La diferencia no está en la tecnología. Está en la gobernanza que permite escalar.
En Brasil, Assaí —segunda mayor cadena de retail alimentario del país— terminó una prueba de concepto con Auditus, un agente de IA generativa construido sobre Microsoft Copilot Studio para apoyar a su auditoría interna. La solución lee documentos, sugiere enfoques técnicos y estandariza lenguaje profesional, integrada a Teams, SharePoint, Word y Copilot Chat. Todo ocurrió en un ambiente aislado, bajo protocolos de Microsoft Purview y la LGPD. "La tecnología pasa a tener un papel importante al apoyar la evolución de nuestros procesos", resume Valdério Matias, director de Auditoría Interna e Investigaciones Corporativas de Assaí.
Es un caso real, medido y soberano. También es, hoy, el techo de la región.
La referencia global no espera
Mientras Assaí valida su primer agente en entorno controlado, JPMorgan Chase ejecuta más de 450 casos de uso agenticos en producción diaria con un presupuesto tecnológico anual de 18.000 millones de dólares. Su suite LLM interna atiende a 200.000 usuarios y genera memorándums de M&A en 30 segundos. El agente COiN, activo desde 2017, procesa 12.000 acuerdos de crédito comercial al año, recuperando 360.000 horas de abogados y reduciendo errores en 80%.
Las empresas que desplegaron agentes autónomos reportan ROI promedio de 171%, tres veces el de la automatización tradicional. En EE.UU. la cifra trepa a 192%. El 74% de los ejecutivos vio retorno en el primer año; el 39% duplicó productividad. Klarna ahorró 60 millones de dólares y reemplazó 853 equivalentes a tiempo completo en atención al cliente. Salesforce eliminó 5 millones en honorarios externos con un agente de contratos. Morgan Stanley recuperó 280.000 horas de desarrolladores revisando 9 millones de líneas de código legacy.
Dos categorías, una frontera
El mapa de Ampcome sobre 15 casos de uso en auditoría interna traza la línea que separa a Assaí de JPMorgan:
IA como herramienta de productividad: redacta memorándums de alcance, resume políticas de 200 páginas, genera guías de entrevista. El auditor senior revisa, corrige y firma. Es donde vive hoy la PoC de Auditus. IA embebida en el flujo de trabajo: extrae datos de facturas, contratos y asientos contables de toda la población —no de una muestra—, empareja transacciones contra controles, ejecuta pruebas y vincula cada resultado a la evidencia original en el papel de trabajo. Detecta anomalías en asientos de diario: patrones inusuales, usuarios que no suelen contabilizar, números redondos, actividad fuera de horario. Monitorea controles en tiempo real cruzando compras, RRHH y finanzas, porque la mayoría de las brechas aparecen como patrón entre sistemas, no dentro de uno solo.
Según la encuesta Pulse of Internal Audit del IIA, el uso de IA generativa crece fuerte año a año, pero concentrado en planificación y redacción, no en trabajo de campo ni seguimiento. La auditoría embebida exige gobernanza que la mayoría de las funciones aún no tiene.
El nudo de la gobernanza
Cuatro fallos recurrentes frenan el salto de productividad a embebida:
1. Caja negra: si la herramienta no muestra cómo llegó a la conclusión, la conclusión no sobrevive una revisión regulatoria. 2. Protocolo de revisión indefinido: nadie sabe quién valida la salida del agente antes de que entre al papel de trabajo. 3. Delegación indebida de juicio: el agente procesa poblaciones y muestra patrones, pero no puede ponderar materialidad ni aplicar escepticismo profesional. Tratar su salida como conclusión final es delegar lo indelegable. 4. Entornos de datos sin gobernar: herramientas de propósito general pueden procesar evidencia sensible en infraestructura que nunca fue diseñada para confidencialidad.
Subyacente al problema no está en que la IA erra. Está en que seis meses después nadie puede reconstruir cómo se alcanzó la conclusión cuando un inspector o regulador lo pide.
Lo que Assaí hizo bien —y lo que falta para escalar
El piloto brasileño acertó en tres decisiones que muchas grandes empresas globales omiten en su primera ola:
Entorno aislado y soberano: datos bajo LGPD y Purview desde el día cero, no como parche posterior. Capacitación de multiplicadores internos: Vivo actuó como socio consultivo, no solo como proveedor de licencias, transfiriendo autonomía al cliente. Alcance acotado y medible*: apoyo a documentación, estandarización y consultas de política —casos de productividad, no de juicio.
Lo que no resuelve el piloto —y ningún piloto resuelve solo— es la capa operativa transversal que Ampcome identifica como ausente en la mayoría de herramientas: conexión simultánea al ERP, al sistema de RRHH, a compras y al CRM. Un agente que vive solo en SharePoint no detecta una brecha de control que solo emerge cuando el pedido de compra en el ERP no coincide con la orden de recepción en logística y la factura en finanzas. Esa orquestación multi-sistema es donde JPMorgan, Walmart (4.700 tiendas conectadas a un agente de pronóstico autónomo) y General Mills (5.000 envíos diarios evaluados, 20 millones de dólares en ahorros desde 2024) concentran su ROI.
Lectura estratégica para el CFO y el CAE latinoamericano
La brecha no se cierra comprando más licencias Copilot. Se cierra cuando:
Plan de datos unifica ERP, RRHH, compras y finanzas con linaje y versionado trazables —requisito previo para cualquier agente de categoría 2. La función de auditoría define protocolos de revisión humana por tipo de salida: qué pasa por validación rápida, qué exige firma de senior, qué queda fuera de límites para la IA. La organización audita sus propios agentes* —caso de uso 15 de Ampcome— desde ahora: qué datos tocan, qué acciones ejecutan sin supervisión, qué rastro de evidencia dejan. EY y el IIA ya lo marcan como mandato emergente.
Assaí demostró que la región puede ejecutar pilotos soberanos, medidos y conformes. El siguiente escalón no es tecnológico: es arquitectónico y organizacional. Mientras el dato siga fragmentado y la gobernanza sea reactiva, la auditoría interna latinoamericana seguirá redactando memorándums más rápido —pero auditando con las mismas muestras de ayer.
