El Contralor y Auditor General de India, Sanjay Murthy, lo formuló con precisión: el valor de una auditoría no reside en el hallazgo, sino en la mejora de gobernanza que genera. Es una distinción que los equipos de datos en América Latina todavía no terminan de incorporar a sus marcos operativos.
La declaración, realizada en el contexto de funciones institucionales de auditoría pública en India, sintetiza un debate que tiene décadas en la literatura de gestión de datos pero que sigue sin resolverse en la práctica: ¿para qué sirve auditar si el resultado no produce cambios estructurales? La respuesta de Murthy es directa — el proceso de auditoría solo tiene sentido si su salida es acción correctiva, no documentación.
Qué distingue una auditoría de gobernanza de un inventario de problemas
En el marco DAMA-DMBOK, la función de auditoría de datos forma parte del área de conocimiento de Gestión de la Calidad de Datos, pero su alcance real se extiende a prácticamente todos los dominios: lineaje, clasificación, ownership, controles de acceso y cumplimiento normativo. El problema frecuente es que las organizaciones ejecutan auditorías como ejercicios puntuales — generalmente gatillados por un incidente o una exigencia regulatoria — y no como mecanismos de mejora continua integrados al ciclo de vida del dato.
Bob Seiner, referente de Non-Invasive Data Governance, sostiene que la gobernanza de datos efectiva no requiere crear nuevas estructuras sino formalizar las responsabilidades que ya existen informalmente. Desde esa óptica, una auditoría que identifica a quién pertenece un dato y quién lo modifica sin registrarlo cumple una función de gobernanza más valiosa que un reporte de cien páginas sobre inconsistencias sin responsable asignado.
El ciclo que cierra la auditoría: hallazgo, ownership, remediación
El EDM Council, en su modelo CDMC (Cloud Data Management Capabilities), establece que las capacidades de auditoría y control deben estar directamente vinculadas a roles de data steward con autoridad para ejecutar remediaciones. Sin esa cadena, el hallazgo queda huérfano. Los data stewards son los operadores concretos de ese cierre: reciben el hallazgo, tienen autoridad sobre el dominio de datos afectado y son responsables del plan de remediación con fecha y métrica de éxito.
El modelo de madurez de gobernanza del Data Governance Institute, desarrollado por Gwen Thomas, ubica a las organizaciones en un nivel reactivo cuando sus auditorías no producen cambios en políticas ni en asignación de ownership. El salto al nivel proactivo ocurre cuando la auditoría alimenta el catálogo de datos, actualiza las políticas de clasificación y genera trazabilidad documentada del cambio.
Cuándo aplica este enfoque / cuándo NO
Este modelo de auditoría orientada a mejora de gobernanza aplica directamente en organizaciones con dominios de datos formalizados, data stewards asignados y un catálogo de datos — aunque sea básico — donde alojar los resultados. No aplica, o aplica de forma limitada, en organizaciones que aún no han definido ownership de datos: en ese caso, el primer paso es establecer esa estructura antes de auditar, porque sin responsables identificados no hay destino para los hallazgos. Tampoco reemplaza a la auditoría financiera ni a la auditoría de sistemas: son ejercicios complementarios con objetos distintos.
El estado en América Latina: regulación que empuja sin marco interno que sostenga
En Argentina, la Ley 25.326 de Protección de Datos Personales establece obligaciones de seguridad y registro de bases de datos, pero no prescribe metodología de auditoría interna. En Brasil, la LGPD (Lei 13.709/2018) exige que el Encarregado — el equivalente al DPO europeo — supervise el cumplimiento del tratamiento de datos personales, lo que implica una función de auditoría implícita. En Colombia, la Ley 1581 y el Decreto 1377 exigen que los responsables demuestren cumplimiento ante la Superintendencia de Industria y Comercio — lo que en la práctica obliga a tener evidencia auditable.
Sin embargo, la mayoría de las organizaciones latinoamericanas que operan bajo estas normativas ejecutan auditorías de cumplimiento puntual — generalmente antes de una inspección — sin conectarlas a sus marcos de gobernanza de datos internos. El resultado es una auditoría que detecta la no conformidad, la corrige para el regulador, y no modifica el proceso que la generó. El ciclo se repite en el siguiente ciclo regulatorio.
Los bancos regulados por el Banco Central de Brasil (BACEN) bajo la Resolução CMN 4.893/2021, que establece requisitos de gestión de riesgo de seguridad de la información, ofrecen un caso más avanzado: la norma obliga a documentar incidentes, evaluar impacto y revisar controles, lo que fuerza un circuito de auditoría-remediación-política que se acerca al modelo que Murthy describe.
Tres decisiones concretas para conectar auditoría con gobernanza
- Asignar un data steward como receptor formal de cada hallazgo de auditoría, con plazo de remediación y criterio de cierre documentado en el catálogo de datos.
- Incluir los resultados de auditoría como insumo del Data Quality Scorecard del dominio afectado, para que el hallazgo deje huella en la métrica de calidad y no solo en el informe.
- Establecer un ciclo de revisión de políticas de clasificación y acceso post-auditoría — mínimo anual — para que los cambios estructurales queden incorporados antes de la siguiente evaluación regulatoria.
La norma ISO/IEC 38505-1 sobre gobernanza de datos para directorios ofrece un marco de referencia adicional para organizaciones que buscan alinear su función de auditoría con expectativas de gobierno corporativo; está disponible a través de ISO sin costo de acceso para jurisdicciones con acuerdos de difusión normativa.
