← Todos los artículos7 de noviembre de 2026

Una auditoría que no puede cambiar el resultado es una ceremonia

Dos de las auditorías electorales más celebradas en la historia reciente estadounidense no pudieron cambiar un solo resultado. Eso no es una característica — es una confesión.

Es la mañana del 8 de diciembre de 2007, y un informe acaba de llegar al escritorio de Jennifer Brunner, Secretaria de Estado de Ohio. Nueve semanas de trabajo de equipos de la Universidad Estatal de Pensilvania, la Universidad de Pensilvania y WebWise Security, Inc. — equipos a los que se les entregó el código fuente real y el equipo de los sistemas de votación utilizados en todo Ohio. Su conclusión, aplicada a cada sistema que estudiaron, no es ambigua.

Todos los sistemas estudiados poseen fallas críticas de seguridad que hacen que sus controles técnicos sean insuficientes para garantizar una elección confiable.

No algunos. Todos. El informe EVEREST — Evaluation and Validation of Election-Related Equipment, Standards and Testing — documentó fallas compartidas: ataques internos que el software no podía detener, criptografía aplicada incorrectamente, registros de auditoría que podían ser falsificados o borrados por las mismas personas que se suponía debían monitorear. En el caso del sistema ES&S, el informe señaló que nunca había recibido anteriormente una revisión de seguridad detallada del código fuente y un análisis de equipo rojo.

Las elecciones de Ohio se habían llevado a cabo con estas máquinas. ¿Y las auditorías destinadas a detectar problemas con esas máquinas? En cada condado del estado, no eran vinculantes. El recuento se mantuvo independientemente de lo que encontraran.

Esa es la brecha de la que trata este artículo.

Lo que "auditoría no vinculante" realmente significa

Una auditoría que no puede cambiar el resultado no es una salvaguarda. Es una ceremonia.

La palabra "auditoría" tiene un peso enorme. Implica escrutinio, responsabilidad, la posibilidad de corrección. La utilizamos en finanzas porque una auditoría fallida detiene algo — puede anular un conjunto de cuentas, desencadenar una reafirmación, terminar una carrera. Cuando los funcionarios electorales dicen "realizamos una auditoría poselectoral", la mayoría de la gente asume que significa lo mismo. Generalmente, no es así.

Una auditoría no vinculante es una observación del recuento sin mecanismos de aplicación. Puede encontrar una discrepancia. Presentará un informe. El resultado certificado permanece certificado.

En la mayoría de jurisdicciones estadounidenses — y muchas democracias en todo el mundo — no existe un umbral automático y predefinido en el que una discrepancia de auditoría desencadene una corrección, y mucho menos una repetición. El hallazgo se incluye en un documento. El documento se archiva. El ganador es inaugurado.

Este no es un problema hipotético. La revisión EVEREST de Ohio — un análisis de seguridad independiente, a nivel de código fuente y adversarial — encontró fallas críticas en todos los sistemas que examinó. Fue divulgado al público bajo la Ley de Registros Públicos de Ohio. Ohio continuó utilizando esos sistemas. El informe final de EVEREST deja claro que la auditoría confiable fue en sí misma comprometida, con registros "comúnmente falsificables o borrables por las personas que se suponía debían monitorear". Una auditoría construida sobre registros falsificables no es una auditoría. Es papeleo.

Rastreamos esta categoría de brecha estructural en jurisdicciones aquí — /gaps/non-binding-audit.

Las dos auditorías que vale la pena estudiar lado a lado

Si deseas comprender qué hace diferente una auditoría real, comienza con dos ejemplos estadounidenses que realmente vale la pena examinar — no porque prueben que las elecciones son robadas, sino porque ilustran, precisamente, qué puede significar la palabra "auditoría" cuando tiene mecanismos de aplicación, y qué aún no puede probar por sí sola.

Colorado, 2017. Después de su elección de noviembre, Colorado se convirtió en el primer estado estadounidense en completar una auditoría que limita el riesgo a nivel estatal (RLA). El diseño es matemáticamente específico: en lugar de verificar un porcentaje fijo de boletas, un RLA dimensiona su muestra según la cercanía de la contienda. Una contienda decidida por el uno por ciento requiere muchas más boletas verificadas manualmente para alcanzar confianza estadística que una decidida por veinte. Colorado comenzó con un límite de riesgo del nueve por ciento y posteriormente lo redujo al tres por ciento, lo que significa que había como máximo un tres por ciento de probabilidad de que la auditoría certificara un ganador incorrecto. El Secretario de Estado de Colorado anunció la finalización el 22 de noviembre de 2017. No fue un recuento. Fue una prueba estadística con un nivel de confianza definido, basada en boletas verificadas manualmente.

Georgia, 2020. Cuando el margen presidencial en Georgia fue de aproximadamente 11,000 votos de casi cinco millones emitidos, el primer RLA a nivel estatal del estado tuvo que convertirse en algo más grande. Debido a que el margen era tan estrecho, los requisitos estadísticos significaban auditar esencialmente cada boleta. Así que Georgia hizo exactamente eso: 159 condados, 41,881 lotes, aproximadamente cinco millones de boletas presidenciales contadas manualmente por ojos humanos en menos de seis días. El resultado difirió del total de máquinas en aproximadamente una décima de uno por ciento — bien dentro del rango de variabilidad del recuento humano. Georgia Public Broadcasting informó la confirmación el 19 de noviembre de 2020.

Ambas son, por cualquier medida, más serias que una verificación puntual. La pregunta que vale la pena hacer es qué aún no pueden hacer — y qué sucede en las docenas de estados que no hacen ninguna de las dos.

La brecha entre "verificamos" y "puedes verificar"

Aquí está lo que las auditorías de Colorado y Georgia comparten con todas las demás auditorías poselectorales: son conducidas por los mismos funcionarios que dirigieron la elección. Observadores externos pueden ver. Los candidatos pueden enviar representantes. Pero el acto fundamental — sacar las boletas, ejecutar el recuento, informar los totales — ocurre dentro de un proceso gubernamental, controlado por empleados gubernamentales, documentado por registros gubernamentales.

Esto no es una conspiración. Es una observación estructural sobre cómo fluye la confianza.

La Corte Constitucional Federal Alemana lo expresó claramente en 2009 cuando dictaminó que las máquinas de votación electrónica no cumplían el estándar de legitimidad democrática: los pasos esenciales de votación y determinación de resultados deben ser examinables por el ciudadano sin conocimiento especializado. El fallo del Bundesverfassungsgericht en los casos 2 BvC 3/07 y 2 BvC 4/07 es sobre computadoras — pero su lógica se extiende directamente a las auditorías. Un proceso que no puedes verificar independientemente no es un proceso verificable, sin importar cómo se le llame.

Los Países Bajos llegaron a un lugar similar en 2007, cuando la comisión asesora del gobierno publicó Stemmen met vertrouwen ("Votación con confianza") y concluyó que la transparencia y verificabilidad — controleerbaarheid — eran bases innegociables de una elección confiable. La respuesta de la comisión no fue máquinas mejores o auditorías mejores por funcionarios; fue un registro en papel legible por humanos que cualquier observador pudiera confirmar. Los Países Bajos abandonaron completamente sus computadoras de votación. El Kiesraad tiene el informe completo.

Una auditoría realizada por funcionarios, confirmada por funcionarios, informada a funcionarios y archivada en registros oficiales es mejor que nada. No es lo mismo que verificabilidad independiente.

Lo que "confirmado" deja abierto

Vuelve a Georgia 2020 por un momento, porque es el caso más fuerte para auditorías de recuento manual — y aún así tiene una advertencia que vale la pena mencionar.

Una variación de una décima de uno por ciento entre el recuento de máquinas y el recuento manual en cinco millones de boletas suena como ruido. Probablemente lo sea. Pero una décima de uno por ciento de cinco millones son cinco mil votos. El margen ganador fue aproximadamente once mil. Eso significa que la variación entre los dos métodos fue aproximadamente la mitad del margen de victoria — en una contienda donde el perdedor exigió un recuento y el resultado fue amargamente disputado en todo el país.

"El recuento manual confirmó el recuento de máquinas" y "el recuento manual fue idéntico al recuento de máquinas" son afirmaciones diferentes. El recuento manual de Georgia confirmó el resultado — el mismo candidato ganó por un margen lo suficientemente grande para sobrevivir a la variación. Eso es exactamente lo que un RLA está diseñado para hacer: confirmar el ganador con confianza estadística, no lograr precisión sin errores. El RLA de Colorado hace lo mismo.

Pero ahora reduce el problema. Condado de Antrim, Michigan, 2020: un pequeño condado donde el error humano produjo resultados oficiales obviamente incorrectos. Cuando se corrigió y se auditó manualmente, el total final de conteo manual difirió de la tabulación de máquinas en aproximadamente una docena de votos de aproximadamente 15,700 emitidos. Doce votos. En una contienda decidida por un puñado de votos, un recuento manual que en sí mismo está equivocado por una docena de votos no es una prueba de precisión. Es una medición con un margen de error — y el margen de error debe ser menor que el margen de victoria antes de que un método pueda "confirmar" nada.

La lección honesta no es que los recuentos manuales sean poco confiables o que algo sea fraudulento. La lección honesta es que incluso el estándar de oro de los recuentos manuales lleva error humano irreducible — y error sin una verificación sistemática e independiente es solo error que hemos acordado aceptar.

Una auditoría no vinculante de un sistema sin papel ni siquiera puede alcanzar este nivel de incertidumbre honesta. Es simplemente contar electrones y presentar un informe.

La auditoría que realmente cambió algo — porque fue adversarial

La revisión EVEREST de Ohio cambió algo. No porque fuera vinculante en los resultados — no lo fue — sino porque fue genuinamente independiente y adversarial, con acceso al código fuente real y equipo, dirigida por investigadores que no tenían interés en defender el sistema existente.

California hizo algo similar en 2007. La Secretaria de Estado Debra Bowen encargó una revisión integral de científicos informáticos de la Universidad de California a quienes se les entregó código fuente para los sistemas de votación certificados en el estado. El informe Diebold encontró que los controles tecnológicos "no proporcionaban suficiente seguridad para garantizar una elección confiable" e identificó vulnerabilidades a virus que podrían propagarse entre máquinas. El informe Sequoia encontró "debilidades de seguridad significativas en todo el sistema". El informe Hart InterCivic encontró componentes que "confían en gran medida unos en otros" con interfaces de red sin asegurar.

Estos hallazgos produjeron condiciones vinculantes — requisitos de seguridad fortalecidos anunciados el 3 de agosto de 2007 — porque las revisiones fueron independientes, los resultados fueron publicados, y la Secretaria de Estado tuvo que responder públicamente a lo que el escrutinio público produjo.

Esto es estructuralmente diferente de una autoridad electoral revisando su propio recuento y declarando que fue confirmado. Y apunta directamente hacia el modelo que funciona: no auditorías de personas de adentro, sino inspeccionalidad por personas de afuera — criptográfica, pública, legible por máquina, y continua.

Brasil ejecuta una prueba formal de seguridad adversarial pública antes de cada elección general, invitando a cualquier investigador calificado a intentar romper la urna eletrônica, con hallazgos utilizados para mejorar el sistema antes de que se implemente. El programa del Tribunal Superior Eleitoral es la versión institucional de lo que Ohio y California encargaron como revisiones puntuales — excepto que es rutinaria, esperada, e integrada en el ciclo electoral.

La pregunta de diseño que las auditorías no pueden responder

Aquí está lo que ninguna auditoría poselectoral, vinculante o no, puede responder: ¿Fue la boleta que marqué la boleta que se contó?

En Curling v. Raffensperger, decidido el 11 de octubre de 2020, la Corte de Distrito de los Estados Unidos para el Distrito Norte de Georgia registró el testimonio de expertos sobre los dispositivos de marcar boletas Dominion de Georgia que hace esto vívido. La corte encontró que el sistema "no proporciona un registro de boleta verificable y auditable porque se basa en el código QR para la tabulación de votos y ese código en sí no puede ser leído y verificado por el votante". La opinión de la corte también citó la conclusión de las Academias Nacionales de que no existe mecanismo técnico actual que garantice que una aplicación de conteo de votos produzca resultados precisos y que las pruebas solas no pueden garantizar que los sistemas no hayan sido comprometidos.

Un recuento manual en Georgia en 2020 contó el texto impreso en esas hojas de salida del dispositivo de marcar boletas. Pero las máquinas tabularon desde los códigos QR. Si una máquina imprimió texto diciendo "Candidato A" mientras codificaba un voto para "Candidato B" en el código de barras — un escenario que la corte consideró teóricamente factible — un recuento manual del texto legible por humanos confirmaría la manipulación, no la detectaría.

Esto no es una alegación de que esto sucedió. Es una descripción de un problema arquitectónico que ninguna auditoría poselectoral puede resolver completamente si el artefacto que se audita no es idéntico al artefacto que se tabuló. La auditoría forense de Windham, Nueva Hampshire en 2021 ilustró lo inverso: los escáneres malinterpretaron boletas dobladas porque un pliegue en el lugar incorrecto se parecía a un óvalo marcado para el sensor. El informe de auditoría forense SB 43 no encontró fraude, no encontró malware — solo física. Y el error solo fue descubible porque existía papel duradero y un recuento manual podía recuperar la intención del votante. Sin papel, no había nada de lo que recuperarse.

Un sistema que tabula desde un código que el votante no puede leer, auditado por un proceso que el votante no puede replicar, confirmado por funcionarios que el votante debe confiar — eso no es una elección verificable. Eso es una actuación de verificación.

Lo que una auditoría real requeriría

Una auditoría vinculante es una que puede cambiar el resultado. Eso significa, antes de que la elección comience, definir en la ley estatutaria: qué umbral de discrepancia desencadena un recuento manual; qué umbral de recuento manual desencadena una investigación; qué hallazgo de investigación desencadena una elección nueva. No "investigaremos". Una escalada específica, automática y precomprometida.

Una auditoría significativa también requiere:

Un artefacto confiable para auditar — un registro en papel verificado por votante que el votante confirmó físicamente, no un código de barras que no pueden leer, producido por una máquina que no pueden inspeccionar.

Independencia de los funcionarios siendo auditados — no observadores que pueden ver, sino auditores que pueden exigir acceso, ejecutar sus propios recuentos y publicar sus propios hallazgos.

Resultados públicos y legibles por máquina a nivel de circunscripción — para que cualquier ciudadano con una hoja de cálculo pueda replicar los totales de línea superior por sí mismos, sin necesidad de que un intermediario gubernamental les diga que el recuento fue correcto.

Y, eventualmente, verificabilidad criptográfica de extremo a extremo — el tipo de sistema donde un votante puede verificar, usando solo datos públicos, que su boleta fue incluida en la tabulación final sin aprender el voto de nadie más. El fracaso de iVote de Suiza en 2019 — donde las investigadoras Sarah Jamie Lewis, Olivier Pereira y Vanessa Teague encontraron una puerta trasera criptográfica que podría hacer que votos alterados produzcan una prueba de verificación aprobatoria — muestra cuán difícil es hacerlo bien. Pero también muestra exactamente por qué la inspeccionalidad del código fuente por criptógrafos independientes es la única forma de saber si la afirmación de verificabilidad es real.

Una auditoría que no puede cambiar el resultado es una ceremonia. Puede ser una ceremonia bien intencionada, conducida por funcionarios honestos sin nada que ocultar. Eso no la hace verificación. Verificación es lo que sucede cuando la respuesta se vería diferente si el recuento fuera incorrecto — y cuando cualquiera puede ejecutar la verificación, no solo las personas que certificaron el resultado.

Lo que aún no es verificable — y qué lo haría verificable

En la mayoría de jurisdicciones estadounidenses hoy, aquí está lo que un miembro independiente del público no puede hacer:

Confirmar que la boleta que marcó coincida con lo que se tabuló, sin confiar en la máquina.
Replicar el total a nivel de condado desde datos legibles por máquina a nivel de circunscripción la misma noche en que se divulgan los resultados.
Verificar que la muestra de auditoría se extrajo aleatoriamente y no fue seleccionada.
Saber, antes de la elección, qué nivel de discrepancia desencadena automáticamente una corrección vinculante.

Qué haría cada uno de estos verificable: registros en papel verificados por votante con marcas legibles por humanos; publicación inmediata y legible por máquina a nivel de circunscripción de resultados; selección de muestra de auditoría criptográficamente verificable; y umbrales de escalada estatutarios escritos en la ley antes de que cualquier elección comience — no negociados después de un resultado sorprendente.

El RLA de Colorado es un paso hacia el segundo y el cuarto. El recuento manual de Georgia de 2020 es un paso hacia el segundo. Ninguno es verificación completa. Ninguno es una ceremonia. La brecha entre ellos y los estados que no hacen ninguno está documentada en nuestro rastreador de brechas.

El objetivo no es desconfiar de cada funcionario electoral. Es construir sistemas donde su honestidad sea irrelevante para la pregunta — porque la respuesta es verificable por cualquiera.

Explora cómo aparece esta brecha en todas las jurisdicciones →

Ver el panorama completo de brechas de integridad electoral →

Resumen de dos minutos →

Fuentes

Ver todos los artículos Explora las brechas