IA para auditoría financiera municipal: detectar anomalías en presupuestos y conciliaciones

Por qué usar IA en la auditoría financiera municipal

Las tesorerías y unidades de control interno de ayuntamientos gestionan grandes volúmenes de facturas, pagos, expedientes de subvención y conciliaciones bancarias. Muchas anomalías reales (duplicidades, errores de imputación, pagos fuera de plazo, proveedores ficticios) siguen detectándose tarde con inspecciones manuales. La IA no sustituye al auditor, pero permite priorizar evidencias y acelerar revisiones, reduciendo riesgo y coste operativo.

Este texto ofrece un enfoque práctico: qué detectar, qué métodos aplicar, cómo integrarlo en procesos existentes y qué requisitos legales y de gobernanza hay que cumplir (ENS RD 311/2022, RGPD, Ley 9/2017, Ley 38/2003 y el EU AI Act).

Casos de uso concretos y señales a vigilar

• Detección de facturas duplicadas o muy similares (importe, fecha, conceptos).
• Proveedores con actividad atípica (múltiples facturas en periodos cortos, cambios de cuenta).
• Desviaciones entre contrato/expediente y pagos efectivos (importes, plazos).
• Conciliaciones bancarias con partidas abiertas recurrentes.
• Anomalías en justificantes de subvenciones: gastos no elegibles, coincidencias sospechosas entre beneficiarios.
• Series temporales: picos estacionales inusuales o patrones nuevos tras cambios de proveedor.

Cada señal se traduce a una regla o a una métrica que el modelo o el sistema de reglas debe evaluar.

Técnicas recomendadas (prácticas y combinadas)

• Enfoque híbrido: combinar reglas determinísticas (normas contables, listas negras) con modelos estadísticos y ML:
  • Reglas rápidas para filtros iniciales (ej. facturas > umbral sin contrato).
  • Detección de anomalías no supervisada (Isolation Forest, autoencoders, modelos basados en densidad) para patrones no etiquetados.
  • Modelos supervisados (XGBoost, Random Forest) cuando se dispone de histórico etiquetado de incidencias.
• Enriquecimiento de features:
  • Normalizar textos (OCR + limpieza) y extraer entidades (proveedor, NIF, conceptos).
  • Variables temporales (día del mes, periodicidad).
  • Indicadores de red (coincidencia de IBAN, administradores, domicilios).
• Explicabilidad:
  • Generar razones legibles por humanos (reglas activadas, indicadores contribuyentes) para facilitar la investigación.
  • Guardar ejemplo comparativo (factura sospechosa vs. casos normales).

Integración operativa (datos, procesos y herramientas)

• Inventario de fuentes: ERP municipal, gestor de facturación, portal de subvenciones, conciliación bancaria, registro contable.
• ETL controlado: canalizar datos con trazabilidad, versionado y validación (checksum). Evitar “puenteos” manuales sin registro.
• Bucle humano: la salida del sistema debe generar alertas priorizadas y fichas de investigación para el departamento de control. El feedback (confirmado/no confirmado) retroalimenta modelos.
• Registro de decisiones: mantener un registro inmutable de alertas, acciones y conclusiones para auditoría y transparencia.
• Implementación práctica: empezar con dashboards y alertas por lotes antes de automatizar bloqueos o retenciones de pago.

Requisitos legales y de seguridad

• RGPD: identificar si los datos contienen información personal (NIF, nombres, cuentas). Asegurar bases jurídicas (interés público/ejecución de contrato), minimización, y derechos ARCO/P.
• ENS (RD 311/2022): aplicar controles de seguridad según el nivel del sistema —especial atención a integridad, disponibilidad y trazabilidad para módulos que influyen en finanzas.
• Contratación pública: al adquirir servicios o modelos externos, seguir Ley 9/2017 para pliegos, criterios técnicos y cláusulas de auditoría. Incluir SLAs, cláusulas de portabilidad y requisitos de seguridad.
• Subvenciones: si el sistema analiza ayudas, tenga en cuenta Ley 38/2003 sobre gestión de subvenciones cuando automatice comprobaciones.
• EU AI Act: evaluar si el sistema entra en categorías de “alto riesgo” (si sus decisiones afectan derechos o el acceso a beneficios). En caso afirmativo, preparar documentación, evaluación de riesgos y medidas de mitigación exigidas.

Plan piloto 90 días (pragmático)

1. Semana 1–2: inventario de fuentes y definición de problemas prioritarios (duplicados, conciliaciones).
2. Semana 3–5: extracción, limpieza y reglas de negocio básicas; primera capa de alertas.
3. Semana 6–8: desarrollar y validar modelo de anomalías no supervisado con feedback manual.
4. Semana 9–12: integrar en flujo de trabajo de control interno; métricas iniciales (tasa de detección, tasa de falsos positivos, tiempo de investigación).

KPIs iniciales: % de alertas confirmadas, reducción de tiempo medio por expediente, número de irregularidades prevenidas.

Riesgos habituales y cómo mitigarlos

• Falsos positivos altos: ajustar umbrales, añadir lógica de contexto y retroalimentación de auditores.
• Falta de gobernanza de datos: tener un responsable de datos, políticas de retención y clasificación.
• Dependencia del proveedor: exigir exportabilidad y model cards; cláusulas de salida en contratos.
• Sesgo en históricos: revisar cohortes y documentar limitaciones del dato.

Toma de acción

Acción inmediata: organiza una sesión de 2 horas entre Tesorería, Control Interno y TI para mapear las 3 fuentes de datos prioritarias y acordar un piloto de 90 días con objetivos KPI claros. Documenta requisitos legales (RGPD, ENS, Ley 9/2017) antes de iniciar la contratación o integración. Plataformas modulares que facilitan trazabilidad y gobernanza (como OptimGov) aceleran la puesta en marcha sin comprometer cumplimiento.

Takeaway: con un piloto controlado, gobernanza clara y un enfoque híbrido (reglas + ML), la IA puede convertir grandes volúmenes contables en señales accionables que reducen riesgo y liberan tiempo de auditoría.