de Auditoría Interna / Principio 14 Ejecución de los trabajos / Norma 14.3 Evaluación de los hallazgos:

Requisitos

“Los auditores internos deben evaluar cada potencial hallazgo del trabajo para determinar su importancia. Cuando se evalúan los potenciales hallazgos del trabajo, los auditores internos deben colaborar con la Dirección para identificar la causa fundamental (causa raíz), determinar los potenciales efectos y evaluar la importancia de la cuestión.

Para determinar la importancia del riesgo, los auditores internos deben considerar la probabilidad de que ocurra el riesgo y el impacto que podría tener sobre los procesos de gobierno, gestión de riesgos y control de la organización.

En el caso de que los auditores internos determinen que la organización está expuesta a un riesgo significativo, se debe documentar la cuestión y comunicarla como un hallazgo.

Los auditores internos deben determinar si informan sobre otros riesgos como hallazgos, en base a las circunstancias y las metodologías establecidas.

Los auditores internos deben priorizar cada hallazgo del trabajo en base a su importancia, empleando las metodologías establecidas por el Director de Auditoría Interna”.

Dominio V: Desempeño de los Servicios de Auditoría Interna / Principio 14 Ejecución de los trabajos / Norma 14.4 Recomendaciones y planes de acción:

Requisitos

“Los auditores internos deben determinar si se formulan recomendaciones, solicitar los planes de acción de la Dirección, o colaborar con la Dirección para acordar las acciones para:

• Resolver las diferencias entre los criterios establecidos y la condición existente.

• Mitigar los riesgos identificados para llegar a un nivel aceptable.

• Abordar la causa raíz del hallazgo.

• Mejorar o reforzar la actividad bajo revisión.

Cuando se desarrollan las recomendaciones, los auditores internos deben tratarlas con la Dirección de la actividad bajo revisión.

En el caso de que los auditores internos y la Dirección no estuvieran de acuerdo con las recomendaciones y/o los planes de acción, los auditores internos deben seguir la metodología establecida para permitir a ambas partes expresar su posición y justificación, y para determinar una resolución (Véase también Norma 9.3. Metodologías)”.

La causa raíz y el propósito de Auditoría Interna

La importancia que se concede a la causa raíz en las Normas Globales de Auditoría Interna^TM (“Normas”) lo refleja el hecho de que aparece expresamente citada en los Requisitos y/o Consideraciones para la implementación de cuatro de las Normas.

Según el Glosario de las Normas, causa raíz es “la cuestión fundamental o motivo subyacente de la diferencia entre los criterios y la condición de la actividad bajo revisión”.

La causa raíz está directamente relacionada con el propósito de la Auditoría Interna de “fortalecer la capacidad de la organización para crear, proteger y sostener su valor“, ya que supone ir al origen de los hallazgos identificados en los trabajos de aseguramiento para que, seguidamente, la Dirección pueda establecer los Planes de Acción adecuados y así mitigar bien el evento identificado, bien la exposición excesiva a un riesgo, bien la ineficacia o inexistencia de controles.

Procedimientos y metodologías de causa raíz

Dentro de los procedimientos que el Director de Auditoría Interna (DAI) debe establecer para guiar a la Función de Auditoría Interna, y que en su conjunto conformarán el Manual de Auditoría Interna, hay tres directamente relacionados con la causa raíz:

• Desarrollo y actualización del Plan de Auditoría Interna: Justificación de la elección de cada trabajo propuesto, basada por ejemplo en tendencias o conclusiones de análisis causa raíz.
• Ejecución de los trabajos de Auditoría Interna: Identificación de la causa fundamental (causa raíz) de los hallazgos, determinación de los potenciales efectos y evaluación de la importancia de la cuestión.
• Comunicación de los resultados de los servicios de Auditoría Interna: Formulación de recomendaciones por parte de los auditores internos (con base en la causa raíz de los hallazgos), para solicitar los Planes de Acción a la Dirección. Elaboración de informes para el Consejo/Comisión de Auditoría y Alta Dirección.

Existen diferentes metodologías de análisis de la causa raíz: los 5 porqués, diagrama de Ishikawa/espina de pescado, análisis Kepner-Tregoe,… El DAI es el responsable de elegir la metodología o combinación de metodologías de causa raíz a utilizar por parte de los auditores internos y establecer el procedimiento operativo de aplicación, de supervisión, cómo dejarlo documentado y cómo comunicarlo.

El DAI deberá establecer la formación o actualización de conocimientos respecto a la metodología o combinación de metodologías de causa raíz que deberán aplicar los auditores internos en sus trabajos.

Además, el DAI también debería establecer un procedimiento de comunicación interna dentro del equipo para que todos los auditores internos conozcan las causas raíz que se van identificando en los trabajos de aseguramiento y obtengan una visión global de hallazgos-causa raíz que les ayude en las fases de planificación y ejecución de sus trabajos.

La causa raíz como objetivo de la eficacia de los Planes de Acción

La identificación de los hallazgos y sus causas raíz en los informes de aseguramiento suponen la base sobre la que la Dirección debe establecer los Planes de Acción.

Los auditores internos valorarán si los planes de acción propuestos abordan la causa raíz del hallazgo y mitigan los riesgos identificados para llegar al nivel aceptable dentro del Marco de Apetito al Riesgo establecido en la organización. En el caso de que los auditores internos y la Dirección no estuvieran de acuerdo con las recomendaciones y/o los planes de acción, los auditores internos deben seguirán la metodología establecida por el DAI para permitir a ambas partes expresar su posición y justificación, y para determinar una resolución.

Informes integrales de causas raíz, herramientas para el Consejo y la Alta Dirección

Además de la comunicación de resultados de los informes de cada auditoría, el registro histórico de las causas raíz permite elaborar informes, mapas y taxonomías que podrán revelar patrones o tendencias, que aportarán un gran valor tanto al Consejo/Comisión de Auditoría como a la Alta Dirección en la toma de decisiones estratégicas y operativas.

El DAI dispondrá, al menos, de los siguientes campos para diseñar esta clase de informes: Causa raíz => Hallazgo de auditoría => Recomendación de auditoría => Evento => Impacto financiero/operativo/reputacional del evento => Plan de Acción.

Además, también deberá establecer el procedimiento de comunicación formal e informal de los resultados de estos informes integrales tanto con el Consejo/Comisión de Auditoría como con la Alta Dirección.