Principales Amenazas que las Organizaciones deben Priorizar en 2026 (ECCIIA)

Fuente: European Confederation of Institutes of Internal Auditing. (2025). Risk in focus 2026: Hot topics for internal auditors.

Resumen Ejecutivo

Mientras Europa se enfrenta a su «tercer ‘shock único en la vida’ en menos de cinco años», las organizaciones deben adaptar sus objetivos estratégicos e innovar para aprovechar las oportunidades emergentes. Este shock, derivado de conflictos continuos, el uso impredecible de aranceles comerciales por parte de la administración estadounidense y una economía global debilitada, ha inyectado una profunda incertidumbre macroeconómica y geopolítica en el panorama de amenazas para 2026. Este informe, Risk in Focus 2026, se basa en una encuesta a 879 Directores de Auditoría Interna (CAE), mesas redondas y entrevistas para mapear los desafíos clave.

Los hallazgos revelan un panorama de riesgos interconectados donde la planificación tradicional se ve desafiada, exigiendo mayor agilidad y adaptabilidad por parte de las empresas. La ciberseguridad sigue siendo el principal riesgo, mientras que la disrupción digital y la IA ganan prominencia. En contraste, el cambio climático ha descendido en la lista de prioridades, a pesar de su creciente impacto físico. El rol de los auditores internos está evolucionando para satisfacer estas demandas, con un aumento en los servicios de asesoramiento para ayudar a las organizaciones a navegar por la complejidad y explotar proactivamente las nuevas oportunidades.

Puntos Clave

• Incertidumbre Macroeconómica y Geopolítica: Ocupa el cuarto lugar, y los CAE coinciden en que esta amenaza impregna todas las demás categorías de riesgo, afectando desde las leyes y regulaciones hasta las ciberamenazas y las condiciones del mercado.
• Disrupción Digital, Nuevas Tecnologías e IA: Este riesgo ha ascendido del cuarto al tercer lugar en 2026. El desarrollo de estrategias para la IA generativa de rápida evolución es particularmente desafiante, con preocupaciones sobre la dependencia de proveedores (vendor lock-in).
• Ciberseguridad y Seguridad de Datos: Permanece como el mayor riesgo general. Los CAE destacan la creciente sofisticación técnica de los ataques como un «riesgo emergente» constante y algunos ya se preparan para la llegada del cifrado post-cuántico.
• Capital Humano, Diversidad, Gestión y Retención del Talento: Mantiene su posición como la segunda mayor amenaza. Los temores sobre la descualificación debido a la IA y la incapacidad para atraer y retener las habilidades adecuadas son preocupaciones principales.
• Cambio Climático, Biodiversidad y Sostenibilidad Ambiental: Ha caído dos puestos hasta la décima posición. Los CAE expresan frustración por la incertidumbre regulatoria moldeada por actitudes políticas cambiantes.

Metodología

El informe se basa en una encuesta cuantitativa distribuida en el primer semestre de 2025 entre Directores de Auditoría Interna (CAE) por 14 Institutos de Auditores Internos europeos, abarcando 15 países. Se realizaron 879 encuestas a CAE de todos los sectores e industrias. Además, se llevaron a cabo 10 entrevistas en profundidad con CAE, presidentes de comités de auditoría, consejeros no ejecutivos y expertos del sector para identificar los problemas más acuciantes.

Los resultados de esta investigación informaron los temas de discusión para cinco mesas redondas con un total de 44 participantes. El análisis del informe fue determinado por los resultados de la encuesta cuantitativa, guiado por las entrevistas individuales y enriquecido por las mesas redondas. Este informe no debe considerarse prescriptivo, sino como una herramienta para informar el pensamiento de la auditoría interna al desarrollar sus planes y proporcionar un punto de referencia.

Principales Hallazgos de la Encuesta

Clasificación de los Principales Riesgos para 2026

La ciberseguridad sigue dominando la clasificación de riesgos. Sin embargo, los cuatro riesgos principales siguientes se agrupan más estrechamente que nunca (entre el 45% y el 48%), lo que sugiere que muchos CAE ven los riesgos principales de sus organizaciones como relativamente iguales debido a su mayor interconexión, lo que hace que la gestión de riesgos sea especialmente desafiante.

• 1. Ciberseguridad y seguridad de datos
• 2. Capital humano, diversidad, gestión y retención del talento
• 3. Disrupción digital, nuevas tecnologías e IA
• 4. Incertidumbre macroeconómica y geopolítica (empatado)
• 4. Cambios en leyes y regulaciones (empatado)

Proyecciones de Riesgo a Tres Años (2029)

Se espera que la disrupción digital continúe su trayectoria ascendente, mientras que el cambio climático se mantendrá como una amenaza de menor calificación a pesar de los crecientes impactos del clima extremo. La ciberseguridad seguirá siendo el principal riesgo, y se espera que la disrupción digital, las nuevas tecnologías y la IA ocupen el segundo lugar en los tres sectores (servicios financieros, servicios no financieros y sector público).

Prioridades de Riesgo vs. Enfoque de Auditoría Interna

Las funciones de auditoría interna dedican la mayor parte de su tiempo a la ciberseguridad, la gobernanza organizativa y la continuidad del negocio. Sin embargo, los esfuerzos se quedan atrás en riesgos estratégicamente importantes como la disrupción digital y el riesgo de capital humano. De cara al futuro, casi el doble de CAE esperan que la disrupción digital sea un área de enfoque principal en los próximos 3 años, mientras que el esfuerzo en actividades relacionadas con el clima aumentará solo modestamente.

Análisis de Temas Clave

Incertidumbre Macroeconómica, Social y Geopolítica

Los aranceles de EE. UU., las guerras en curso y la incertidumbre política están llevando a las organizaciones a reevaluar sus objetivos estratégicos. La incertidumbre geopolítica y macroeconómica se ubicó en el cuarto lugar en la encuesta de este año. Los últimos cinco años han expuesto la vulnerabilidad de los flujos comerciales globales, y los aranceles comerciales podrían tener impactos mayores y más duraderos, elevando la incertidumbre sobre decisiones estratégicas e inversiones significativas.

Ante esta disrupción, el primer rol de la auditoría interna es evaluar que la empresa tenga procesos adecuados de gestión de riesgos en sus cadenas de suministro. La agilidad es clave, lo que implica incorporar estas amenazas en el marco de riesgo de la organización para acelerar las respuestas. El crecimiento global se espera que esté en su nivel más débil desde 2008, y el riesgo de liquidez e insolvencia ha subido al noveno lugar. En respuesta, los CAE están cambiando sus planes de auditoría para dedicar más tiempo a servicios de asesoramiento en proyectos de innovación, lanzamientos de productos y marketing. Los auditores internos también tienen un papel clave para desafiar el «pensamiento grupal» en la toma de decisiones estratégicas.

La política interna en Europa es una preocupación creciente debido a los vaivenes impredecibles entre los partidos políticos establecidos, lo que crea un «rompecabezas regulatorio» con marcos nacionales y supranacionales divergentes.

Cómo pueden ayudar los auditores internos:

1. Asegurar que los temas de incertidumbre geopolítica y macroeconómica se reflejen adecuadamente en la evaluación de riesgos de la organización.
2. Evaluar qué tan bien la organización ha desglosado la categoría de riesgo general en temas específicamente relevantes para sus objetivos y estrategia.
3. Garantizar que los procesos de toma de decisiones a nivel de la junta y la dirección estén libres de pensamiento grupal y otros sesgos.
4. Comprometerse con la dirección en oportunidades de innovación y comerciales, y asegurar que los riesgos sean comprendidos y mitigados.
5. Proporcionar aseguramiento sobre el diseño y la eficacia de los procesos de gestión de riesgos de terceros.
6. Ofrecer aseguramiento sobre la continuidad del negocio y la resiliencia a corto y largo plazo.

Disrupción Digital, Nuevas Tecnologías e IA

Las organizaciones se esfuerzan por desarrollar estrategias de IA cuando los beneficios y riesgos potenciales de estas tecnologías no están claros. La inversión en IA en Europa está en auge, pero la región está bajo presión para flexibilizar su entorno regulatorio y fomentar la inversión. Este riesgo subió del cuarto al tercer lugar en el ranking de 2026 y se espera que sea la segunda prioridad más importante para los CAE en 3 años.

El panorama de la IA generativa es dinámico, lo que hace imposible predecir qué proveedores predominarán. El «bloqueo de proveedores» (vendor lock-in) puede limitar la flexibilidad y aumentar las amenazas de seguridad. Algunas empresas adoptan un enfoque multicloud para probar el rendimiento de diferentes modelos de IA y aumentar la experiencia interna. La adopción incontrolada de Modelos de Lenguaje Grandes (LLM), que están disponibles gratuitamente, es un desafío, ya que pueden filtrar datos corporativos. Las empresas están experimentando con estrategias de IA, desde poner las herramientas a disposición con salvaguardas hasta enfoques más cautelosos, permitiendo la experimentación solo en áreas con una gobernanza de datos madura.

Dado que los sistemas de IA a menudo operan como «cajas negras», sus decisiones pueden ser difíciles de interpretar y auditar. Un CAE describió la dependencia de modelos opacos de IA como «cercano al suicidio corporativo». Las regulaciones tecnológicas europeas y la presión política de EE. UU. añaden otra capa de complejidad, dificultando el equilibrio entre el cumplimiento de la protección de datos y el despliegue rápido de nuevos sistemas de IA.

Cómo pueden ayudar los auditores internos:

1. Asegurar que los procesos de escaneo del horizonte de la organización tengan en cuenta las tecnologías emergentes y los cambios regulatorios.
2. Evaluar si la estrategia de IA de la organización es lo suficientemente flexible para aprovechar los rápidos desarrollos técnicos y evitar el riesgo de dependencia de un proveedor.
3. Proporcionar aseguramiento de que los procesos de gobernanza y gestión de riesgos en torno a la innovación de la IA son efectivos y conformes.
4. Asegurar que los procesos de adquisición de IA sean robustos.
5. Proporcionar aseguramiento de que los procesos para evaluar la efectividad de los resultados de la IA son robustos e interdisciplinarios.
6. Evaluar la madurez de la alfabetización en IA en toda la empresa, incluyendo la sala de juntas.

Ciberseguridad y Seguridad de Datos

La ciberseguridad continuó dominando las clasificaciones de riesgo, con un 82% de los CAE calificándola como su amenaza más importante y un 72% de los encuestados diciendo que era su principal área de enfoque de auditoría. Sin embargo, los datos sugieren que la exposición cibernética, medida como porcentaje de los ingresos, ha disminuido cada año desde 2022, lo que indica una mayor madurez organizativa y mejores defensas. Esto podría significar que las encuestas reflejan una percepción del riesgo «sin contramedidas», lo que podría no reflejar la exposición actual real de una organización.

Aun así, la sofisticación de las amenazas está en aumento. Preocupan especialmente los correos electrónicos de phishing generados por IA, los ataques de «deepfake» y el éxito en eludir los sistemas de autenticación multifactor (MFA). Las amenazas persistentes avanzadas (APT), ataques a largo plazo y difíciles de detectar, también son una preocupación significativa. Para contrarrestar esto, algunas organizaciones están reestructurando sus infraestructuras digitales mediante la segmentación para reducir la gravedad de un ataque.

La llegada de la computación cuántica, conocida como «Día-Q», representa una amenaza futura para los métodos de cifrado actuales. Los hackers ya están robando datos encriptados con la esperanza de descifrarlos una vez que los ordenadores cuánticos estén disponibles. Un CAE indicó que su primera auditoría interna sobre este tema en 2026 se centrará en la criptografía y la gestión de claves, y en evaluar qué tan bien se está preparando la organización para la transición a la criptografía cuántica-resistente.

Cómo pueden ayudar los auditores internos:

1. Proporcionar aseguramiento de que las evaluaciones de riesgo cibernético consideran plenamente las nuevas amenazas y la madurez de los procesos de defensa.
2. Asegurar que los procesos de seguridad, como los relacionados con la autenticación multifactor, estén actualizados y sean efectivos.
3. Evaluar si la estrategia de ciberdefensa ha considerado la segmentación de sitios físicos o programas de TI.
4. Asegurar que la organización pueda restaurar las copias de seguridad y que la infraestructura de respaldo sea segura.
5. Proporcionar aseguramiento de que los procesos de gestión de riesgos tengan en cuenta las amenazas geopolíticas que pueden afectar los programas centrales del negocio.
6. Ofrecer servicios de asesoramiento sobre la transición a la criptografía cuántica.

Capital Humano, Diversidad, Gestión y Retención del Talento

Europa sufre una escasez de habilidades, con 42 ocupaciones que presentan falta de talento. Esto explica por qué los problemas de capital humano han ocupado el segundo lugar en esta encuesta desde 2023. Sin embargo, estos problemas solo ocupan el noveno lugar en términos de esfuerzo de auditoría interna. Las organizaciones están trabajando para realinear sus estrategias de fuerza laboral con sus capacidades de IA en desarrollo, pero luchan con la escasez de talento y la alta rotación de personal.

El impacto de la IA en los empleos de oficina está causando «estrés real en el lugar de trabajo». A mediano plazo, la pérdida de experiencia y conocimiento debido a la IA podría ser un problema mayor, ya que los roles junior que antes servían de aprendizaje están siendo automatizados. La planificación estratégica de RRHH fue identificada como una debilidad, a menudo centrada en necesidades de personal a corto plazo y desalineada con iniciativas críticas del negocio. Los CAE informaron de una falta de propiedad, participación y supervisión a alto nivel sobre los riesgos estratégicos del capital humano.

Además, la próxima Directiva de Transparencia Salarial de la UE, que entrará en vigor en 2026, exigirá a las empresas que informen sobre la brecha salarial de género y justifiquen cualquier diferencia. Esto podría requerir cambios significativos en los marcos de compensación.

Cómo pueden ayudar los auditores internos:

1. Asegurar que las estrategias emergentes de IA y de RRHH estén alineadas entre sí y con los objetivos de la organización.
2. Prestar servicios de asesoramiento sobre si los sistemas de gobernanza para la planificación estratégica de RRHH son apropiados.
3. Evaluar si la organización comprende el impacto de los sistemas de IA en los roles existentes y el riesgo de perder conocimientos y habilidades clave.
4. Asegurar que la planificación de carreras tenga en cuenta los impactos de la disrupción digital.
5. Evaluar el nivel de seguridad psicológica y recomendar mejoras.
6. Proporcionar aseguramiento de que los esfuerzos de cumplimiento para la Directiva de Salarios de la UE están en marcha y que los datos son precisos y completos.

Cambio Climático, Biodiversidad y Sostenibilidad Ambiental

El cambio climático, la biodiversidad y la sostenibilidad ambiental cayeron del sexto al décimo lugar, convirtiéndose en el mayor movimiento en la encuesta. Esta caída es ilógica desde una perspectiva de impacto ambiental, ya que una evaluación de riesgos de la Agencia Europea de Medio Ambiente mostró que varios riesgos climáticos ya han alcanzado niveles críticos en la región. Sin embargo, políticamente, el mundo se está moviendo en la dirección opuesta, con un retroceso de las políticas verdes en EE. UU. y potencialmente en otros países.

La incertidumbre en la dirección de las políticas en Europa y el hecho de que los riesgos relacionados con el clima tienen un horizonte temporal demasiado largo en comparación con otros riesgos, han provocado que este tema descienda en la agenda de muchas juntas directivas. El paquete de simplificación Omnibus de la Unión Europea ha señalado una flexibilización significativa de los requisitos regulatorios, como la Directiva de Informes de Sostenibilidad Corporativa (CSRD), lo que ha generado frustración entre los CAE, quienes temen que se pierdan los beneficios que el régimen de informes prometía.

Las evaluaciones de doble materialidad (DMA) requeridas por la CSRD han sido un desafío. Los CAE informaron que las funciones de gestión a menudo tenían dificultades para compilar DMA fiables, a veces eligiendo temas basados en la disponibilidad de datos en lugar de en los riesgos más materiales. La auditoría interna tiene un papel crucial en desafiar estas evaluaciones para garantizar que se incluya toda la gama de riesgos organizacionales. Por otro lado, las empresas están fortaleciendo la circularidad en sus cadenas de suministro para reducir la dependencia de materiales básicos impredecibles, considerando la circularidad como una estrategia central de adaptación.

Cómo pueden ayudar los auditores internos:

1. Mantener a la junta directiva actualizada sobre los cambios relevantes en el entorno regulatorio.
2. Asegurar que existan datos de calidad sobre los riesgos ESG de la organización para facilitar la toma de decisiones y la fiabilidad de los informes.
3. Proporcionar aseguramiento de que el modelo de negocio de la organización tiene en cuenta adecuadamente su sostenibilidad a largo plazo.
4. Evaluar el proceso de evaluación de doble materialidad para garantizar que se incluya toda la gama de riesgos organizacionales.
5. Desafiar a la dirección y a las agencias externas sobre las suposiciones y los datos utilizados en las evaluaciones de doble materialidad.
6. Evaluar hasta qué punto la organización ha considerado el caso de negocio para la circularidad de la cadena de suministro.