Auditoría interna: ¿por qué es clave para las pymes?

La pyme colombiana ya tiene control: casi siempre el equivocado

Cuando un gerente de pyme escucha «auditoría interna», suele responder lo mismo: nosotros ya tenemos revisor fiscal. La respuesta revela con precisión el malentendido. El revisor fiscal es un órgano de fiscalización que actúa en interés de la comunidad y de terceros —socios minoritarios, acreedores, el Estado—, y dictamina sobre estados financieros que ya se produjeron. La auditoría interna es una función de aseguramiento y asesoría que trabaja para la administración y la junta, sobre procesos que están ocurriendo. No son intercambiables, y el Consejo Técnico de la Contaduría Pública ha sido explícito en que ni siquiera pueden acumularse en la misma persona.

La consecuencia práctica es que muchas empresas medianas colombianas creen tener cubierto el riesgo operativo cuando lo que tienen es un dictamen anual sobre la razonabilidad de sus cifras. Son cosas distintas, y la diferencia se paga en fraude no detectado, sanciones evitables y decisiones tomadas sobre información que nadie verificó antes de que llegara al comité de gerencia.

Este análisis parte del marco normativo colombiano de la fiscalización —quién está obligado a qué—, delimita con precisión ambas figuras, y expone por qué en 2026 la auditoría interna dejó de ser un lujo corporativo para convertirse en la respuesta natural a un entorno regulatorio que se endureció de forma medible. Las valoraciones críticas reflejan el criterio técnico del Equipo de Auditoría y Aseguramiento de WYSLES Colombia. No constituyen asesoría jurídica individualizada.

Qué exige la ley colombiana: revisoría fiscal obligatoria

Antes de discutir qué conviene, conviene fijar qué es obligatorio. En Colombia la fiscalización societaria se articula sobre el Código de Comercio y la Ley 43 de 1990, y la obligación se activa por dos vías independientes: por el tipo societario y por el tamaño.

Las diez funciones del revisor fiscal

El artículo 207 del Código de Comercio enumera las funciones del revisor fiscal. Vale la pena leerlas con atención, porque delimitan exactamente dónde termina su trabajo y dónde empieza el espacio que la auditoría interna cubre:

• Cerciorarse de que las operaciones se ajusten a los estatutos y a las decisiones de la asamblea y de la junta directiva
• Dar oportuna cuenta, por escrito, de las irregularidades en el funcionamiento de la sociedad
• Colaborar con las entidades gubernamentales de inspección y vigilancia, y rendirles los informes solicitados
• Velar por que se lleven regularmente la contabilidad, las actas y la correspondencia
• Inspeccionar asiduamente los bienes de la sociedad y procurar que se tomen medidas de conservación
• Impartir instrucciones y practicar inspecciones para el adecuado manejo de valores
• Autorizar con su firma cualquier balance, acompañado de su dictamen
• Convocar a la asamblea o junta de socios a reuniones extraordinarias cuando lo juzgue necesario
• Cumplir las demás atribuciones que le señalen las leyes o los estatutos
• Reportar a la UIAF las operaciones catalogadas como sospechosas

Revisoría fiscal y auditoría interna: por qué no son la misma cosa

La confusión no es solo conceptual: es incompatible con el régimen de independencia aplicable en Colombia. El Consejo Técnico de la Contaduría Pública se pronunció sobre el punto en el Concepto 2026-0014 del 23 de enero de 2026, con una conclusión que conviene reproducir con precisión.

Sobre qué normas se apoya cada función

Cuatro razones concretas, no argumentos de folleto

El argumento de que la auditoría interna es cosa de grandes corporaciones se sostiene mientras no se examinan los datos y el marco regulatorio actual. Estas son las razones por las que, en nuestra experiencia con empresas medianas y familiares colombianas, la función se paga sola.

Razón 1: la pyme concentra riesgo por diseño

La estructura de una empresa mediana produce, casi inevitablemente, concentración de funciones incompatibles: quien elabora la orden de compra también recibe la mercancía; quien registra la cuenta por pagar también prepara el pago; quien concilia el banco también maneja la caja. No es negligencia sino aritmética de plantilla. Pero es precisamente la condición sobre la que se materializa el fraude ocupacional.

Los datos del Report to the Nations 2024 de la Association of Certified Fraud Examiners —construido sobre 1.921 casos reales de fraude ocupacional investigados en 138 países entre enero de 2022 y septiembre de 2023— son inequívocos: las organizaciones pierden en promedio el 5 % de sus ingresos anuales por fraude ocupacional, y más del 50 % de los casos se produjeron por ausencia de controles internos o por su elusión deliberada. La duración media de un fraude antes de ser detectado es de 12 meses.

Razón 2: el entorno regulatorio se endureció de forma medible

La segunda razón es concreta y tiene fecha. La Superintendencia de Sociedades expidió el 2 de julio de 2026 la Circular Externa 100-000020, que actualiza integralmente la Circular Básica Jurídica y unifica en un solo cuerpo normativo las obligaciones que antes estaban repartidas entre el SAGRILAFT y el PTEE.

Razón 3: la información con la que se decide no está verificada

En la pyme, el informe de gerencia se construye con datos que provienen de sistemas parcialmente integrados, hojas de cálculo mantenidas por una sola persona y criterios de reconocimiento que nadie ha documentado. Las decisiones de inversión, de crédito y de precio se toman sobre esa base. La auditoría interna aporta algo que el dictamen anual del revisor fiscal, por su naturaleza y su oportunidad, no puede aportar: verificación de la fiabilidad de la información de gestión mientras sirve para decidir, y no doce meses después.

Razón 4: llega el momento en que un tercero exige control

Toda empresa mediana con proyección enfrenta tarde o temprano un tercero que examina su gobierno: un banco que estructura un crédito sindicado, un fondo que evalúa una participación, un comprador en un proceso de due diligence, un cliente corporativo o multinacional que exige estándares de sus proveedores. En todos esos escenarios, la existencia de una función de auditoría interna con plan anual, informes y seguimiento de hallazgos es un activo verificable que reduce la percepción de riesgo. Construirla cuando ya está el comprador en la sala es tarde: lo que se valora es el historial de funcionamiento, no la existencia del cargo.

Cómo se implementa en una empresa que no tiene departamento

La objeción legítima de la pyme no es conceptual sino de escala: no puede sostener un departamento de auditoría interna. No necesita hacerlo. Hay tres modalidades viables, y la elección depende del tamaño, del sector y del nivel de exigencia regulatoria.

El plan anual basado en riesgos

Cualquiera que sea la modalidad, el punto de partida es el mismo y con frecuencia se omite: la evaluación de riesgos. La auditoría interna no revisa todo —eso es imposible y sería inútil—; revisa donde la combinación de probabilidad e impacto lo justifica. En una pyme colombiana típica, los ciclos que concentran riesgo son predecibles:

• Compras y cuentas por pagar: proveedores sin evaluación, pagos sin orden de compra, vinculación no revelada con proveedores
• Tesorería: concentración de firmas autorizadas, conciliaciones bancarias sin revisión independiente, manejo de efectivo
• Nómina: empleados inexistentes, horas extra no autorizadas, liquidaciones de prestaciones mal calculadas
• Inventarios: diferencias recurrentes no investigadas, obsolescencia no reconocida, custodia sin segregación
• Ingresos y cartera: notas crédito sin autorización, castigos de cartera discrecionales, descuentos fuera de política
• Cumplimiento tributario: retenciones mal practicadas, soporte insuficiente de deducciones, obligaciones formales omitidas
• Cumplimiento LA/FT y ética empresarial: debida diligencia de contrapartes, operaciones inusuales, canal de denuncias

Cómo empezar sin sobredimensionar

1. Verifique primero si está obligado a tener revisor fiscal Contraste sus activos brutos y sus ingresos brutos del año anterior contra los umbrales de 5.000 y 3.000 SMMLV del parágrafo 2 del art. 13 de la Ley 43 de 1990, con el salario mínimo del período correspondiente. Basta con superar uno de los dos. Si es S.A.S. y cruzó el umbral, la obligación nació aunque su tipo societario no la imponga por sí mismo.
2. Determine si quedó cobijado por la Circular Externa 100-000020 de 2026 Compare sus ingresos o activos totales a 31 de diciembre del año anterior con el umbral general de 4.929.017 UVB y con el de medidas mínimas de 369.676 UVB, usando la UVB de 2026 de $12.110. Revise además si su sector fue de los incorporados: farmacéutico, manufactura, minero-energético, comercio de vehículos. El plazo de implementación vence el 31 de mayo de 2027.
3. Levante un mapa de riesgos antes de contratar nada Identifique los procesos donde coinciden alto impacto financiero y control débil. En la práctica: dónde una sola persona autoriza, ejecuta y registra. Ese mapa —que puede construirse en unas pocas sesiones de trabajo con los responsables de proceso— define el plan de auditoría y evita gastar en revisar lo que no concentra riesgo.
4. Apruebe un estatuto de auditoría interna en junta directiva Documento breve que fije propósito, autoridad, alcance, línea de reporte funcional a la junta e independencia respecto de las áreas auditadas. Sin este documento, la función queda sujeta a la voluntad de la gerencia que debe examinar, y pierde su razón de ser el primer día que un hallazgo incomode.
5. Elija la modalidad según su escala real Auditor propio a tiempo parcial, contratación externa o modelo mixto. Para la mayoría de empresas medianas colombianas, la contratación externa resuelve a la vez el problema de escala y el de independencia. Restricción innegociable: no puede ser la misma firma que ejerce su revisoría fiscal, ni una vinculada a ella.
6. Implante controles compensatorios donde no pueda segregar funciones Si la plantilla no permite separar autorización, ejecución y registro, compense: doble aprobación por monto, rotación obligatoria de vacaciones en cargos sensibles, conciliaciones revisadas por un tercero, revisión periódica de maestros de proveedores y de nómina. Más de la mitad de los fraudes ocupacionales documentados por la ACFE se explican por ausencia o elusión de controles.
7. Mida el cierre de hallazgos, no el número de informes Establezca que cada hallazgo lleve responsable, plan de acción y fecha, y que el porcentaje de cierre en plazo se reporte a la junta en cada sesión. Es el único indicador que distingue una función de auditoría interna que corrige del ritual que solo documenta.

Cronología

Las fechas del marco normativo aplicable a la fiscalización y al cumplimiento empresarial en Colombia: