← Todos los artículos

¿Qué es una auditoría con límite de riesgo y por qué importa?

En una carrera decidida por 369 votos, los funcionarios no tenían nada independiente para recontar — porque las máquinas no dejaban constancia en papel. Esa brecha aún existe en las elecciones cerca de ti.

Son las 2 a.m. en la noche electoral en el Condado de Sarasota, Florida, y el recuento del Distrito Congresional 13 de Florida está terminando de cruzar la pantalla lentamente. La carrera termina con un margen de 369 votos. Pero oculto en los mismos números hay algo más extraño: aproximadamente 18,000 boletas en el condado no registraron ninguna opción en esa carrera. No una protesta. No un accidente demográfico. Uno de cada ocho votantes, aparentemente, se saltó la contienda más disputada en su boleta.

Nadie podía explicarlo. Y nadie podía verificarlo.

Las máquinas de pantalla táctil del condado — la ES&S iVotronic — no dejaron constancia independiente en papel detrás. Cuando la Oficina de Contabilidad General de EE.UU. probó más tarde los sistemas, no pudo identificar una avería que causara el subvoto. También señaló, con la modestia característica de una auditoría federal, que un "rastro de papel verificado por el votante podría haber proporcionado confirmación independiente de que las pantallas táctiles registraron los votos correctamente". No había tal rastro. El informe completo de la GAO está aquí.

En una carrera decidida por 369 votos, el método de auditoría disponible era: confiar en la máquina.

Eso fue en 2006. La pregunta para hoy es si la infraestructura que ahora tenemos — boletas de papel, auditorías posteriores a la elección, las herramientas estadísticas para usarlas — es lo suficientemente sólida para reemplazar ese tipo de confianza ciega con algo que un ciudadano escéptico pueda verificar de forma independiente. La respuesta es: a veces. En algunos lugares. Bajo algunas condiciones. Y la brecha entre "a veces" y "siempre" es todo el problema.

Por qué existen auditorías en primer lugar — y por qué la mayoría de ellas son débiles

Cada elección produce un número. Ese número proviene de una máquina, de un recuento manual, o de ambos. La pregunta que una auditoría intenta responder es: ¿el ganador reportado realmente ganó?

Suena obvio. Pero la mecánica importa enormemente, porque la mayoría de las auditorías posteriores a las elecciones del mundo no están realmente diseñadas para responder esa pregunta con confianza estadística. Están diseñadas para parecer que lo hacen.

El tipo más común es la auditoría de porcentaje fijo: después de la elección, los funcionarios extraen un porcentaje establecido de boletas — digamos, 1% o 5% — las examinan manualmente y comparan el resultado con el recuento de máquina. Si coinciden lo suficientemente bien, todos se van a casa. Este enfoque es intuitivo. Se siente riguroso. No lo es.

Aquí está el problema. Una muestra del 1% en una carrera arrolladora y una muestra del 1% en una carrera decidida por el 0.1% de los votos están haciendo un trabajo estadístico completamente diferente. En la arrolladora, incluso un recuento moderadamente defectuoso sería tan obvio que una muestra pequeña lo detectaría. En la carrera ajustada — la que donde atrapar un error realmente importa — esa misma muestra del 1% podría tener casi ninguna posibilidad de detectar un problema. Cuanto más ajustada la carrera, más verificación necesitas. Un porcentaje fijo invierte la lógica.

Y sin embargo, las auditorías de porcentaje fijo siguen siendo práctica estándar en la mayoría de las democracias. La brecha entre el rigor aparente de la auditoría y su poder estadístico real es precisamente donde una elección mal contada puede desaparecer sin ser notada.

Lo que una auditoría con límite de riesgo realmente hace diferente

Una auditoría con límite de riesgo, o ALR, comienza desde la dirección opuesta.

En lugar de preguntarse "¿qué porcentaje deberíamos verificar?", se pregunta: "¿cuál es la probabilidad máxima que estamos dispuestos a aceptar de que un resultado incorrecto se nos escape?" Esa probabilidad — el límite de riesgo — se establece antes de que comience la auditoría. Colorado, que fue pionero en este enfoque, comenzó con 9% y luego lo redujo a 3%. Un límite de riesgo del 5% significa: si el ganador reportado realmente perdió, hay como máximo una probabilidad de 1 en 20 de que esta auditoría no lo detecte.

Las matemáticas entonces funcionan hacia atrás desde esa garantía para determinar cuántas boletas necesitan ser examinadas a mano. Y el resultado es contraintuitivo de la mejor manera posible: cuanto más ajustada la carrera, mayor es la muestra que la ALR exige. Un arrollamiento podría necesitar solo unos pocos cientos de boletas verificadas a mano. Una carrera decidida por una fracción de un por ciento podría requerir un recuento manual completo de cada boleta en la jurisdicción — lo cual es exactamente lo que Georgia tuvo que hacer en 2020.

El otro ingrediente crítico es un registro de papel confiable. Una ALR no puede auditar un libro mayor digital contra sí mismo. Necesita boletas físicas marcadas por el votante — el tipo que un votante realmente tocó — para servir como la verdad fundamental. El Condado de Sarasota en 2006 no tenía nada de eso. Una ALR conducida allí habría sido matemáticamente sólida e físicamente imposible al mismo tiempo.

Colorado, 2017: el primer estado en realmente hacerlo

El 22 de noviembre de 2017, la Secretaria de Estado de Colorado anunció que el estado había completado la primera auditoría con límite de riesgo de nivel estatal en la historia estadounidense.

Esta no es una afirmación trivial. Muchos estados han realizado auditorías. Colorado fue el primero en realizar una que vino con un nivel de confianza matemáticamente definido — uno que cualquiera, en principio, podría verificar revisando el trabajo estadístico. El procedimiento es público. El FAQ que la Secretaria de Estado publicó explica la metodología en lenguaje claro. Los tamaños de muestra, el límite de riesgo, las boletas seleccionadas — todo documentado.

La razón por la que esto importa no es que la elección de 2017 en Colorado fuera controvertida. No lo fue. La razón es que un método probado en una elección no controvertida es el método que quieres que te espere cuando llegue la controvertida. No quieres estar inventando tu infraestructura de auditoría la semana después de un resultado disputado. Colorado la construyó antes de necesitarla.

Los ingredientes clave que Colorado reunió: boletas de papel obligatorias (la verdad fundamental física), un límite de riesgo público establecido antes de la elección, y una muestra aleatoria extraída de manera transparente y documentada. Elimina cualquiera de esas y la garantía estadística se colapsa.

Georgia, 2020: cuando las matemáticas exigen un recuento manual completo

La ALR de Colorado en 2017 fue, por suerte estadística, eficiente. Los márgenes eran lo suficientemente amplios como para que muestras relativamente pequeñas proporcionaran la confianza requerida.

Georgia en noviembre de 2020 no tuvo tanta suerte.

El margen presidencial en Georgia era lo suficientemente ajustado como para que cuando los funcionarios aplicaran el marco de auditoría con límite de riesgo, las matemáticas no les dieron atajo: para cumplir el nivel de confianza requerido, tenían que examinar manualmente cada boleta. Aproximadamente cinco millones de ellas. En 159 condados. Examinando 41,881 lotes. En menos de seis días.

Lo hicieron. Georgia Public Broadcasting reportó que el recuento manual confirmó el resultado tabulado por máquina, con la variación entre el recuento original y el recuento manual llegando a alrededor de una décima de un por ciento. El reportaje de NPR confirmó el resultado.

Aquí está lo que el caso de Georgia realmente probó: boletas de papel más un método de auditoría sólido permite a cualquiera verificar un resultado ajustado, en lugar de aceptar la palabra de la máquina. Cinco millones de boletas. Un proceso observable y documentado. Un resultado que cualquier observador a nivel de condado podría verificar cruzadamente contra los totales de su propia jurisdicción.

Eso no es nada. Es enormemente más que lo que el Condado de Sarasota tenía en 2006 con sus pantallas táctiles sin papel y su margen de 369 votos y sus 18,000 opciones faltantes.

Pero el caso de Georgia también contiene una lección más sutil. La variación de alrededor de una décima de un por ciento suena pequeña. Es pequeña. Y en una carrera de cinco millones de boletas no afectó el resultado. Pero una décima de un por ciento de cinco millones son cinco mil votos. En una carrera diferente — una contienda legislativa estatal, un asiento de comisión de condado, una carrera decidida por cientos en lugar de miles — una tasa similar de variación de recuento manual podría importar. Incluso el estándar de oro del recuento manual lleva consigo error humano irreducible. Los contadores cansados malinterpretan boletas. Las marcas extraviadas se interpretan de manera diferente por diferentes personas. Las decisiones de adjudicación — ¿qué cuenta como una marca válida? — varían por mesa.

Esto no es una crítica al proceso de Georgia. Es una declaración sobre los límites de cualquier sistema operado por humanos.

Michigan, 2020: qué sucede cuando no hay salvaguarda antes de la publicación

El Condado de Antrim, Michigan es un condado confiablemente republicano. Cuando los primeros resultados no oficiales en la noche del 4 de noviembre de 2020 mostraban a Joe Biden adelante por aproximadamente 3,000 votos con la mayoría de boletas contadas, el número atrajo escrutinio inmediato — no por ningún sistema de alarma interno, sino porque cualquiera que conociera la política del condado sabía que el resultado era implausible.

La causa resultó ser error humano. La secretaria de condado Sheryl Guy había reprogramado algunas pero no todas las tarjetas utilizadas en los tabuladores después de un cambio de último minuto en una carrera local, así que algunos datos de precinto se combinaron incorrectamente cuando se compilaron los totales no oficiales. Guy dijo que el error era suyo. El relato detallado de FactCheck.org deja claro que fue un error administrativo, no una conspiración de software. El condado corrigió los totales el 5 de noviembre. El resultado certificado no se vio afectado.

El 17 de diciembre, para resolver el asunto de manera definitiva, los funcionarios realizaron una auditoría manual de cada boleta presidencial en el condado. El Departamento de Estado de Michigan anunció que el recuento manual — 9,759 para Trump, 5,959 para Biden — confirmó la precisión de los resultados electorales.

Ahora detente ahí. Vuelve a leer esos dos números. El recuento manual y la tabulación de máquina difirieron por aproximadamente una docena de votos de aproximadamente 15,700 emitidos. El Departamento de Estado de Michigan presentó esto como confirmación. La Secretaria de Estado lo llamó confirmación de precisión.

Pero ¿qué significa realmente una diferencia de 12 votos?

En la carrera presidencial del Condado de Antrim, con su amplio margen, 12 votos es ruido. No cambia el resultado, y probablemente refleja exactamente lo que los expertos predecirían: una mezcla de errores de conteo durante el recuento manual, marcas de boleta ambiguas, y decisiones de adjudicación que fueron ligeramente diferentes por diferentes contadores en diferentes momentos. El recuento manual no es un oráculo perfecto. Es un proceso humano altamente confiable pero imperfecto, y su tasa de error — pequeña como es — se convierte en la conversación en cualquier carrera decidida por un número similarmente pequeño.

El problema más profundo que el Condado de Antrim ilustra no son los 12 votos. Es el momento antes de la corrección. Nada en el relato publicado del Condado de Antrim acredita una salvaguarda interna con atrapar los números incorrectos antes de que fueran publicados. El error surgió porque el resultado era evidentemente implausible — un perfil político a nivel de condado que cualquiera podría observar hacía los números publicados absurdos. Un error más sutil, en una carrera estatal ajustada, desplazando unos pocos cientos de votos sin voltear la inclinación partidista obvia de un condado, podría haber pasado completamente el control de plausibilidad. No puedes auditar algo que no puedes ver.

Ese es el argumento para la verificabilidad que no depende de la implausibilidad como la alarma.

La brecha entre "realizamos una auditoría" y "puedes verificar la auditoría"

Una ALR suena como una solución completa. En muchos sentidos, es la mejor herramienta de verificación posterior a la elección disponible a escala. Pero vale la pena ser preciso sobre lo que sí y no proporciona.

Lo que proporciona una ALR bien ejecutada:

  • Un nivel de confianza definido y cuantificado de que el ganador reportado realmente ganó
  • Una muestra extraída por un proceso que es transparente y reproducible
  • Una comparación contra boletas físicas que los votantes realmente marcaron

Lo que una ALR bien ejecutada aún requiere que confíes:

  • En que las boletas de papel siendo auditadas no han sido alteradas desde que fueron emitidas
  • En que la cadena de custodia de esas boletas — las bolsas selladas, las habitaciones cerradas, los registros de transferencia — se mantuvo en cada paso
  • En que la jurisdicción realizando la auditoría no cometió errores en su propio proceso de auditoría

El último no es hipotético. El Condado de Antrim realizó una auditoría manual y obtuvo un número que difería en 12 del recuento de máquina. Georgia realizó una ALR y obtuvo una variación de alrededor de una décima de un por ciento. Esos son buenos resultados. No son cero. Y las entidades verificando los resultados de auditoría fueron, en ambos casos, los mismos organismos gubernamentales cuyo trabajo estaba siendo escrutinizado.

"La auditoría lo confirmó" y "la Secretaria de Estado dice que está bien" son tranquilidades, no pruebas. Muy bien podrían ser verdaderas. Pero tranquilidad no es verificabilidad. Verificabilidad significa que una parte independiente — un investigador, un periodista, un ciudadano escéptico con una hoja de cálculo — puede verificar el trabajo usando las mismas entradas y obtener la misma respuesta.

La brecha entre "realizamos una auditoría" y "puedes verificar la auditoría de forma independiente" es exactamente la brecha que los enfoques basados en software y criptografía existen para cerrar. Técnicas como sistemas de votación verificables de extremo a extremo permiten a los votantes confirmar que su boleta fue contada sin revelar cómo votaron, y permiten a cualquier observador verificar el resultado agregado sin confiar en ninguna autoridad única. Estos no son teóricos: existen, y algunas jurisdicciones ya usan versiones de ellos.

La pregunta no es si las auditorías importan. Lo hacen. La pregunta es si "lo auditamos" es el punto final, o el comienzo de un estándar más alto.

Qué buscar en tu propia jurisdicción

Antes de la próxima elección en tu jurisdicción, tres preguntas merecen saber las respuestas:

Primero: ¿tu jurisdicción utiliza boletas de papel verificadas por el votante? Si no, una ALR es matemáticamente imposible. No hay nada que auditar. Esta es la situación de Sarasota. Si tu jurisdicción aún usa pantallas táctiles sin papel o votación por internet sin un registro de papel independiente, la conversación de auditoría ni siquiera puede comenzar.

Segundo: ¿tu jurisdicción realiza una auditoría con límite de riesgo, o una auditoría de porcentaje fijo? La diferencia importa más en las carreras más ajustadas — precisamente las que generan la mayor preocupación pública. Una auditoría de porcentaje fijo que inspecciona el 2% de boletas en una carrera decidida por el 0.1% puede tener casi ningún poder estadístico para atrapar un resultado incorrecto. Una ALR en la misma carrera o bien atraparía el problema o explícitamente expandiría la muestra hasta que lo hiciera.

Tercero: ¿se publican los resultados de la auditoría — los ID de boleta muestreados, los totales de recuento manual, la comparación contra recuentos de máquina — en su totalidad, en una forma que un observador independiente pueda verificar? Aquí es donde la mayoría de jurisdicciones, incluso aquellas que realizan auditorías buenas, se quedan cortas. Publicar un comunicado de prensa resumido no es lo mismo que publicar los datos de auditoría.

Las respuestas a esas tres preguntas te dicen más sobre la integridad real de tu elección local que cualquier declaración oficial jamás podría.

Ve qué tan comunes son las brechas de "sin auditoría obligatoria" y "método de auditoría débil" en todo el mundo →

Lee la versión de 2 minutos de brechas de integridad electoral →

Explora brechas específicas en tu región →

La verdad compartible: una elección que solo puede ser confiada — pero no verificada independientemente — no es una elección segura. Es una bien intencionada. Esas no son lo mismo, y en una carrera ajustada, la diferencia es toda la historia.

Fuentes

Ver todos los artículosExplora las brechas