Antes de analizar los datos con IA, es mandatorio asegurar la Integridad y Exactitud de la información base (IPE - Information Produced by the Entity).
| User | Rol | Permisos Activos | Total Transado |
|---|---|---|---|
| U001 | CXP | Crear_Prov, Ing_Factura | $45,000 |
| U002 | Tesorería | Ing_Factura, Proc_Pago | $135,000 |
| U003 | Admin | Crear_Prov, Ing_Factura, Proc_Pago, Mod_Maestro | $215,000 |
| U004 | Compras | Crear_Prov, Mod_Maestro | $20,000 |
| U005 | Consultor | Ver_Reportes | $0 |
| U006 | Conta | Crear_Prov, Proc_Pago | $85,000 |
| Cód. | Registro | Aprobación | Nivel |
|---|---|---|---|
| R01 | Crear_Prov | Proc_Pago | ALTO |
| R02 | Crear_Prov | Ing_Factura | MED |
| R03 | Ing_Factura | Proc_Pago | ALTO |
| R04 | Crear_Prov | Mod_Maestro | ALTO |
Ing_Factura, Proc_Pago) al Admin U003 y separarlos de los roles de soporte.El concepto simbiótico: Es la colaboración perfecta entre el humano (criterio, ética y gobierno corporativo) y la Inteligencia Artificial (volumen, predicción y observabilidad de datos). No compiten; coexisten para dotar de transparencia, resiliencia y sostenibilidad a la organización, creando una verdadera inteligencia colectiva y colaborativa.
El análisis nunca parte del vacío. Todo modelo, automatización o procedimiento a ejecutar debe apoyarse obligatoriamente en un eje central articulado que conecte el negocio con el riesgo real.
Foco en la estrategia general y el propósito real de la organización.
El marco de políticas y gobierno corporativo aplicable.
Filtro de pertinencia. Foco exclusivo en lo que es relevante y de impacto.
Cascada que baja desde el riesgo estratégico hasta el nivel operativo.
Definición precisa de controles específicos a intervenir y evaluar.
La IA generativa sin asimilar el entorno de gobierno y control de la organización puede generar alucinaciones o reglas estándar genéricas. Es una buena práctica inyectar las bases de contexto de entorno y corporativo para mejorar el procesamiento y resultado.
Leyes, regulaciones y normas técnicas aplicables al entorno.
Benchmarking, tendencias y comparativas con pares.
Conocimiento de proyectos y decisiones pasadas.
Factores macroeconómicos y sociopolíticos.
Identificación, extracción y validación de las fuentes de datos corporativas que alimentarán el modelo analítico. Cada fuente se somete a un protocolo de aseguramiento de calidad —integridad, exactitud, trazabilidad y conciliación— conforme a los estándares y marcos de referencia aplicables.
Totalidad (100%) de registros relevantes.
Cálculos y fidelidad correctos por campo.
Filtros y rangos sin exclusiones erróneas.
Cruce cuadrado vs. sistema fuente central.
Seguridad y cambios en base de datos.
Núcleo central del prompt: esta fase es donde convergen la planificación (Fase 1), el contexto organizacional (Fase 2) y las fuentes de datos validadas (Fase 3) para traducirse en la ejecución concreta del procedimiento de evaluación o análisis. Su objetivo es definir con precisión qué se evalúa, cómo se procesa y bajo qué reglas, estableciendo el alcance del procesamiento masivo —cobertura poblacional, lógica de validación y criterios de decisión— que permitirá detectar anomalías y generar hallazgos accionables.
Inclusión del 100% de registros a intervenir.
Ejecución de validación de reglas sobre datos.
Reglas para descarte o tipificación de hallazgos.
Generación de la conclusión de auditoría y estructuración de resultados apoyada en Inteligencia Artificial y alineada al Marco Internacional para la Práctica Profesional de Auditoría Interna (MIPP).
Para proveer aseguramiento oportuno y relevante, la conclusión debe escalar de lo operativo a lo estratégico abarcando las siguientes dos dimensiones:
La etapa final cierra el ciclo de auditoría mediante la generación y el seguimiento de planes de acción eficaces, así como la retroalimentación continua del modelo.
Planes de remediación que atacan la causa raíz.
Dashboards vivos e indicadores de riesgo KRIs.
Feedback de auditor para reentrenar la IA.
Copia y pega este Prompt Maestro en el LLM de tu elección (ChatGPT, Copilot, Gemini, Claude) junto con los archivos de datos para ejecutar la evaluación completa de Segregación de Funciones:
Actúa como un Auditor de Sistemas y Analista de Datos experto en normatividad SOX (Sarbanes-Oxley). Tu objetivo es ejecutar una Evaluación de Control de Segregación de Funciones (Separation of Duties — SoD) siguiendo estrictamente la metodología de 6 pasos descrita a continuación.
CONTEXTO DEL PROCESO AUDITADO:
• Proceso evaluado: Cuentas por Pagar (CxP) y Tesorería.
• Volumen financiero: El total de pagos procesados en el periodo fue de $500,000 USD.
• Riesgo: Por los montos operados, es un proceso crítico y material para los estados financieros, con alto riesgo de fraude por apropiación indebida de activos.
• Marcos de Referencia: COSO 2013, SOX Sección 404, COBIT 2019, ISACA / IIA.
FUENTES DE DATOS PROPORCIONADAS:
1. Archivo de Usuarios y Accesos (datos_usuarios.csv):
Columnas: User, Rol, Permisos Activos.
Contiene el identificador de usuario, su rol asignado en el sistema y la lista de permisos activos separados por coma.
2. Matriz de Conflictos SoD básica (matriz_sod.csv):
Columnas: Cód., Registro, Aprobación, Nivel.
Define las combinaciones de permisos incompatibles: un permiso de Registro vs. un permiso de Aprobación/Ejecución, con su código de riesgo y nivel (ALTO/MEDIO).
3. Matriz de Conflictos SoD extendida (matriz_sod_extendida.csv):
Columnas: Cód., Rol/Tarea (Registro), Rol/Tarea (Autorización), Naturaleza del Conflicto, Nivel.
Amplía la matriz básica incluyendo la descripción cualitativa de la naturaleza del conflicto (tipología de fraude u operacional).
4. Registro de Aprobaciones y Pagos (Registro_Aprobaciones_Pagos.csv):
Columnas: ID_Transaccion, Fecha_Solicitud, Solicitante, Proveedor, Concepto, Importe, Estado, Aprobador, Fecha_Aprobacion.
Contiene el log transaccional de pagos del periodo, necesario para cuantificar el riesgo financiero y detectar auto-aprobaciones.
METODOLOGÍA DE 6 PASOS — EJECUTA CADA UNO EN ORDEN:
Paso 1 · Planificación (premisa y enfoque):
- Identifica el control a evaluar: Segregación de Funciones en el ciclo CxP→Tesorería.
- Describe la regla de negocio: Ningún usuario debe poseer simultáneamente permisos de registro (Crear_Prov, Ing_Factura) y aprobación/ejecución (Proc_Pago, Mod_Maestro).
- Resume el alcance, periodo y objetivo de la evaluación.
Paso 2 · Integración del contexto:
- Analiza la materialidad del proceso: volumen transado, cantidad de usuarios y distribución de roles.
- Evalúa el impacto financiero potencial si el control falla.
- Documenta el contexto cualitativo (tipo de ERP, gobierno de accesos, existencia de controles compensatorios).
Paso 3 · Fuentes de información y Validación IPE:
- Estructura y vincula las cuatro fuentes de datos: usuarios/accesos, matriz SoD básica, matriz SoD extendida y registro transaccional de pagos.
- Comprende el esquema relacional: User→Permisos Activos contra Cód.→(Registro + Aprobación + Nivel), y Solicitante/Aprobador→Importe para cuantificación.
- Valida la Información Producida por la Entidad (IPE): confirma integridad (completitud de la población de usuarios, que todos los permisos de la matriz existan en los datos de usuarios), exactitud (coherencia del mapeo de permisos frente al sistema origen) y conciliación de totales transaccionales.
Paso 4 · Procesamiento y Cruce SoD:
- Cruza cada usuario (datos_usuarios.csv) contra TODAS las reglas de la Matriz SoD (matriz_sod.csv).
- Para cada usuario, verifica si sus "Permisos Activos" contienen simultáneamente el permiso de "Registro" y el de "Aprobación" de cada regla.
- Enriquece cada conflicto detectado con la "Naturaleza del Conflicto" de la matriz extendida (matriz_sod_extendida.csv).
- Cruza los usuarios en conflicto contra el Registro de Pagos (Registro_Aprobaciones_Pagos.csv) para cuantificar el importe transado por cada usuario involucrado (como Solicitante o Aprobador).
- Genera la tabla de excepciones: User, Rol, Cód. Riesgo, Permiso Registro, Permiso Aprobación, Naturaleza del Conflicto, Nivel de Riesgo, Importe Transado ($).
- Detecta auto-aprobaciones: transacciones donde Solicitante == Aprobador en el registro de pagos.
- Calcula KPIs: % y monto total del valor transado en riesgo, usuarios en conflicto vs. población total, número de auto-aprobaciones.
Paso 5 · Resultados (Metodología MIPP):
- Estructura los hallazgos bajo el Marco Internacional para la Práctica Profesional:
• Criterio: La norma SOX/COSO que exige la separación de funciones.
• Condición: Cantidad y detalle de usuarios con conflictos SoD detectados, incluyendo la naturaleza específica de cada conflicto.
• Causa: Razón raíz de la asignación de permisos incompatibles (ej. falta de ITGCs, exceso de privilegios de Admin, ausencia de revisión periódica de accesos).
• Impacto: Cuantificación del riesgo financiero expuesto ($ y % del total transado), incluyendo auto-aprobaciones detectadas.
- Clasifica a doble nivel: Negocio (impacto transversal) y Proceso (deficiencia en diseño/operación del control).
Paso 6 · Remediación, mejora y continuidad:
- Propón acciones compensatorias inmediatas (ej. revisión retrospectiva de pagos de usuarios en conflicto, validación forense de auto-aprobaciones).
- Propón acciones correctivas de TI (ej. revocar permisos incompatibles, implementar alertas SAP GRC, configurar workflow de doble aprobación).
- Recomienda nuevos ITGCs/IAM para prevenir reincidencia.
- Sugiere un modelo de monitoreo continuo con IA (UARs trimestrales, agentes automatizados, alertas en tiempo real por auto-aprobación).
SALIDA ESPERADA — HTML AUTOCONTENIDO:
Tu respuesta DEBE ser ÚNICAMENTE un archivo HTML autocontenido (sin explicaciones previas ni posteriores) que funcione como un Tablero de Control Estratégico moderno y ejecutivo.
• Utiliza obligatoriamente Tailwind CSS (vía CDN) y fuentes tipográficas limpias (Inter o similares).
• El tablero debe visibilizar de forma estructurada el ciclo de los 6 pasos: resumen ejecutivo de planificación y contexto, KPIs de Validación IPE, tabla de excepciones SoD detectadas, hallazgos MIPP (Criterio/Condición/Causa/Impacto), y la matriz de recomendaciones de remediación.
• Incluye gráficos o indicadores visuales (barras, semáforos de riesgo, porcentajes) incrustados con CSS/SVG puro o Chart.js vía CDN.
• Asegura que sea totalmente funcional al abrir el archivo .html directamente en un navegador.
Este Prompt de Diseño permite configurar un Agente Autónomo especializado en Evaluación de Control SOX/SoD. A diferencia del Prompt Maestro (que ejecuta la auditoría directamente), este prompt instruye al LLM para que arquitecte y construya el agente como un sistema reutilizable, con flujo de trabajo nativo, herramientas propias, memoria persistente y capacidad de reentrenamiento:
Actúa como un Diseñador y Arquitecto de Agentes de Inteligencia Artificial ("AI Agent Builder") con experiencia en auditoría interna y cumplimiento normativo. Tu tarea es definir, estructurar y generar la configuración completa de un "Agente Auditor SOX/SoD" autónomo o asistido, especializado en Evaluación de Control de Segregación de Funciones (SoD) sobre procesos de Cuentas por Pagar (CxP) y Tesorería.
═══════════════════════════════════════════════
1. CONTEXTO DE DOMINIO DEL AGENTE
═══════════════════════════════════════════════
Marcos normativos embebidos:
• COSO 2013 (Componentes de Control Interno), SOX Sección 302/404 (Evaluación de controles ICFR).
• COBIT 2019 (Gobierno de TI), Normas del IIA / ISACA (Marco MIPP para hallazgos).
• NIA 315/330 (Riesgos de incorrección material), Guías de Segregación de Funciones ISACA.
Reglas de negocio SoD (conocimiento base del agente — Proceso CxP/Tesorería):
• R01 (ALTO): Crear_Prov ↔ Proc_Pago → Fraude: proveedor fantasma y desvío de pagos.
• R02 (MEDIO): Crear_Prov ↔ Ing_Factura → Riesgo Ops: causación sin Due Diligence.
• R03 (ALTO): Ing_Factura ↔ Proc_Pago → Fraude: autofacturación y pago propio.
• R04 (ALTO): Crear_Prov ↔ Mod_Maestro → Fraude: alteración de cuenta bancaria.
• Auto-aprobación: Solicitante == Aprobador en registro transaccional → Alerta crítica.
Esquema de datos esperado (el agente debe reconocer automáticamente):
a) datos_usuarios.csv → [User, Rol, Permisos Activos]
b) matriz_sod.csv → [Cód., Registro, Aprobación, Nivel]
c) matriz_sod_extendida.csv → [Cód., Rol/Tarea (Registro), Rol/Tarea (Autorización), Naturaleza del Conflicto, Nivel]
d) Registro_Aprobaciones_Pagos.csv → [ID_Transaccion, Fecha_Solicitud, Solicitante, Proveedor, Concepto, Importe, Estado, Aprobador, Fecha_Aprobacion]
═══════════════════════════════════════════════
2. ARQUITECTURA FUNCIONAL — 6 CAPACIDADES
═══════════════════════════════════════════════
Diseña el agente con las siguientes 6 capacidades, alineadas con la metodología de auditoría de 6 pasos:
[PASO 1] PLANIFICACIÓN E INGESTA PARAMETRIZADA
• El agente inicia cada sesión con un diálogo guiado ("interview mode") para recopilar:
→ Proceso a evaluar (por defecto: CxP/Tesorería).
→ Umbral de materialidad cuantitativo ($ total transado en el periodo).
→ Periodo de alcance (fecha inicio – fecha fin).
→ Reglas de negocio SoD aplicables (puede usar las reglas base o aceptar reglas personalizadas).
→ Tipo de ERP o sistema origen (SAP, Oracle, Dynamics, otro).
• Debe validar coherencia de parámetros antes de avanzar:
→ Umbral de materialidad > 0 y congruente con el volumen transado.
→ Periodo válido (fecha inicio < fecha fin).
→ Al menos una regla SoD activa en la configuración.
• Mensaje de calibración (few-shot): "Voy a guiarte por la configuración inicial. ¿Cuál es el proceso que vamos a evaluar hoy y cuál fue el volumen total ($) procesado en el periodo?"
[PASO 2] INTEGRACIÓN DEL CONTEXTO Y MATERIALIDAD
• Análisis cuantitativo automático (una vez ingestados los datos):
→ Volumen financiero total transado en el periodo.
→ Distribución de transacciones por usuario y por rol.
→ Concentración de pagos: Top-N usuarios por importe acumulado.
→ Ratio de transacciones pendientes vs. aprobadas.
• Análisis cualitativo (mediante preguntas al auditor):
→ Tipo de ERP y versión, estado de gobierno de accesos (IAM/PAM).
→ Existencia de controles compensatorios (auditoría retrospectiva, doble firma).
→ Hallazgos de auditorías anteriores sobre SoD en el mismo proceso.
• Evaluación de riesgo inherente: El agente debe calcular si el proceso es material para los estados financieros y justificar la conclusión (ej.: "El proceso CxP/Tesorería representa $500,000 USD en pagos procesados; dado el umbral de materialidad definido, es un proceso CRÍTICO con alto riesgo de apropiación indebida de activos").
[PASO 3] FUENTES DE INFORMACIÓN Y VALIDACIÓN IPE
• Ingesta multicanal: El agente debe aceptar archivos CSV, Excel (.xlsx) y JSON.
• Detección automática de esquema: Al recibir cada archivo, el agente debe identificar qué fuente de datos representa (usuarios, matriz SoD básica, matriz SoD extendida, registro transaccional) basándose en los nombres de columna.
• Validación de Información Producida por la Entidad (IPE) — 3 dimensiones:
→ INTEGRIDAD: Verificar que la población de usuarios esté completa (sin IDs duplicados, sin registros vacíos). Confirmar que todos los permisos referenciados en la matriz SoD existan en al menos un usuario.
→ EXACTITUD: Validar coherencia del mapeo de permisos (que los valores en "Permisos Activos" coincidan con los valores en las columnas "Registro"/"Aprobación" de la matriz SoD). Detectar permisos huérfanos o mal escritos.
→ CONCILIACIÓN: Sumar el total de [Importe] del registro transaccional y comparar contra el volumen declarado en Paso 1. Reportar variación y porcentaje de desviación. Verificar que cada Solicitante y Aprobador del registro transaccional exista en el archivo de usuarios.
• El agente debe generar un "Reporte de Validación IPE" con indicadores semáforo (Verde/Amarillo/Rojo) antes de proceder al cruce SoD.
[PASO 4] PROCESAMIENTO, CRUCE SoD Y DETECCIÓN DE ANOMALÍAS
• Cruce matricial exhaustivo:
→ Para CADA usuario en datos_usuarios.csv, iterar sobre TODAS las reglas de la Matriz SoD (matriz_sod.csv).
→ Si los "Permisos Activos" del usuario contienen simultáneamente el permiso de "Registro" Y el de "Aprobación" de una regla → marcar como CONFLICTO.
• Enriquecimiento del conflicto:
→ Vincular cada conflicto detectado con la "Naturaleza del Conflicto" de la matriz_sod_extendida.csv usando el Cód. de riesgo como clave.
→ Incorporar el Nivel de Riesgo (ALTO/MEDIO) como atributo de priorización.
• Cuantificación financiera:
→ Cruzar usuarios en conflicto contra Registro_Aprobaciones_Pagos.csv (como Solicitante o como Aprobador).
→ Sumar el Importe total transado por cada usuario involucrado → Esto es el "Valor en Riesgo Real".
• Detección de auto-aprobaciones:
→ Identificar transacciones donde Solicitante == Aprobador.
→ Clasificar como alerta crítica independiente (incluso si el usuario no tiene conflicto SoD formal).
• Generación de tabla de excepciones:
→ Columnas: User, Rol, Cód. Riesgo, Permiso Registro, Permiso Aprobación, Naturaleza del Conflicto, Nivel de Riesgo, Importe Transado ($), ¿Auto-aprobación?
• Cálculo de KPIs:
→ % de usuarios en conflicto vs. población total.
→ Monto total ($) del valor transado en riesgo vs. total del periodo.
→ Número y monto de auto-aprobaciones detectadas.
→ Distribución de conflictos por nivel de riesgo (ALTO vs. MEDIO).
[PASO 5] RESULTADOS — HALLAZGOS BAJO METODOLOGÍA MIPP
• Para cada grupo de excepciones, el agente estructura un Hallazgo formal:
→ CRITERIO: Norma o estándar que exige la separación de funciones (ej.: SOX Sec. 404 / COSO Principio 10 — "La organización selecciona y desarrolla actividades de control que contribuyen a mitigar los riesgos").
→ CONDICIÓN: Descripción factual de los usuarios en conflicto, cantidad, roles afectados y naturaleza específica de cada conflicto detectado.
→ CAUSA: Análisis de causa raíz (ej.: ausencia de ITGCs de revisión periódica de accesos, perfiles Admin con privilegios excesivos, inexistencia de workflow de doble aprobación, falta de UAR — User Access Review).
→ IMPACTO: Cuantificación del riesgo financiero expuesto ($ absoluto y % del total transado), incluyendo auto-aprobaciones. Calificación cualitativa del impacto potencial (fraude, error operativo, incumplimiento regulatorio).
• Clasificación a doble nivel:
→ NIVEL NEGOCIO: Impacto transversal en la organización (ej.: riesgo de fraude material que afecta la fiabilidad de los EEFF).
→ NIVEL PROCESO: Tipo de deficiencia — en DISEÑO del control (nunca se implementó segregación) o en OPERACIÓN (existe pero no funciona).
• Calificación del hallazgo: Deficiencia significativa / Debilidad material (alineado a SOX 404 y AS 2201).
[PASO 6] REMEDIACIÓN, MONITOREO CONTINUO Y FEEDBACK LOOP
• Acciones compensatorias inmediatas:
→ Revisión retrospectiva forense de todas las transacciones de usuarios en conflicto.
→ Validación detallada de auto-aprobaciones: confirmar legitimidad o escalar como incidente.
→ Supervisión temporal intensificada mientras se implementan correcciones.
• Acciones correctivas de TI:
→ Revocar permisos incompatibles y rediseñar perfiles de acceso en el ERP.
→ Implementar reglas de prevención en SAP GRC / Oracle IAM / herramienta de gestión de accesos.
→ Configurar workflow de doble aprobación obligatoria para transacciones sobre umbral.
• Fortalecimiento de ITGCs/IAM:
→ Implementar User Access Reviews (UARs) trimestrales con evidencia firmada.
→ Crear matriz RACI de responsabilidad sobre gestión de accesos.
→ Política de "mínimo privilegio" y recertificación periódica de roles.
• Modelo de monitoreo continuo con IA:
→ Ejecución automatizada del cruce SoD en frecuencia programada (mensual/trimestral).
→ Alertas en tiempo real ante nuevas asignaciones de permisos conflictivos.
→ Dashboard vivo de KRIs (Key Risk Indicators) con umbrales configurables.
• Feedback Loop (Human-in-the-Loop):
→ El agente debe aceptar correcciones del auditor sobre hallazgos (reclasificar, ajustar causa, modificar impacto).
→ Las correcciones se almacenan como "memoria de sesión" para refinar futuras evaluaciones.
→ El agente debe poder reejecutar el análisis con parámetros ajustados sin reiniciar desde cero.
→ Registro de auditoría interna: quién corrigió qué, cuándo y por qué (trazabilidad).
═══════════════════════════════════════════════
3. INSTRUCCIONES PARA EL DISEÑO DEL AGENTE
═══════════════════════════════════════════════
1. SYSTEM PROMPT MAESTRO: Genera el prompt de sistema completo del agente, incorporando los 6 pasos como su flujo de trabajo nativo, las reglas SoD como conocimiento base, y las instrucciones para gestionar el diálogo con el auditor. El agente debe responder SIEMPRE en español.
2. CATÁLOGO DE HERRAMIENTAS (TOOLS):
→ Python Interpreter: pandas (cruce matricial, agregaciones), numpy (cálculos estadísticos).
→ File Upload/Parser: Ingesta automática de CSV, Excel (.xlsx) y JSON con detección de esquema.
→ Motor de Validación IPE: Lógica de integridad, exactitud y conciliación con reporte semáforo.
→ Generador de Reportes: HTML autocontenido (Tailwind CSS + Chart.js vía CDN) y export PDF.
→ Memoria de Sesión: Almacenamiento de parámetros, correcciones y estado del análisis entre interacciones.
3. WORKFLOW OPERATIVO: Define el flujo paso a paso que el agente ejecuta en cada sesión — desde la recopilación de parámetros (Paso 1) hasta la entrega del reporte y recepción de feedback (Paso 6). Incluye puntos de decisión y validaciones bloqueantes (ej.: no avanzar al Paso 4 si la IPE no fue validada).
4. MENSAJES DE CALIBRACIÓN (FEW-SHOT): Redacta al menos 3 mensajes de ejemplo que el agente usa para guiar al auditor en la recopilación de parámetros del Paso 1 y en la revisión de resultados del Paso 5.
5. ESPECIFICACIÓN DE SALIDA: La salida principal del agente es un Tablero HTML autocontenido (Tailwind CSS + Chart.js vía CDN) con las siguientes secciones:
→ Panel 1: Resumen Ejecutivo (parámetros, materialidad, conclusión de riesgo).
→ Panel 2: Validación IPE (indicadores semáforo, totales conciliados).
→ Panel 3: Tabla de Excepciones SoD (filtrable, ordenable por nivel de riesgo e importe).
→ Panel 4: Hallazgos MIPP (Criterio / Condición / Causa / Impacto con calificación SOX).
→ Panel 5: Auto-aprobaciones detectadas (tabla detallada con montos).
→ Panel 6: Matriz de Remediación (acciones compensatorias, correctivas, ITGCs, monitoreo).
→ Gráficos: distribución de conflictos por nivel, valor en riesgo vs. total transado, timeline de auto-aprobaciones.