Enfoque de Auditoría Orientado a los Riesgos.

Para realizar una auditoría fundamentada en la gestión de riesgos, resulta imperativo que el auditor posee es la capacidad intrínseca de identificar tanto los riesgos inherentes al negocio como los riesgos relacionados con posibles actos de fraude. Estos riesgos, cuyo potencial impacto se reflejaría en los estados financieros, exigen el despliegue de una dosis significativa de escepticismo profesional por parte del equipo de auditoría. Asimismo, esta tarea demanda la participación de auditores capacitados en la esfera de la Gestión de Riesgos y la involucración activa del Socio de Misión.

En líneas generales, los riesgos asociados al ámbito empresarial requieren un examen meticuloso por parte del auditor, cuya perspectiva debe extenderse hacia los posibles riesgos de fraude. Estos últimos podrían manifestarse a través de fenómenos como la “rotación constante de la alta dirección de la empresa, lo que podría generar vulnerabilidades ya sea por imprecisiones debidas a la inexperiencia de nuevos miembros en los procesos o por la oportunidad de perpetrar actos fraudulentos, como la malversación de recursos o la manipulación de cifras en los estados financieros”.

En términos comunes, los riesgos de fraude son detectables mediante la identificación de patrones de conducta inusuales entre las partes involucradas o individuos con la capacidad de cometer fraudes, particularmente en situaciones en las que se evidencian deficiencias en la segregación de funciones. También se tornan visibles cuando la administración posee la facultad de evadir los mecanismos de control interno.

La identificación precisa de los riesgos pertinentes constituye un aspecto crítico de la labor de auditoría. Si el auditor no logra identificar los factores de riesgo inherentes al negocio y al fraude, se corre el riesgo de que estos aspectos no sean evaluados ni documentados adecuadamente, lo que a su vez afectaría la formulación de una respuesta de auditoría pertinente.

De ahí la trascendencia de la correcta ejecución de procedimientos de evaluación de riesgos en el marco de una auditoría efectiva. Asimismo, estos procedimientos han de ser implementados por personal con el nivel de conocimiento adecuado.

Una vez identificados los riesgos, procede llevar a cabo un análisis de su probabilidad de materialización y del impacto que tendrían en los estados financieros. Este análisis permitirá situar dichos riesgos en el espectro del riesgo inherente, el cual se define como “la susceptibilidad de que una afirmación concerniente a un tipo de transacción, saldo contable u otra revelación de información presente incorrecciones que pudieran ser materiales, ya sea de forma individual o en conjunto con otras incorrecciones, sin tomar en cuenta los controles potenciales”.

Una vez concluido este análisis, se procederá a evaluar las respuestas de la administración, que deberá diseñar un sistema de control interno capaz de gestionar los riesgos en concordancia con su nivel de apetito y tolerancia al riesgo.

El concepto de Riesgo de Control hace alusión a la posibilidad de que una incorrección que pudiese existir en una afirmación referente a una transacción, saldo contable u otra revelación de información no sea detectada o corregida oportunamente por el sistema de control interno de la entidad.

Importa destacar que el control interno no debería añadir un riesgo adicional. Por lo tanto, si el auditor opta por no evaluar la eficacia operativa del control, el riesgo de incorrección material equivaldría a la valoración del riesgo inherente.

El Modelo de Riesgo de Auditoría se representa mediante la fórmula RA = RIM * RD, donde:

• RA denota el Riesgo de Auditoría,
• RIM el Riesgo de Incorrección, y
• RD el Riesgo de Detección.

Es importante notar que RIM = RI * RCI, donde:

• RI significa Riesgo Inherente, y
• RCI denota Riesgo de Control Interno.

La ubicación precisa del riesgo inherente en su espectro requiere de la evaluación profesional de los miembros del equipo con un mayor grado de conocimiento. Si el auditor decide no probar la eficacia operativa del control y el RCI tiende a 1, entonces RIM = RI * RCI, lo que simplifica la fórmula a RIM = RI.

En algunos casos, no es viable auditar determinados saldos o transacciones únicamente mediante pruebas sustantivas. En estos escenarios, el auditor deberá evaluar la eficacia operativa del control para obtener pruebas sólidas y suficientes sobre el saldo o transacción en cuestión.

La NIA 315 (Revisada 2019), “Identificación y Valoración del Riesgo de Incorrección Material”, introduce nuevos conceptos y definiciones para facilitar la identificación de los riesgos de incorrección material, incluyendo el concepto de espectro y los factores de riesgo inherente. Esta normativa también subraya la importancia de evaluar la integridad de las transacciones, saldos contables e información a revelar al final del proceso de valoración del riesgo. Además, ofrece una guía más moderna y mejorada que abarca las consideraciones del auditor en relación con la tecnología de la información.

La NIA 315 introduce 6 apéndices:

• Consideraciones sobre el conocimiento de la entidad y su modelo de negocio.
• Conocimiento de los factores de riesgo inherente.
• Conocimiento del sistema de control interno de la entidad.
• Consideraciones sobre el conocimiento de la función de auditoría interna.
• Consideraciones sobre el conocimiento de las tecnologías de la información (TI).
• Consideraciones sobre el conocimiento de los controles generales de TI.

Una vez concluido el proceso previo, el auditor debe diseñar procedimientos sustantivos con el fin de reducir el riesgo de detección y, por ende, limitar el riesgo de auditoría a un nivel razonablemente bajo. En este marco, el auditor puede controlar el Riesgo de Detección (RD).

La selección de los procedimientos a implementar puede generar evidencia que oscile entre sólida y débil, dependiendo de las circunstancias específicas. Por ello, el auditor debe optar por los procedimientos sustantivos que, en función de las circunstancias, sean más propensos a detectar errores en los objetivos de auditoría con mayor riesgo de error. Dichos procedimientos deben ser efectivos y eficientes en términos de costo.

Frecuentemente, en las revisiones de calidad de las firmas de auditoría, se observa una respuesta inadecuada ante los riesgos identificados. Algunas causas de esta deficiencia en la calidad de las auditorías pueden incluir:

• La involucración del socio solo en las etapas finales del proceso, lo que puede resultar en enfoques incongruentes.
• Debilidades en la conformación del equipo de trabajo y una supervisión deficiente.
• Cambios en la planificación que no se documentan a tiempo, lo que genera un desajuste en el enfoque.
• La utilización de formatos prediseñados por metodologías de firmas, sin una evaluación crítica de su pertinencia.
• Situaciones similares, que evidencian la necesidad de instaurar sistemas de calidad en las firmas que recompensen el buen desempeño y establezcan planes de acción para abordar hallazgos problemáticos.

En consecuencia, es esencial priorizar acciones como la capacitación adecuada de los equipos de auditoría, la mejora de los sistemas de consulta y resolución de discrepancias dentro de la firma, así como incrementar la participación oportuna y efectiva de los socios en las tareas de auditoría. Además, siempre debe primar el criterio profesional, fomentando el escepticismo en la oficina y durante la ejecución del trabajo.