Antes bastaba con hacerlo. Ahora hay que probarlo
En 2016, la cláusula de auditoría interna era compacta: haz el programa, ejecútalo, reporta. Funcionaba, pero dejaba mucho espacio para auditorías internas superficiales que nadie cuestionaba.
En 2025 la cláusula se abre en cuatro partes que piden algo más concreto: un programa documentado, procedimientos claros, y evidencia de que quien audita es objetivo e imparcial, no juez y parte.
El problema clásico: auditar tu propio área
Es común que en empresas pequeñas la misma persona de compliance diseñe el control y después lo audite. La norma nueva pide evitar justo eso: que quien revisa no tenga un conflicto directo con lo que está revisando.
La revisión por la dirección ya no es un trámite anual
La norma ahora separa con más detalle qué entra a esa reunión (resultados de auditorías, casos atendidos, cambios en el contexto) y qué debe salir de ella (decisiones, recursos asignados, cambios de política). Un acta genérica de "se revisó el sistema y todo está bien" ya no cumple.
Fuentes de referencia
En pocas palabras
Si la misma persona diseña el control y lo audita, el auditor externo lo va a notar. Y un acta de revisión sin decisiones concretas ya no cumple con lo que pide la versión 2025.