Diligencia debida impulsada por AI: comprimir CDD, FDD y TDD sin perder rigor

Introducción

La diligencia debida es un ejercicio de duda controlada. Un comité de inversiones se pregunta si el negocio, los resultados y la tecnología descritos por un vendedor resistirán el escrutinio antes de comprometer capital. La respuesta se construye a partir de registros imperfectos, acceso limitado, poblaciones cambiantes del data room, explicaciones de la dirección y juicio especializado. La inteligencia artificial añade una nueva capa analítica a ese proceso. Puede leer, clasificar y comparar grandes colecciones de documentos; proponer correspondencias entre datos inconsistentes; redactar resúmenes de incidencias; y orientar a los revisores hacia las excepciones. También puede producir afirmaciones categóricas que no están respaldadas, confundir períodos o entidades, pasar por alto una población faltante y hacer que un cálculo parezca coherente cuando sus datos de entrada son erróneos.

La evidencia de mercado actual muestra que AI ha entrado en la labor transaccional. La encuesta de KPMG de 2026 abarcó a 700 altos responsables de la toma de decisiones de M&A en 20 países y jurisdicciones. El cincuenta y seis por ciento informó haber desplegado AI agéntica en la diligencia debida y la valoración. En la misma encuesta, el 59 por ciento informó una mejora de eficiencia superior al 10 por ciento en inteligencia competitiva y análisis de mercado, mientras que el 17 por ciento informó una mejora de eficiencia superior al 25 por ciento en modelización de valoración y planificación de escenarios, y en modelización y seguimiento presupuestarios [1,2]. Son hallazgos declarados por los encuestados. No establecen productividad causal, reducción de errores ni rendimiento de la inversión.

La medición está materialmente menos madura que la adopción. El Thomson Reuters Institute encuestó a 1.514 profesionales de funciones jurídicas; fiscales, de auditoría y contabilidad; de riesgo corporativo y fraude; y gubernamentales en octubre y noviembre de 2025. El cuarenta por ciento informó uso de AI generativa en toda la organización, frente al 22 por ciento de la edición anterior. El dieciocho por ciento informó que sus organizaciones recopilaban métricas de retorno de la inversión de AI, y el 40 por ciento no sabía si se recopilaban dichas métricas [3]. La muestra va más allá de las transacciones. Proporciona evidencia de una brecha generalizada de medición en servicios profesionales, más que de un resultado específico de M&A.

Este artículo desarrolla un modelo operativo para la diligencia debida comercial, la diligencia debida financiera y la diligencia debida tecnológica asistidas por AI, abreviadas CDD, FDD y TDD. El modelo comienza con la afirmación que se va a someter a prueba. Cada conclusión está vinculada a una fuente, versión, transformación, cálculo o prueba, excepción y revisor. El modelo separa el trabajo generativo del cálculo determinista y las pruebas reproducibles. Asigna personas identificadas por su nombre para resolver excepciones materiales y autorizar conclusiones.

Este artículo utiliza determinados principios de evidencia de auditoría de la PCAOB como analogía analítica para la FDD. Las normas de la PCAOB rigen las auditorías realizadas dentro de su ámbito; no rigen todos los mandatos de diligencia debida financiera. La analogía resulta útil porque distingue la cantidad de evidencia de su relevancia y fiabilidad, trata el material contradictorio como evidencia, vincula el carácter persuasivo de la evidencia con el riesgo y diferencia la indagación de la recalculación y la reejecución [4-6]. El programa de trabajo de la transacción y el deber contractual siguen siendo específicos de cada encargo.

Preguntas de investigación

El análisis aborda cinco preguntas:

1. ¿Qué tareas de CDD, FDD y TDD son adecuadas para la ingesta, extracción, comparación y redacción asistidas por AI?
2. ¿Qué cálculos, pruebas, juicios y autorizaciones deben seguir siendo deterministas o estar controlados por especialistas?
3. ¿Cómo puede un equipo de diligencia rastrear cada conclusión material hasta la evidencia y, a partir de una fuente modificada, seguir su impacto hasta las conclusiones afectadas?
4. ¿Qué métricas distinguen la reducción del tiempo transcurrido de la reducción del tiempo del revisor y de la ampliación de la cobertura?
5. ¿Qué controles de gobernanza, seguridad y derechos de decisión respaldan un despliegue de producción acotado?

Conclusión ejecutiva

Análisis de Matchpoint. AI cambia la capacidad de diligencia con más facilidad de la que cambia el umbral de evidencia. La oportunidad inmediata es el trabajo en paralelo: la ingesta controlada, la clasificación de primera pasada, la comparación de toda la población, la priorización de excepciones y la redacción con citas pueden funcionar mientras los especialistas investigan las cuestiones más materiales. La unidad operativa adecuada es una afirmación, no un documento. Un documento puede respaldar varias afirmaciones y una sola afirmación puede requerir muchos documentos, cálculos, pruebas y entrevistas.

Análisis de Matchpoint. Una implementación controlada consta de seis partes. Primera, el mandato se traduce en afirmaciones atómicas con una regla de materialidad y evidencia. Segunda, cada fuente se registra con identidad, versión, alcance y acceso. Tercera, la extracción y la clasificación crean hechos propuestos rastreables en lugar de conclusiones finales. Cuarta, motores deterministas realizan la aritmética y herramientas reproducibles ejecutan pruebas técnicas. Quinta, las excepciones se dirigen a un responsable conforme a una política de cierre definida. Sexta, un revisor autorizado firma la conclusión y el registro de decisiones conserva la base y las limitaciones.

Las palabras "sin perder rigor" describen un objetivo de control sin un resultado de rendimiento garantizado. Una prueba piloto debería comparar el flujo de trabajo asistido con una línea de base definida usando cobertura de fuentes, validez de las citas, fidelidad de cálculo, excepciones no resueltas, tiempo del revisor, tiempo transcurrido, retrabajo y rendimiento de incidencias. Las afirmaciones de calidad requieren resultados observados de esa prueba piloto. Los rendimientos de las transacciones quedan fuera de la evidencia disponible para este artículo.

Adopción, eficiencia y la brecha de medición

Qué establecen las encuestas actuales

El estudio de KPMG de 2026 es directamente pertinente porque sus encuestados eran responsables sénior de decisiones de transacciones. La encuesta informa del despliegue en diligencia debida, valoración, originación, ejecución, integración y cumplimiento. También describe un cambio en el alcance económico: un menor coste marginal de análisis puede hacer más viables la revisión de contratos más amplia, la evaluación comparativa competitiva y el análisis de patrones históricos [1]. Esta es evidencia de profesionales y de encuestas. Respalda una hipótesis sobre una cobertura ampliada. Un equipo de producción aún necesita medir la población real procesada, las excepciones revisadas y la precisión lograda.

La cifra de adopción de la encuesta debe leerse junto con su método. Los encuestados fueron 700; 519 eran de empresas y 181 de firmas de capital privado. El trabajo de campo se realizó del 19 de diciembre de 2025 al 27 de enero de 2026. La encuesta abarcó 20 países y jurisdicciones y 10 sectores. Los encuestados tenían responsabilidad sobre decisiones de M&A o participaban en ellas [1]. Por lo tanto, el 56 por ciento reportado describe esa muestra y la definición de la encuesta de despliegue agéntico de AI. No establece que el 56 por ciento de todos los equipos de operaciones utilicen un flujo de trabajo comparable.

Las conclusiones sobre eficiencia reportadas son útiles como señal de mercado. No son un certificado de control de transacciones. El comunicado de prensa indica que el 59 por ciento reportó una mejora de eficiencia superior al 10 por ciento en inteligencia competitiva y análisis de mercado. El diecisiete por ciento reportó una mejora de eficiencia superior al 25 por ciento en modelización de valoración y planificación de escenarios, y en modelización y seguimiento presupuestarios [2]. El material divulgado no proporciona una línea de base observada de forma independiente para cada encuestado, una definición estándar del trabajo ni una medida verificada de producción ajustada por calidad. Por lo tanto, el artículo utiliza las cifras para motivar la medición, no para fijar objetivos de Matchpoint.

Thomson Reuters ofrece una perspectiva más amplia de los servicios profesionales. Su encuesta fue en línea, incluyó a 1.514 encuestados en 27 países y preseleccionó a los participantes por su familiaridad con AI. La mayoría de los encuestados procedía de Estados Unidos, Reino Unido y Canadá. Las aplicaciones comunes incluían investigación, redacción y síntesis [3]. Estas tareas se parecen a partes de la cadena de producción de diligencia debida, en particular a la revisión inicial de documentos y la elaboración de informes. Las conclusiones sobre el ROI del informe indican que la medición formal puede ir por detrás del uso diario.

Cuatro formas diferentes de velocidad

Análisis de Matchpoint. Los equipos de diligencia debida deben distinguir cuatro magnitudes. El tiempo de procesamiento automático mide el tiempo empleado en ingerir o analizar una entrada definida. El tiempo del revisor registra el esfuerzo humano necesario para configurar, inspeccionar, corregir y aprobar el resultado. El tiempo transcurrido mide el tiempo calendario desde un evento de inicio definido hasta un evento de finalización definido. La ampliación de la cobertura registra fuentes, registros o pruebas adicionales completadas dentro de un presupuesto y un calendario comparables.

Un flujo de trabajo puede reducir el tiempo de procesamiento automático y aumentar el tiempo del revisor si los resultados generan muchas excepciones de bajo valor. Puede reducir el tiempo del revisor y dejar inalterado el tiempo transcurrido porque las respuestas de la dirección o las confirmaciones externas controlan la ruta crítica. Puede mantener el tiempo transcurrido mientras amplía la cobertura de la población. Cada resultado es económicamente diferente. Un cuadro de mando piloto debería registrarlos por separado.

El problema de la medición

Las conclusiones de Thomson Reuters sitúan la cuestión de la medición en el centro de la implementación. Cuando solo el 18 % de los encuestados indica que se recopila el ROI y el 40 % no sabe si se hace, las estadísticas de adopción aportan pruebas limitadas sobre el valor para el negocio [3]. Un equipo de transacciones necesita medidas vinculadas al propio programa de trabajo. Los recuentos genéricos de uso por parte de los empleados o de tokens consumidos no determinan la calidad de la diligencia debida.

Análisis de Matchpoint. La unidad principal de medición es el par de afirmación-procedimiento. Para cada afirmación significativa, el equipo registra la evidencia esperada, las fuentes recibidas, los procedimientos completados, las excepciones planteadas, las excepciones resueltas, los minutos del revisor, la fecha de finalización y el estado de la conclusión. Las medidas agregadas del programa se construyen a partir de estos registros. Esto permite al revisor identificar si un informe más rápido se debió a una mejora genuina del flujo de trabajo, a una reducción del alcance o a un umbral de evidencia más bajo.

Qué significa el rigor en la diligencia debida de transacciones

Suficiencia, relevancia y fiabilidad

La norma PCAOB AS 1105 describe la suficiencia como la cantidad de evidencia de auditoría y la idoneidad como su relevancia y fiabilidad [4]. La norma también señala que la evidencia incluye información que respalda y corrobora las afirmaciones de la dirección e información que las contradice. Estos son requisitos de auditoría dentro del alcance de la PCAOB. Análisis Matchpoint. Estas mismas distinciones constituyen una disciplina útil para el diseño de la diligencia debida.

Una sala de datos extensa puede ser insuficiente para una cuestión material. Diez versiones de una previsión de mercado preparada internamente pueden tener menos valor probatorio que un conjunto más pequeño de fuentes independientes, actuales y con perímetro coincidente. Una exportación del libro mayor puede ser completa como archivo e incompleta como población si se omiten entidades, periodos o diarios. Un escaneo de repositorio puede procesar todos los archivos y seguir siendo irrelevante para la arquitectura de producción si la revisión suministrada difiere del código desplegado.

Análisis Matchpoint. Por lo tanto, cada afirmación debería definir un umbral de evidencia en cuatro dimensiones:

• Cobertura: qué entidades, periodos, clientes, productos, repositorios o entornos están dentro del alcance.
• Relevancia: en qué medida la fuente y el procedimiento responden a la afirmación.
• Fiabilidad: independencia de la fuente, controles, originalidad, linaje y susceptibilidad a la alteración.
• Actualidad: la fecha en la que la evidencia es válida y el evento que provoca su expiración.

Evidencia ponderada por riesgo

La norma PCAOB AS 2301 vincula un mayor riesgo evaluado con una evidencia más persuasiva y exige procedimientos que aborden las afirmaciones relevantes [5]. También describe el escepticismo profesional como una mentalidad cuestionadora y una evaluación crítica de la evidencia. Análisis Matchpoint. Un flujo de trabajo de diligencia debida puede adaptar este principio mediante una puntuación de riesgo de la afirmación que rige la evidencia mínima y la antigüedad del revisor.

Las afirmaciones de alta materialidad pueden requerir una fuente independiente, un recálculo determinista, una revisión especializada o una prueba directa. Las afirmaciones de menor materialidad pueden cerrarse con una fuente interna documentada y una comprobación de plausibilidad. La puntuación no automatiza el juicio. Hace visible el nivel de trabajo previsto y permite que se aprueben desviaciones.

Indagación, extracción, recálculo y reejecución

Una declaración de entrevista es indagación. Un resumen AI de esa entrevista sigue siendo una manifestación derivada de la indagación. No se convierte en corroboración mediante una redacción fluida. AS 1105 establece que la indagación por sí sola es insuficiente para sustentar una conclusión de auditoría dentro del alcance de la norma [4]. Un mandato de transacción puede aplicar un umbral diferente. La distinción subyacente sigue siendo valiosa.

El recálculo verifica la exactitud matemática. La reejecución ejecuta procedimientos o controles de forma independiente [4]. Análisis de Matchpoint. FDD debe usar recálculo determinista para puentes y ratios materiales. TDD debe usar pruebas reproducibles cuando el acceso y el mandato lo permitan. CDD puede usar triangulación independiente de mercado, análisis de datos de clientes, evidencia contractual y entrevistas con distintos grupos de interés.

El grafo de evidencia

Análisis Matchpoint. Un informe de diligencia debida debería funcionar como una vista sobre un grafo de evidencia. El grafo contiene nodos para aserciones, fuentes, versiones de fuentes, hechos extraídos, transformaciones, cálculos, pruebas, excepciones, conclusiones y revisores. Las aristas registran relaciones como respalda, contradice, derivado de, probado por, sustituye, revisado por y cerrado por.

Esta estructura admite dos formas de trazabilidad. La trazabilidad hacia atrás va de una frase del informe a la conclusión, el procedimiento, el hecho y la fuente. La trazabilidad hacia adelante parte de una fuente modificada o retirada e identifica cada hecho, cálculo, excepción y frase del informe afectados. Las carpetas y notas al pie convencionales ofrecen una trazabilidad hacia atrás parcial. Un grafo añade visibilidad de dependencias.

Un modelo operativo único para tres disciplinas diferentes

CDD, FDD y TDD examinan distintas familias de afirmaciones. Pueden compartir un sistema de ingesta, evidencia, excepciones y aprobación final. La infraestructura compartida reduce la duplicación y preserva los límites profesionales.

Secuencia común

Análisis Matchpoint. La secuencia común consta de ocho etapas:

1. Mandato: definir preguntas de decisión, alcance, materialidad, jurisdicciones, confianza y exclusiones.
2. Mapa de afirmaciones: convertir preguntas en afirmaciones comprobables con umbrales de evidencia.
3. Registro de fuentes: calcular el hash, identificar, fechar, clasificar y definir permisos de cada objeto de origen.
4. Extracción controlada: generar hechos propuestos con ubicaciones de origen y metadatos de confianza.
5. Análisis: ejecutar cálculos deterministas, pruebas reproducibles y triangulación de fuentes.
6. Priorización de excepciones: priorizar contradicciones, evidencia faltante, desviaciones y pruebas fallidas.
7. Revisión de especialistas: validar métodos, evidencia y criterio bajo la autoridad designada.
8. Registro de decisión: publicar la conclusión, las limitaciones, las cuestiones no resueltas y la aprobación final.

Controles compartidos

Los controles compartidos incluyen acceso por rol y operación; segregación de espacios de trabajo confidenciales; hashes y versiones de las fuentes; controles contra la pérdida de datos; inventario aprobado de modelos y herramientas; versionado de prompts y configuraciones; registros; conjuntos de evaluación; titularidad de excepciones; retención; procedimientos de incidentes; y autorización humana. El RMF AI de NIST proporciona una estructura voluntaria de Gobernar, Mapear, Medir y Gestionar para este trabajo [7]. El Perfil AI generativo de NIST identifica riesgos de confabulación, privacidad, integridad de la información, seguridad y configuración humano-AI directamente relevantes para el trabajo con alta carga de evidencia [8].

Límites profesionales diferenciados

El modelo operativo común no fusiona las responsabilidades profesionales. Los especialistas comerciales deciden si la evidencia de mercado y de clientes respalda la tesis de inversión. Los especialistas en contabilidad y servicios de transacción deciden el tratamiento de los resultados, la deuda, el capital circulante, las cuestiones fiscales y contables. Los especialistas en tecnología y ciberseguridad interpretan la arquitectura, la seguridad, la entrega y la deuda técnica. La asesoría jurídica determina el derecho aplicable y las conclusiones jurídicas. El comité de inversiones es responsable de la decisión de inversión.

Diligencia debida comercial

Familias de afirmaciones

Análisis Matchpoint. Las afirmaciones comerciales suelen referirse al tamaño y crecimiento del mercado; la definición del segmento; las necesidades y el cambio de los clientes; la concentración y la retención; la diferenciación del producto; el poder de fijación de precios; la ruta al mercado; la respuesta competitiva; la exposición regulatoria; y la credibilidad de la previsión comercial. Cada afirmación requiere un perímetro. Una tasa de crecimiento sin geografía, período, segmento, moneda y base nominal o real es evidencia incompleta.

AI es adecuado para el descubrimiento de fuentes, la extracción estructurada, la alineación de taxonomías, la codificación de entrevistas, la comparación de términos contractuales y la síntesis de un primer borrador. Puede alinear afirmaciones entre informes de mercado e identificar dónde difieren las definiciones. Puede agrupar temas de entrevistas con clientes y vincular cada tema con la transcripción subyacente. Puede comparar afirmaciones sobre productos con características documentadas y compromisos contractuales.

Triangulación de mercado

Análisis de Matchpoint. Un modelo de mercado debe conservar la definición y la fecha de cada fuente. La capa de AI puede mapear las taxonomías de las fuentes a la taxonomía de la transacción y señalar categorías no coincidentes. La capa determinista realiza conversiones y agregación. El especialista decide si un mapeo es económicamente válido.

Por ejemplo, una sociedad objetivo puede describir su mercado abordable como software empresarial regional. Las fuentes externas pueden clasificar los ingresos por sector, tamaño del cliente, modelo de despliegue o geografía. Un resumen generado puede ocultar estas diferencias. El grafo de evidencia debe conservarlas. La conclusión puede presentar un rango, un escenario o una limitación de alcance cuando las definiciones no puedan conciliarse.

Evidencia de clientes e ingresos

Los datos a nivel de cliente pueden respaldar el análisis de concentración, retención, cohortes, venta cruzada y precios. La capa de AI puede proponer la normalización de nombres de clientes, la extracción de campos contractuales y la codificación de temas. Los cálculos deterministas deben producir concentración de ingresos, retención bruta y neta, puentes de cohortes y análisis de mezcla de precio-volumen conforme a reglas documentadas.

Análisis de Matchpoint. Toda propuesta de normalización debe conservar los valores originales y la regla de mapeo. Las fusiones de clientes materiales, los socios de canal, los revendedores y los ingresos pass-through requieren revisión de un especialista. Un modelo que agrupa nombres similares puede crear una familia de clientes plausible pero incorrecta. El flujo de trabajo debe dirigir los mapeos inciertos o de alto valor a una cola de excepciones.

Competencia y regulación

El análisis de competencia es específico de cada jurisdicción. Las Directrices de Fusión de 2023 del DOJ y la FTC de EE. UU. proporcionan un marco oficial de EE. UU. y herramientas analíticas, económicas y probatorias [11]. No definen el análisis legal de cada operación. El asesor jurídico debe determinar las jurisdicciones pertinentes, los regímenes de notificación y las conclusiones jurídicas.

Análisis de Matchpoint. AI puede ayudar construyendo un conjunto fechado de evidencia de competidores, comparando afirmaciones sobre productos y precios y rastreando los datos de entrada de cuota de mercado. Debe etiquetar la procedencia de las fuentes y conservar la evidencia discrepante. La calificación jurídica y las decisiones sobre privilegio corresponden al asesor jurídico.

Resultado de la CDD

Un resultado controlado de la CDD incluye la afirmación, el perímetro, la evidencia recibida, el método, el hallazgo, la evidencia contraria, la sensibilidad, la limitación y el revisor. El informe puede entonces distinguir entre una observación histórica verificada, una estimación de la dirección, una previsión externa y un escenario de Matchpoint. Esta separación es especialmente importante cuando el caso de inversión depende del crecimiento futuro.

Diligencia debida financiera

Linaje de datos y cuadre

La FDD comienza con el control del universo. El equipo debe identificar entidades, libros contables, periodos, monedas, estructuras de cuentas, ajustes de consolidación y la relación entre las cuentas de gestión, los estados financieros legales y los cuadros de la transacción. AI puede proponer mapeos de campos e identificar posibles duplicados o periodos faltantes. Un proceso determinista debe contar registros, totalizar campos de control, calcular el hash de las entradas y conciliar las salidas.

La norma PCAOB AS 2301 establece, dentro del alcance de la auditoría, que los procedimientos sustantivos al cierre del período incluyen la conciliación de los estados financieros con los registros contables subyacentes y el examen de los ajustes significativos [5]. Análisis de Matchpoint. Un programa de trabajo de diligencia debida puede utilizarlo como analogía de diseño: las métricas derivadas deben conectarse con la población contable suministrada y todas las transformaciones significativas deben ser visibles.

Calidad de los beneficios

AI puede extraer ajustes EBITDA propuestos por la dirección, clasificar documentos justificativos y comparar narrativas entre versiones. Puede sugerir si una partida se asemeja a un coste no recurrente, un ahorro recurrente, un gasto de propietario, un ajuste de ingresos o una diferencia de política contable. El especialista determina la categoría del ajuste, el respaldo probatorio, el período, el efecto fiscal y el tratamiento.

Análisis de Matchpoint. El puente determinista debe comenzar con una medida definida de resultados reportados, aplicar ajustes identificados por separado, preservar las reversiones y calcular la medida ajustada. Cada ajuste se conecta con la evidencia de origen y el estado del revisor. La prosa generada explica un puente calculado; no calcula el puente.

Capital circulante y deuda neta

Los cuadros de capital circulante y deuda neta contienen frecuentemente juicios de clasificación, patrones estacionales, cuestiones de corte y preguntas sobre la definición de la operación. AI puede extraer definiciones contractuales y proponer mapeos de cuentas. El código determinista o la lógica controlada de hojas de cálculo deben calcular los saldos mensuales, los rangos de normalización, la estacionalidad, las partidas asimilables a efectivo y a deuda y los casos de sensibilidad.

El contrato de compraventa y el asesoramiento contable aplicable rigen la definición de la transacción. Un modelo puede comparar cláusulas y cuadros en borrador. Los asesores legales y los especialistas financieros aprueban su interpretación. La NIIF 3 establece principios para el reconocimiento y la medición de los activos y pasivos adquiridos, el fondo de comercio o la compra en condiciones ventajosas y la información a revelar relacionada cuando la norma resulta aplicable [14]. La contabilidad de la transacción permanece separada del modelo de diligencia debida.

Previsión y conversión de efectivo

La diligencia debida de previsiones conecta los impulsores históricos con las hipótesis de la dirección. AI puede asignar hipótesis narrativas a las entradas del modelo y señalar descripciones incoherentes. El análisis determinista debe calcular la conversión histórica, los puentes de impulsores, las sensibilidades y los resultados de escenarios. El equipo comercial contrasta las hipótesis de demanda y precios; el equipo financiero contrasta el margen, el capital circulante, las inversiones en capital y las consecuencias en efectivo.

Jerarquía de evidencia y escepticismo

Análisis de Matchpoint. Una jerarquía de evidencia financiera podría clasificar de forma distinta, en función de la afirmación, la confirmación directa de un banco o de un tercero, los datos de sistemas controlados, los contratos y facturas originales, los cuadros de la dirección, las entrevistas y los resúmenes generados. La jerarquía es específica de cada encargo. Debe documentarse antes de formular conclusiones.

La guía del PCAOB establece que un mayor riesgo exige evidencia más persuasiva y que la indagación por sí sola no proporciona evidencia suficiente para las conclusiones de auditoría citadas [4,5]. En un contexto de diligencia debida financiera (FDD), la lección práctica es preservar la distinción entre explicación y corroboración. Los comentarios de la dirección pueden explicar una variación. Puede que se requieran registros de origen, cálculos o evidencia independiente para cerrarla conforme al programa de trabajo acordado.

Diligencia debida tecnológica y de AI

Dominios de evidencia tecnológica

Análisis de Matchpoint. La diligencia debida técnica (TDD) abarca la arquitectura de producto, los repositorios de software, la nube y la infraestructura, la ciberseguridad, la arquitectura de datos, los procesos de ingeniería y lanzamiento, la resiliencia del servicio, las dependencias de terceros, la propiedad intelectual, las licencias, la organización técnica y el coste de escalado. Cuando la entidad objetivo desarrolla o despliega AI, el alcance se amplía a los modelos, los datos de entrenamiento y evaluación, los prompts, las fuentes de recuperación, los conjuntos de evaluación, los controles de seguridad, la monitorización, las dependencias de proveedores y la gestión de cambios de modelos.

La evidencia documental es necesaria e incompleta. Los diagramas de arquitectura describen la estructura prevista. Las exportaciones de configuración y la evidencia del repositorio muestran la estructura implementada. Las pruebas y los registros operativos muestran el comportamiento observado en un momento y entorno determinados. Las entrevistas explican las decisiones y limitaciones conocidas. El informe debe preservar estas clases de evidencia.

Trazabilidad del desarrollo seguro y de la cadena de suministro

NIST SP 800-218A complementa las prácticas de desarrollo seguro de software con consideraciones específicas de AI y está destinado a productores de modelos, productores de sistemas AI y adquirentes [9]. La guía de seguridad de AI liderada por el NCSC organiza las prácticas en diseño seguro, desarrollo, despliegue y operación y mantenimiento. También aborda la cadena de suministro, la documentación, los modelos y los datos, el registro de eventos y la gestión de incidentes [10].

Análisis de Matchpoint. Un registro de diligencia debida de una empresa objetivo AI debería identificar el modelo o servicio, el proveedor, la versión, el uso previsto, los componentes del sistema, el estado de entrenamiento o ajuste fino, la evidencia de evaluación, las fuentes de recuperación, los derechos sobre los datos, el entorno de despliegue, el acceso, la monitorización, los incidentes y el proceso de cambio. Cuando el acceso lo permita, el equipo debería vincular este inventario con repositorios, manifiestos, fichas de modelo, listas de materiales, configuración, pruebas y registros.

Pruebas reproducibles

AI puede proponer casos de prueba, explicar resultados y clasificar hallazgos. Un registro de prueba reproducible debería conservar la revisión del objetivo, el entorno, el comando o procedimiento, la versión de la herramienta, las entradas, la marca temporal, la salida sin procesar, la regla de severidad y el revisor. La reproducción puede estar limitada por el acceso, la seguridad de producción, la sensibilidad de los datos o el tiempo. El informe debería indicar esas limitaciones.

Un hallazgo de un escáner de vulnerabilidades no establece por sí mismo la explotabilidad ni el impacto en el negocio. Un escaneo limpio no establece la ausencia de vulnerabilidades. La revisión especializada conecta el resultado observado con la arquitectura, la exposición, los controles compensatorios y la materialidad de la operación.

Divulgaciones de datos, privacidad y ciberseguridad

El Perfil de AI generativa del NIST identifica riesgos de privacidad y seguridad de la información, incluidos filtración, inferencia e interacción maliciosa con sistemas AI [8]. La guía del NCSC recomienda un tratamiento seguro de modelos, datos, infraestructura y registros [10]. La guía actual de cumplimiento para pequeñas entidades de la SEC resume los requisitos de divulgación de incidentes cibernéticos y de gestión de riesgos, estrategia y gobernanza de las empresas cotizadas estadounidenses [15]. Su relevancia depende de la condición de emisor y de la jurisdicción.

El marco federal de datos personales de UAE puede ser relevante para una operación o sala de datos de UAE. La página oficial de la legislación tuvo acceso restringido para el navegador de investigación durante este estudio, por lo que este artículo no formula ninguna proposición jurídica detallada a partir de su texto [13]. Un asesor jurídico cualificado debería determinar los requisitos federales, de zona franca, sectoriales y transfronterizos.

La exposición a AI como cuestión de inversión

La diligencia debida tecnológica ahora incluye la exposición de la empresa objetivo a AI como fuerza competitiva y dependencia operativa. El análisis de PwC de las 100 mayores operaciones corporativas de M&A en 2025 señala que aproximadamente un tercio citó AI en la justificación estratégica [17]. Esta muestra seleccionada no representa al mercado en su conjunto. Indica que AI puede ser tanto una herramienta de ejecución como un objeto de diligencia debida.

Análisis de Matchpoint. La cuestión de inversión tiene al menos cuatro partes: si AI cambia la disposición de los clientes a pagar; si reduce las barreras de entrada o la diferenciación; si la empresa objetivo depende de proveedores concentrados de modelos o de nube; y si la empresa objetivo cuenta con derechos, controles y evidencia para su propio sistema AI. Estas cuestiones requieren colaboración comercial, técnica y jurídica.

Arquitectura controlada

Plano de datos de la transacción

Matchpoint análisis. El plano de datos de la operación almacena objetos de origen originales y derivados registrados dentro de un límite de seguridad específico de la operación. Cada objeto recibe un identificador, un hash criptográfico, una fuente, una fecha de recepción, una fecha del documento, una entidad, un periodo, una clase de confidencialidad y una regla de acceso. Las nuevas versiones no sobrescriben las versiones antiguas. El sistema registra la sustitución y las conclusiones afectadas.

Los datos sensibles personales, de clientes, de empleados, de precios y técnicos solo deben entrar en sistemas aprobados en el marco del mandato y de la legislación aplicable. Las herramientas de consumo públicas pueden estar fuera del límite aprobado. La implementación debe documentar la retención del proveedor del modelo, el uso para entrenamiento, la región, los subencargados y el acceso. Los responsables jurídicos y de seguridad de la información determinan la configuración aceptable.

Ingesta y recuperación

Los archivos se escanean, procesan e indexan conforme a una lista de permitidos. El flujo de ingesta debe conservar las referencias de página, celda, registro o ubicación de código. La extracción de tablas requiere una validación específica porque la estructura visual puede perderse. La inyección de prompts y el contenido malicioso incrustado se tratan como amenazas de entrada. La recuperación solo devuelve fuentes autorizadas para el usuario y la operación.

Matchpoint análisis. La respuesta generada debe incluir referencias de evidencia a nivel de afirmación. Una cita a un documento completo de 200 páginas puede ser demasiado gruesa para una conclusión material. La interfaz debe permitir que un revisor abra el pasaje exacto, la fila de la tabla, la entrada de cálculo o el registro de prueba.

Analítica determinista

La capa determinista realiza aritmética, agregación, conciliación y análisis estadístico definido. Debe estar bajo control de versiones y someterse a pruebas. Las entradas y salidas conservan hashes y marcas temporales. Los cálculos materiales tienen totales esperados, comprobaciones de razonabilidad y estado de conciliación.

El modelo de lenguaje puede proponer lógica de código o de fórmulas. El código aprobado ejecuta el cálculo. Un especialista revisa el método y el resultado material. Este límite aborda un riesgo central: las explicaciones fluidas pueden hacer que una cifra incorrecta parezca creíble.

Generación y aprobación

La capa de generación produce borradores a partir de evidencia autorizada y resultados deterministas. Los prompts especifican la pregunta, el perímetro de evidencia, las citas requeridas, la inferencia prohibida y el esquema de salida. Se registran el modelo y la configuración. Las afirmaciones no respaldadas, los conflictos entre fuentes y la evidencia insuficiente deben activar excepciones.

NIST describe la confabulación como una salida plausible que puede ser factualmente inexacta o internamente incoherente, y señala que las citas generadas pueden ser falsas [8]. También identifica el sesgo de automatización, por el cual las personas confían en exceso en la salida automatizada. Por lo tanto, una interfaz de revisión debe mostrar la evidencia antes del pulido estilístico y exigir un estado de conclusión explícito.

Cola de excepciones

Matchpoint análisis. Las excepciones incluyen poblaciones de origen faltantes, conciliaciones fallidas, evidencia contradictoria, extracción de baja confianza, entidades no coincidentes, valores atípicos materiales, pruebas fallidas, fuentes caducadas, violaciones de permisos y cuestiones legales o contables no resueltas. Cada excepción tiene gravedad, propietario, fecha de vencimiento, estado, tipo de resolución y evidencia.

Los tipos de resolución permitidos son: corroborado, corregido, fuera de alcance, aceptado, escalado o abierto. Un informe debe revelar las excepciones materiales abiertas o aceptadas. Eliminar una excepción de la interfaz no constituye una resolución.

Mapa de riesgos y controles

Confabulación y error de citación

El texto generado puede contener hechos, lógica o citas no respaldados [8]. Los controles incluyen recuperación desde un corpus aprobado, citas a nivel de afirmación, apertura de fuentes, hechos deterministas, reglas de abstención, conjuntos de evaluación y aprobación del revisor. Las conclusiones materiales deben fallar en modo cerrado cuando falte la evidencia requerida.

Error de alcance y población

Un resultado aparentemente completo puede basarse en un conjunto de fuentes incompleto. Los controles incluyen manifiestos de entidad-periodo, recuentos de fuentes, conciliación de la población esperada, inventario de hashes de archivos, detección de duplicados y alertas de cambios. Las medidas de cobertura utilizan la población esperada como denominador.

Error numérico

Los modelos de lenguaje pueden aplicar mal la aritmética, las unidades o los periodos. Los controles incluyen cálculo determinista, comprobaciones de tipos y unidades, totales de control, recálculo independiente y lógica versionada. La prosa del informe cita el registro de cálculo.

Privacidad, confidencialidad y privilegio profesional

Las salas de transacciones contienen información sensible. Los controles incluyen aislamiento por operación, privilegio mínimo, puntos finales aprobados, configuraciones de retención, evaluación regional y de transferencias, protocolos de privilegio, redacción de datos cuando esté autorizada, registros y respuesta a incidentes. El asesor jurídico determina el alcance legal.

Inyección de prompts y contenido malicioso

Los documentos y las fuentes web pueden contener instrucciones diseñadas para redirigir un sistema AI. Los controles incluyen saneamiento del contenido, separación de datos e instrucciones, listas de herramientas permitidas, permisos restringidos, validación de salidas y revisión humana. Una fuente de recuperación no recibe autoridad de ejecución.

Cambio de modelo y proveedor

El comportamiento del modelo, los términos del proveedor y los componentes pueden cambiar. Los controles incluyen inventario, registro de versiones o lanzamientos, evaluación ante cambios, alternativas aprobadas, evaluación de concentración y procedimientos de reversión. Los materiales de NIST y del NCSC respaldan la gobernanza del ciclo de vida y de la cadena de suministro [7-10].

Dependencia excesiva por parte de las personas

NIST identifica el sesgo de automatización como un riesgo de configuración humano-AI [8]. Los controles incluyen capacitación de revisores, interfaces centradas en la evidencia, comprobaciones independientes para afirmaciones de alto riesgo, incertidumbre explícita y auditoría del comportamiento de aprobación. Los revisores sénior deben ser responsables de familias de conclusiones definidas.

Derechos de revisión y decisión humanos

Autoridad designada

Análisis de Matchpoint. Toda afirmación material debe tener un preparador, un revisor y un responsable de la conclusión. El preparador puede operar el flujo de trabajo AI. El revisor examina la evidencia y el método. El responsable de la conclusión acepta la declaración para el informe. Los roles pueden combinarse para trabajos de bajo riesgo en el marco del mandato. Las conclusiones de alto riesgo pueden requerir un revisor independiente o sénior.

Escepticismo profesional en la interfaz

El flujo de trabajo debe hacer visible la contradicción. Las normas de la PCAOB describen la evidencia que respalda y contradice las afirmaciones de la dirección y vinculan el escepticismo profesional con la evaluación crítica [4,5]. Análisis de Matchpoint. Una interfaz debe mostrar conjuntamente la evidencia de apoyo, la evidencia contraria, las lagunas no resueltas y la fiabilidad de las fuentes. De lo contrario, una única narrativa generada puede suprimir el desacuerdo.

Derechos de decisión según el tipo de resultado

Certificado de aprobación

Análisis Matchpoint. El registro de emisión del informe debe identificar la versión del mandato, la fecha de corte de las fuentes, las excepciones materiales abiertas, las versiones de modelos y herramientas, las versiones de cálculo y pruebas, los revisores, la hora de aprobación y la distribución. Si el repositorio de datos cambia después de la fecha de corte, la trazabilidad prospectiva identifica las conclusiones que deben actualizarse.

Diseño y medición del piloto

Línea base antes de la automatización

Un piloto requiere una línea base que utilice la misma definición de trabajo. El equipo debe seleccionar un módulo acotado, definir su población de fuentes esperada, procedimientos, resultados y materialidad, y medir el tiempo transcurrido y el tiempo de revisión actuales. Los registros históricos de tiempo pueden estar incompletos o ser incoherentes. Cuando la línea base se base en estimaciones de la dirección, debe etiquetarse como `Supuestos hipotéticos de modelización.` hasta que se observen.

Piloto en modo sombra

Análisis Matchpoint. El modo sombra ejecuta el flujo de trabajo asistido por AI paralelamente al proceso convencional autorizado. El resultado asistido no controla el informe en producción. Los revisores comparan la cobertura de fuentes, los hechos, los cálculos, las excepciones y las conclusiones. Se necesita un conjunto de referencia etiquetado para estimar la precisión y los falsos negativos.

Los primeros módulos adecuados incluyen la extracción de campos de contratos, la normalización de nombres de clientes, la confección del manifiesto del repositorio de datos, la indexación de evidencia de ajustes recurrentes o el inventario de dependencias. El módulo debe ser suficientemente material para probar los controles y suficientemente acotado para revisarlo por completo.

Diccionario de medición

Puertas de fase

Matchpoint análisis. Un piloto avanza solo cuando se cumplen las puertas aprobadas. La puerta 1 confirma los datos y la autoridad legal. La puerta 2 confirma los controles de fuentes y cálculo. La puerta 3 confirma la precisión y el rendimiento en excepciones sobre el benchmark. La puerta 4 confirma el flujo de trabajo del revisor y la preparación ante incidentes. La puerta 5 autoriza la producción controlada para un módulo concreto. La puerta 6 revisa la evidencia de producción antes de la ampliación del alcance.

El piloto debe definir condiciones de parada, como divulgación no autorizada, divergencia material en los cálculos, evidencia inaccesible, comportamiento inestable del modelo o rendimiento inaceptable en falsos negativos sobre el benchmark. Las condiciones de parada son controles operativos y requieren aprobación local.

Comprar, desarrollar o externalizar

Dimensiones de decisión

La elección operativa depende de la confidencialidad, la complejidad de las fuentes, la integración, los métodos personalizados, la capacidad de ingeniería interna, las necesidades de aseguramiento, la concentración de proveedores, la velocidad y el coste total. Una plataforma comercial de data room o de diligencia debida puede ofrecer una ingesta y colaboración maduras. El desarrollo interno puede respaldar métodos propietarios y la integración. Un proveedor de servicios puede combinar tecnología con revisión especializada.

El material del proveedor puede describir capacidades. No establece por sí mismo la precisión ni el valor económico. La página de servicios de diligencia debida tecnológica de PwC es una descripción de un profesional sobre los ámbitos actuales [18]. Un comprador debe evaluar el producto real, el despliegue, los controles, el contrato y la evidencia frente a su mandato.

Preguntas de diligencia debida a proveedores

La diligencia debida a proveedores debe cubrir la retención de datos y el uso para entrenamiento; la tenencia y el aislamiento; el cifrado y las claves; la administración de accesos; los subencargados; las regiones y transferencias; el inventario de modelos y componentes; el registro de prompts y salidas; los cambios de versión; la evaluación; el historial de incidentes; la resiliencia; la eliminación; la exportación; los derechos de auditoría; la propiedad intelectual; la responsabilidad; y el soporte para la terminación. AI los proveedores que desarrollan modelos también deben evaluarse con respecto a prácticas relevantes de desarrollo seguro y cadena de suministro [9,10].

Caso económico

Matchpoint análisis. El caso económico debe comparar el coste de implementación y operación con el tiempo de los revisores, el tiempo transcurrido cuando sea económicamente relevante, la ampliación de cobertura, el retrabajo evitado y el rendimiento de hallazgos útiles para la toma de decisiones. El coste de la licencia por sí solo subestima la necesidad operativa. El diseño de controles, la preparación de datos, la revisión especializada, la evaluación y la gestión del cambio son costes recurrentes.

Matchpoint Hoja de ruta de implementación

Fase 0: mandato y autoridad

Definir el módulo de transacción, las jurisdicciones, las clases de datos, la confianza, la materialidad, los usuarios de resultados y los derechos de decisión. Obtener las aprobaciones de seguridad de la información, privacidad, legal y del encargo. Registrar los sistemas prohibidos y las acciones prohibidas.

Fase 1: fundamento de aserciones y evidencia

Crear el mapa de aserciones, el manifiesto de fuentes, la taxonomía de evidencia, las categorías de excepciones y los roles de aprobación. Establecer cálculos deterministas o pruebas reproducibles para el módulo seleccionado. Medir la línea base convencional.

Fase 2: piloto en modo sombra

Ejecute el flujo de trabajo asistido sin autorización de producción. Cree un conjunto de evaluación etiquetado a partir de fuentes representativas y casos límite conocidos. Revise todos los resultados materiales. Registre citas, errores, excepciones omitidas, tiempo de revisión y retrabajo.

Fase 3: producción controlada

Autorice un módulo designado, un grupo de usuarios, un límite de datos y una versión del modelo. Mantenga las conclusiones de los informes sujetas a aprobación humana. Supervise las medidas de calidad y seguridad. Conserve la vía de contingencia convencional.

Fase 4: integración entre flujos de trabajo

Conecte las afirmaciones de CDD, FDD y TDD cuando la tesis de inversión dependa de hechos compartidos. Entre los ejemplos se incluyen la retención de clientes y la calidad de los ingresos; la hoja de ruta del producto y el crecimiento previsto; la arquitectura cloud y el margen bruto; la remediación cibernética y la deuda neta o el ajuste de precio. Mantenga la responsabilidad de los especialistas sobre sus conclusiones.

Fase 5: aprendizaje de la cartera

Almacene estructuras precedentes desidentificadas o autorizadas, taxonomías de incidencias y casos de evaluación sujetos a confidencialidad y contrato. Compare el rendimiento de los procesos entre encargos utilizando definiciones coherentes. El aprendizaje de la cartera no debe exponer la evidencia confidencial de una operación a otra.

Matchpoint Análisis de escenarios

Estado del escenario

El siguiente escenario es `[Matchpoint análisis de escenarios]`. Es ilustrativo, no verificado y no describe un encargo Matchpoint observado. Los valores deben sustituirse por una línea base aprobada y resultados del piloto antes de cualquier declaración comercial.

Módulo ilustrativo

Suponga que un flujo de trabajo de adquisición de mercado medio recibe 1.200 objetos de origen de CDD, FDD y TDD. El piloto selecciona tres módulos acotados: extracción de campos de contratos de clientes; indexación de evidencia de ajustes EBITDA; e inventario de dependencias de software. El programa de trabajo convencional y la materialidad permanecen fijos. Los especialistas conservan todas las conclusiones.

El flujo de trabajo asistido registra todos los objetos recibidos, realiza una extracción controlada, vincula los hechos propuestos con las ubicaciones de origen y encamina las excepciones. El código determinista calcula la concentración de clientes y los puentes de ajuste. Las herramientas aprobadas generan el inventario de dependencias. Los revisores inspeccionan todos los resultados de alta materialidad y una muestra definida de resultados de menor materialidad.

Cuadro de mando ilustrativo

Regla de decisión

Análisis de Matchpoint. La aprobación para producción requiere una calidad de evidencia satisfactoria, la aprobación de seguridad de la información, una carga de trabajo aceptable para los revisores y una respuesta a incidentes probada. Un ahorro de tiempo no compensa un control de calidad o seguridad no superado. La ampliación de cobertura puede justificar la adopción incluso cuando el tiempo transcurrido no cambia, sujeto a un caso económico aprobado.

Limitaciones y agenda de investigación

Este artículo tiene seis limitaciones materiales. Primera, la evidencia más directamente pertinente sobre adopción y eficiencia son datos de encuestas autoinformados. No observa de forma independiente el tiempo de ciclo de las transacciones, los errores, la calidad ni los rendimientos. Segunda, la muestra de Thomson Reuters abarca varias profesiones y no aísla las métricas principales para la diligencia debida de transacciones. Tercera, el artículo utiliza los principios de auditoría del PCAOB por analogía; un mandato de diligencia debida financiera (FDD) no es una auditoría legal y puede tener distintos objetivos, umbrales de evidencia y niveles de confianza.

Cuarta, los sistemas AI, las condiciones de los proveedores y los controles empresariales cambian. Un artículo fechado en julio de 2026 no puede sustituir la diligencia debida actual sobre proveedores y configuración. Quinta, los requisitos legales, de privacidad, contables, fiscales, de competencia y de divulgación dependen de las partes, la estructura de la transacción y la jurisdicción. Este artículo no constituye asesoramiento profesional. Sexta, el modelo operativo y el escenario de Matchpoint son propuestas analíticas. Sus efectos sobre la productividad y la calidad requieren evidencia de un piloto controlado.

La investigación futura debería reportar el tiempo ajustado por calidad por módulo de diligencia debida; comparar la extracción de toda la población con el muestreo especializado; construir benchmarks de excepciones etiquetados; estudiar la dependencia excesiva de los revisores y el diseño de interfaces; medir el coste de mantenimiento del grafo de evidencia; analizar arquitecturas transfronterizas de salas de datos; y examinar si la visibilidad más temprana de los problemas cambia el precio, la estructura, las condiciones o los planes posteriores al cierre. El análisis de retorno de las transacciones requeriría controles cuidadosos de los factores de selección, mercado y ejecución.

Conclusión

La diligencia debida asistida por AI ya es visible en la práctica de mercado divulgada. La encuesta de KPMG indica adopción en diligencia debida y valoración, y eficiencia declarada por los encuestados en tareas analíticas [1,2]. Thomson Reuters documenta una adopción amplia en servicios profesionales y una base declarada mucho menor de medición formal del ROI [3]. La combinación respalda una pregunta de implementación disciplinada: ¿cómo debería diseñarse y medirse el flujo de trabajo?

Análisis de Matchpoint. La respuesta comienza con afirmaciones y evidencia. Registre la población de origen. Preserve la procedencia y la contradicción. Utilice AI para la ingesta, extracción, comparación, triaje y redacción controladas. Utilice sistemas deterministas para los cálculos financieros y herramientas reproducibles para las pruebas técnicas. Dirija la incertidumbre y los fallos a una cola de excepciones con responsable asignado. Asigne especialistas y responsables de decisión autorizados a las conclusiones.

El sistema resultante puede someterse a prueba. La cobertura de fuentes, la validez de las citas, la fidelidad de los cálculos, el rendimiento de las excepciones, el tiempo de los revisores, el tiempo transcurrido, el retrabajo y el rendimiento de los hallazgos crean un registro medible. Las afirmaciones sobre compresión de tiempos o calidad pueden entonces fundamentarse en el piloto designado. Hasta que exista esa evidencia, siguen siendo hipótesis.