GAAI helps mid-sized companies find where their transactions and reporting can break down — in enterprise systems and in the artificial intelligence now running alongside them — and puts a named owner and a closing date on every finding until it is fixed. The method stays with your own staff.
GAAI ayuda a empresas medianas a encontrar dónde pueden fallar sus transacciones y su información financiera —en los sistemas empresariales y en la inteligencia artificial que hoy opera junto a ellos— y asigna a cada hallazgo un responsable con nombre y una fecha de cierre hasta resolverlo. El método queda instalado en su propio personal.
Nine lines of work. All of them are advisory, assurance and knowledge transfer on how an organization governs, controls and verifies itself.
Nueve líneas de trabajo. Todas son asesoría, aseguramiento y transferencia del conocimiento sobre cómo una organización se gobierna, se controla y se verifica a sí misma.
Specialized GRC advisory, organizational structures, and the mandate and composition of audit committees under NOGAI and leading practice — including model charters, policies and procedures.
Asesoría especializada en GRC, estructuras organizacionales y roles de Comités de Auditoría bajo NOGAI y mejores prácticas, incluyendo Modelos de Estatutos, Políticas y Procedimientos.
Risk identification and assessment, and the design of the controls that answer to each one — so that every material risk has a control and every control has a reason to exist.
Identificación y evaluación de riesgos, y diseño de los controles que responden a cada uno, para que todo riesgo material tenga un control y todo control tenga una razón de ser.
Process design with a focus on efficiency and effectiveness. Mapping with identification of risks and controls, and emphasis on who owns and manages each process.
Diseño de procesos con enfoque de eficiencia y efectividad. Mapeo con identificación de riesgos y controles, y énfasis en la responsabilidad y gestión de los procesos.
Independent, objective evaluations that strengthen processes and mitigate strategic risks. Technical advisory on organizational structure, competency models, annual plans, and implementation of the Three Lines Model.
Evaluaciones independientes y objetivas para fortalecer los procesos y mitigar riesgos estratégicos. Asesoría técnica en estructura organizativa, Modelos de Competencias, Planes Anuales y la implementación del Modelo de las Líneas de Defensa.
Comprehensive advisory on regulatory compliance, normative frameworks and essential technical requirements: ISO/IEC 42001, the European Union Artificial Intelligence Act, and the local and industry regulations that apply to you.
Asesoría integral sobre el cumplimiento de regulaciones, marcos normativos y requisitos técnicos esenciales: ISO/IEC 42001, el Reglamento Europeo de Inteligencia Artificial, y las regulaciones locales y por industria que le apliquen.
Strategic integration of artificial intelligence through the 4C Model®, focused on data-driven decision making to raise operating efficiency and secure a sustainable competitive advantage.
Integración estratégica de Inteligencia Artificial mediante el Modelo 4C®, enfocada en la toma de decisiones basada en datos para potenciar la eficiencia operativa y asegurar una ventaja competitiva sostenible.
Technical assessment of the transactional integrity of your organization's CORE systems. Assurance over correct process integration and over the protection of critical data.
Evaluación técnica de la integridad transaccional de los sistemas CORE de su organización. Aseguramiento de una adecuada integración de procesos y de la protección crítica de la data.
Protection of personal, confidential and critical data across its whole lifecycle — access, use, transfer, retention and traceability — under the privacy and data-protection requirements that apply to you.
Protección de los datos personales, confidenciales y críticos a lo largo de todo su ciclo de vida —acceso, uso, transferencia, conservación y trazabilidad— conforme a los requisitos de privacidad y protección de datos que le apliquen.
Adopting artificial intelligence opens a class of risk that most control functions do not yet cover, because the traditional audit trail does not exist. The questions that matter are new:
Adoptar inteligencia artificial abre una clase de riesgo que la mayoría de las funciones de control todavía no cubre, porque la pista de auditoría tradicional no existe. Las preguntas que importan son nuevas:
GAAI works this ground with the same method it applies everywhere else — locate where reporting breaks, test the full population, escalate to whoever can act — grounded in ISO/IEC 42001 and the European Union Artificial Intelligence Act.
GAAI trabaja ese terreno con el mismo método que aplica en todo lo demás —localizar dónde falla la información, probar sobre la población completa, escalar a quien puede actuar— apoyado en la norma ISO/IEC 42001 y en el Reglamento de Inteligencia Artificial de la Unión Europea.
Building or strengthening an internal audit function runs in five phases. Each one ends in a deliverable you can act on, and you decide after the second whether to go further.
Construir o fortalecer una función de auditoría interna se ejecuta en cinco fases. Cada una termina en un entregable accionable, y al concluir la segunda usted decide si continúa.
A structured reading of the organization from a strategic and risk perspective, with one purpose: to establish which matters require independent assurance from internal audit.
Un entendimiento estructurado de la organización desde una perspectiva estratégica y de riesgos, con un único propósito: identificar qué aspectos requieren aseguramiento independiente por parte de Auditoría Interna.
Design the internal audit function so that its role, coverage and focus tie directly to the critical risks identified in Phase I — not to habit or to last year's plan.
Diseñar la función de Auditoría Interna para que su rol, cobertura y enfoque queden directamente vinculados a los riesgos críticos identificados en la Fase I, y no a la costumbre o al plan del año anterior.
Remove duplicated verification across internal audit, risk, compliance and external audit, so the same control is not tested four times while another is tested by no one.
Eliminar la verificación duplicada entre auditoría interna, riesgos, cumplimiento y auditoría externa, para que un mismo control no se pruebe cuatro veces mientras otro no lo prueba nadie.
Establish how findings reach the board and the audit committee, in what form, and with what follow-through, so that what matters is decided rather than filed.
Establecer cómo llegan los hallazgos a la Junta Directiva y al comité de auditoría, en qué forma y con qué seguimiento, para que lo relevante se decida y no se archive.
Transfer the method to your own staff. The work is finished when the team runs the procedure without us.
Transferir el método a su propio personal. El trabajo termina cuando el equipo ejecuta el procedimiento sin nosotros.
The initial commitment ends at Phase II. Phases III, IV and V run only if the organization decides to continue, once the diagnosis and alignment are complete. You decide with the results of the first two in hand, not on a promise.
El compromiso inicial llega hasta la Fase II. Las fases III, IV y V se ejecutan únicamente si la organización decide continuar, una vez concluidos el diagnóstico y la alineación. Usted decide con los resultados de las dos primeras a la vista, no sobre una promesa.
More than thirty years of internal audit and governance across Central America and the Caribbean, in corporate groups, professional services and government-facing work.
Más de treinta años de auditoría interna y gobernanza en Centroamérica y el Caribe, en grupos corporativos, firmas de servicios profesionales y trabajo con el sector público.
Corporate Internal Auditor for Unicomer Group; internal audit leadership at Grupo Q and CrediQ; Regional Internal Auditor for Central America at Moore de Centro América. At Ernst & Young she held senior roles on government audits financed by the Inter-American Development Bank and the World Bank, and on USAID engagements conducted under the GAO Yellow Book.
Auditora Interna Corporativa de Grupo Unicomer; dirección de auditoría interna en Grupo Q y CrediQ; Auditora Interna Regional para Centroamérica en Moore de Centro América. En Ernst & Young ocupó posiciones senior en auditorías gubernamentales financiadas por el Banco Interamericano de Desarrollo y el Banco Mundial, y en trabajos de USAID ejecutados bajo el Yellow Book de la GAO.
She founded the practice in 2025. Current engagements cover El Salvador, Honduras, Nicaragua, Costa Rica and Guyana, and include a feasibility study for a project in Nicaragua.
She is currently studying for the International Postgraduate Programme in Strategic Consulting with AI at ISEADE Business School, and undertaking training in artificial intelligence governance under ISO/IEC 42001.
Fundó la práctica en 2025. Los trabajos en curso abarcan El Salvador, Honduras, Nicaragua, Costa Rica y Guyana, e incluyen un estudio de factibilidad para un proyecto en Nicaragua.
Actualmente cursa el Postgrado Internacional en Consultoría Estratégica con IA de ISEADE Business School y formación en gobernanza de inteligencia artificial bajo la norma ISO/IEC 42001.
Every item above corresponds to a document or a published source. Copies available on request.
Cada punto anterior corresponde a un documento o a una fuente publicada. Copias disponibles a solicitud.
GAAI comprises two companies, both wholly owned by María Maritza Villanueva.
GAAI está integrada por dos sociedades, ambas propiedad exclusiva de María Maritza Villanueva.
Tell us what your organization needs to strengthen, recover or transform. Maritza Villanueva, CPA, CIA, will respond personally.
Cuéntenos qué necesita fortalecer, recuperar o transformar su organización. Maritza Villanueva, CPA, CIA, le responderá personalmente.
A short note is enough. These details help us understand the situation before we reply.
Una nota breve es suficiente. Estos datos nos ayudan a comprender la situación antes de responder.
Confidential inquiries welcome
Consultas confidenciales bienvenidas
