Auditoría del Dato: Fases y Entregables

Cuando una empresa decide hacer una auditoría de gobierno del dato, lo más frecuente es que reciba propuestas muy dispares: algunas de 10 páginas con fases detalladas y entregables concretos, otras de 2 páginas que hablan de 'diagnóstico integral' sin especificar qué incluye. La diferencia entre una y otra no siempre está en el precio. Está en si el proveedor sabe realmente lo que hace.

Este artículo describe cómo debería estructurarse una auditoría real, qué entregables concretos deberías recibir en cada fase y qué señales indican que una propuesta es genérica o incompleta. El objetivo es que puedas evaluar cualquier oferta con criterios objetivos.

Fase 1: Inventario de fuentes y datos críticos (semana 1)

La primera fase tiene un objetivo concreto: saber qué datos tiene la empresa, dónde están y quién los gestiona. Sin ese inventario, el resto de la auditoría trabaja sobre suposiciones.

Qué actividades incluye

• Entrevistas con los responsables de cada área de negocio para identificar qué datos son críticos en su operativa.
• Inventario de sistemas de información: ERP, CRM, herramientas de BI, bases de datos operacionales, ficheros y hojas de cálculo relevantes.
• Mapeo de flujos de datos: de dónde vienen, cómo se mueven entre sistemas y dónde se consumen.
• Identificación de dominios de datos prioritarios: cliente, producto, finanzas, proveedor, operaciones, según el modelo de negocio.
• Revisión de la documentación existente: políticas de datos, diccionarios, contratos con proveedores de datos, registro de actividades de tratamiento del RGPD.

Entregables de la fase 1

• Mapa de fuentes de datos con sistemas, propietarios técnicos y estado de documentación.
• Listado de dominios de datos críticos con descripción funcional.
• Diagrama simplificado de flujos de datos entre los sistemas principales.
• Identificación inicial de gaps de ownership: datos sin responsable definido.

Fase 2: Evaluación de calidad y cumplimiento normativo (semana 2)

Con el inventario hecho, la segunda fase evalúa el estado real de los datos en las dimensiones que más impacto tienen en la operativa: calidad, seguridad y cumplimiento normativo.

Qué actividades incluye

• Análisis de calidad de datos en las fuentes críticas: completitud (campos vacíos), unicidad (registros duplicados), validez (valores fuera de rango o formato incorrecto), consistencia entre sistemas.
• Evaluación de cumplimiento del RGPD: revisión del registro de actividades de tratamiento, plazos de retención, bases legales de los tratamientos y medidas técnicas de protección.
• Revisión de requisitos del AI Act si hay proyectos de IA en curso o previstos: calidad y trazabilidad de los datos de entrenamiento, documentación de sesgos potenciales.
• Evaluación del estado de gobernanza: existencia de políticas de calidad, roles definidos (Data Owner, Data Steward), procesos de remediación cuando se detectan errores.
• Benchmarking de madurez: posicionamiento de la empresa en el modelo de madurez de datos (niveles 1-5).

Herramientas usadas en esta fase

Las herramientas dependen del entorno técnico de la empresa. Para análisis de calidad sobre bases de datos relacionales, se trabaja con queries SQL sobre muestras representativas. Para entornos con data warehouse, se pueden usar herramientas como Great Expectations o dbt tests. Para el análisis documental del cumplimiento normativo, se trabaja con plantillas estructuradas basadas en el DMBOK y las guías de la AEPD.

Entregables de la fase 2

• Informe de calidad de datos por dominio: dimensiones evaluadas, resultados cuantitativos y ejemplos de problemas detectados.
• Mapa de brechas de cumplimiento RGPD con nivel de riesgo (alto, medio, bajo) para cada brecha.
• Evaluación de requisitos AI Act si aplica.
• Diagnóstico de madurez de gobernanza con nivel actual y gaps respecto al nivel objetivo.

Fase 3: Informe de hallazgos y roadmap de mejora (3-5 días finales)

La tercera fase sintetiza los hallazgos de las dos fases anteriores en un informe accionable. No basta con describir los problemas: hay que priorizarlos y proponer un plan realista para resolverlos.

Qué debe incluir el informe final

• Resumen ejecutivo: los 5-7 hallazgos más relevantes, sin jerga técnica, orientado a la dirección.
• Hallazgos detallados por dominio: calidad, cumplimiento y gobernanza, con evidencias cuantitativas.
• Matriz de riesgo: cada hallazgo posicionado por impacto y probabilidad.
• Roadmap de mejora: iniciativas priorizadas por impacto y esfuerzo, con estimación de plazos y dependencias.
• Quick wins identificados: acciones con alto impacto y bajo esfuerzo que se pueden ejecutar en las primeras 4 semanas.
• Propuesta de modelo de gobernanza mínimo viable: roles, responsabilidades y procesos básicos para sostener la mejora.

Señales de alerta en una propuesta de auditoría

Cuando evalúes propuestas de auditoría de gobierno del dato, estas señales indican que el proveedor no tiene metodología clara o está vendiendo un producto estándar sin adaptar al contexto.

• No describe entregables concretos para cada fase, solo titulares genéricos como 'informe de diagnóstico' o 'análisis de la situación actual'.
• No menciona el RGPD ni el AI Act, o los menciona como un apartado menor sin metodología específica.
• Propone un plazo inferior a 2 semanas para una empresa con más de 5-8 sistemas de información. Una auditoría de menos de 2 semanas para una empresa mediana es casi con seguridad superficial.
• El equipo propuesto no tiene perfil técnico de datos. Una auditoría de gobierno del dato requiere alguien que sepa analizar la calidad de los datos a nivel técnico, no solo hacer entrevistas.
• No propone una sesión de presentación de hallazgos con el equipo de la empresa antes de entregar el informe final. Las conclusiones deben validarse con los interlocutores internos antes de cerrarse.

Cómo evaluar si estás recibiendo una auditoría real o un informe genérico

La prueba más sencilla es preguntar al proveedor por un ejemplo anonimizado de informe de una auditoría anterior. Un proveedor con metodología sólida debería poder enseñar la estructura del informe, las dimensiones evaluadas y el tipo de hallazgos que documenta. Si no puede o no quiere, eso dice algo.

La segunda prueba es preguntar cómo evalúan la calidad de los datos. Si la respuesta es 'hacemos entrevistas y revisamos documentación', falta el componente técnico. Si responden con herramientas concretas, métricas específicas de calidad (completitud, unicidad, validez, consistencia) y metodología de muestreo, la propuesta tiene más fondo. Para saber qué debería incluir el diagnóstico, el artículo sobre cuándo necesitas una auditoría de gobierno del dato describe los síntomas que el diagnóstico debe ser capaz de detectar.

Preguntas frecuentes

¿Una auditoría de gobierno del dato requiere acceso a todos los datos de la empresa?

No. La auditoría trabaja sobre muestras representativas de los datos críticos. Requiere acceso a metadatos y a ejemplos de datos reales para evaluar la calidad. Los datos más sensibles pueden evaluarse en entornos controlados o con datos anonimizados.

¿El informe de auditoría incluye un plan de acción?

Debería incluirlo siempre. Un informe que solo describe problemas sin priorizar acciones tiene un valor muy limitado. El entregable más útil es un roadmap con iniciativas priorizadas por impacto y esfuerzo, con estimación de plazos.

¿Cuánto cuesta una auditoría de gobierno del dato?

El rango habitual para empresas medianas en España está entre 8.000 y 20.000 euros según el alcance y el número de fuentes a evaluar. Auditorías más amplias con evaluación de madurez completa pueden superar esa cifra.