El éxito y la estabilidad económica de las empresas dependen de un óptimo manejo de la información financiera, de ahí la importancia de que dicha información sea de calidad, tomando en cuenta que esta es la base para la toma de decisiones por parte del tren directivo.
Los servicios de auditoría financiera externa tienen como finalidad certificar la calidad de la información financiera de las empresas clientes y/u organizaciones como indicador de eficacia en la prestación de servicios profesionales; en este sentido, el riesgo de auditoría constituye un factor que, de no ser abordado oportunamente, compromete directamente la oferta de servicio por parte de la empresa consultora, además del riesgo legal en el que incurren los contadores públicos y la firma al emitir un juicio desacertado sobre la razonabilidad de la información financiera.
Es por ello por lo que, mediante el presente artículo, se pretende presentar una estrategia metodológica para la medición del riesgo de auditoría con un ejercicio de reflexión a partir de una revisión narrativa y la calidad de la información financiera como consecuencia del proceso por parte de los auditores, esto con el ánimo de generar valor agradado en las organizaciones.
La Importancia de la Información Financiera de Calidad
Las empresas utilizan como instrumento la información financiera, la cual les permite realizar un control, inspección y vigilancia de la organización en general, para garantizar condiciones de estabilidad económica y social, de ella dependen las conclusiones que puedan formular los usuarios sobre el desempeño de la entidad; por tanto, se considera que esta debe ser oportuna y de calidad.
Ahora bien, es necesario reconocer que la credibilidad de la información financiera puede deberse a una auditoría bajo estándares de calidad, permitiéndoles protección a los inversionistas, accionistas y demás partes involucradas.
Lea también: Guía Práctica de Pagos Provisionales
En ese sentido, International Auditing and Assurance Standars Board (2020) define la auditoría financiera como aquella actividad que busca evaluar y mejorar los procesos contables, financieros y administrativos de una organización.
De igual manera, Florian Caro (2015) y Dobrinić (2019) exponen que, a través de las auditorías, se puede asegurar que la información financiera será presentada conforme a las leyes, normas y procedimientos establecidos.
Estas son una herramienta que permite evaluar, retroalimentar y fortalecer el sistema de control interno de las organizaciones, siendo las bases fundamentales para la prevención y detección de errores que afectan el suministro de información financiera de calidad, según lo prestablecido en las NIA 220.
De acuerdo con lo anterior, las empresas consultoras que ofrecen estos servicios deben garantizar una estricta aplicación de las normas internacionales, esto con el ánimo de garantizar la efectividad en los procesos aplicados; en este sentido, se identifican cuatro momentos claves en el proceso auditor, a saber: en primer lugar, se tienen los acuerdos iniciales sobre el asunto a desarrollar; una vez los acuerdos estén establecidos, se procede al protocolo de planeación con los papeles de trabajo, las cédulas de auditorías y los responsables directos de la custodia, ejecución y resguardo de las actuaciones periciales en aras de generar un dictamen confiable sobre la reducción efectiva del riesgo de auditoría.
El Fraude y la Calidad de la Información Financiera
Entre las situaciones negativas que usualmente afectan la calidad de la información financiera, se encuentra el fraude, entendido como todo acto ilegal efectuado con el objetivo de engañar a una persona, empresa u organización a través de la falsificación de un hecho material, perpetrados por individuos u organizaciones que buscan obtener dinero o bienes materiales, generando con ello ventajas personales para quienes lo efectúan y resultados nocivos hacia el otro; esto es conocido en el campo empresarial como un fraude.
Lea también: Definición de Determinación Tributaria
Consideran el fraude como un acto doloso ejecutado desde el área administrativa de la organización o gubernamental, empleados en general o terceros, produciendo una distorsión en la información de los estados financieros, manipulando los documentos respectivos, haciendo uso indebido de los recursos y la aplicación indebida de las normas y políticas de calidad organizacional.
Resaltan el papel del auditor en la identificación del fraude, no solo al evidenciar una representación errónea de importancia relativa en los estados financieros, sino en condiciones de oportunidad que, de acuerdo con el autor, surgen cuando existen ausencias en los controles que disminuyen los factores de riesgo, sumando a la escasa supervisión, un mínimo control interno, creando las condiciones para ceder ante la presión derivada de las necesidades socioeconómicas que pueden presentar las personas involucradas en actos ilícitos, de tipo económico o psicológico, de tal manera que los actores partícipes justifican la conducta delictiva.
Describe los aspectos que dan lugar a la materialización del fraude y que, por tanto deben, ser tenidos en cuenta por el auditor: la oportunidad, mencionada en el párrafo anterior, entendida como la situación que facilita por sí sola la ejecución de una acción fraudulenta; la presión, como todas aquellas acciones por parte de superiores o colaboradores con alguna ventaja sobre quien ejerce la presión para conducir a una acción fraudulenta en beneficio propio; y finalmente, la racionalidad, ya antes descrita.
Sostienen que el fraude materializado en información financiera no confiable puede dar lugar a un proceso continuo de toma de decisiones no acertadas que pueden llegar a comprometer significativamente el funcionamiento de la organización; por ejemplo, si el fraude genera alteraciones en los estados financieros, podría ocasionar una mala toma de decisiones en relación con la búsqueda de financiación innecesaria e incrementar el valor patrimonial.
El Riesgo de Auditoría y las Asimetrías de Información
Evidencian la causalidad entre dicho riesgo y las asimetrías de información entre gerentes y auditores, asociado a la complejidad en la información corporativa entre partes relacionadas; para ello, se referencian una serie de estudios sobre las manipulaciones de información entre empresas relacionadas, específicamente la existencia entre asimetrías de información y costos de agencia en conglomerados.
Lea también: Aspectos Clave Pagos ISR
Para efectos de la presente investigación, se describen algunos factores que generan incentivos, de acuerdo con los autores, para no revelar riesgos en la información financiera y, por tanto, deben constituir un factor de detección a considerar por el auditor.
De acuerdo con los resultados obtenidos en el estudio, Hung y Cheng (2018) recomiendan al auditor la revisión de informes parciales, pues en estos se presenta un menor nivel de omisión de riesgos, además que permite inferir más información sobre debilidades y fortalezas en los procesos de control contable.
Frente a los niveles de las categorías de riesgo inherente, bajo, medio y alto, estas se establecerán en función de la presencia identificada de riesgo inherente, a partir del grado de las debilidades evidenciadas, por ejemplo, incumplimiento en los procesos de reconocimiento o complejidad contable.
De igual manera, con respecto al riesgo de control, los niveles de riesgo aumentaran en la medida en que se identifiquen mayores deficiencias en los procesos de control, tal como lo describen Hung y Cheng (2018).
Resalta los riesgos que afronta la calidad de la información financiera por el uso de las nuevas herramientas tecnológicas y de comunicación, las cuales demandan la implementación de medidas de ciberseguridad; en este sentido, define como fundamental el conocimiento que debe adquirir el auditor sobre los sistemas de administración de la información con los cuales cuenta la organización.
Toda auditoría puede estar expuesta a algún riesgo, reflejándose este al momento en el que el auditor dé una opinión inapropiada cuando la información financiera, contable o administrativa contenga una incorrección material, como consecuencia de no haber detectado faltas o errores significativos que puedan modificar en su totalidad la opinión del informe respectivo.
Son distintos los hechos o situaciones que permiten determinar el nivel de riesgo en cada auditoría y, en la medida en que estos existan, coexiste la probabilidad de que la información que se obtenga en la revisión financiera respectiva no sea la idónea, por lo que los resultados no serán los adecuados para la mejora continua de la entidad, aumentando la ocurrencia de delitos, como fraude, además de errores en la información financiera.
Con base en lo anterior, los auditores deberán realizar la evaluación del riesgo que se presente y de esa manera poder planificar sus pruebas de auditoría, dando respuesta al riesgo valorado y trasladar sus conclusiones al informe final, en el que se deben establecer algunas medidas de control interno.
Expresan que los auditores tienen como prioridad conocer de qué manera la empresa trata los controles internos ante la materialización del riesgo y el efecto que estos puedan generar en los estados financieros, obteniendo una base para plasmar sus respuestas a los riesgos evaluados de error material, de lo contrario, al no tomar acciones tendientes a reducir los riesgos, se estaría poniendo en riesgo la continuidad de la organización.
Como apoyo teórico a los resultados anteriores, Kasper y Alam (2022) hace referencia a las teorías de la disuasión, específicamente a los efectos de la amenaza de castigo, según la cual los contribuyentes tienden a cumplir para disminuir el riesgo fiscal de una sanción, gracias al efecto de la auditoría fiscal; esto sin dejar de lado aquellos estudios donde se evidencian las respuestas diferentes de los contribuyentes al cumplimiento fiscal luego de las auditorías; es decir, algunos tienen una tendencia a mantener el cumplimiento independientemente del ambiente favorable que se pueda presentar para cometer fraude.
En su búsqueda por determinar los efectos de la auditoría sobre los contribuyentes, Kasper y Alam (2022) considera que «los niveles de cumplimiento previos a la auditoría determinan la respuesta conductual a las auditorías, pero predicen efectos conflictivos en la experiencia de auditoría sobre el cumplimiento tributario posterior a la auditoría» (p. 93).
Revisa el papel de las auditorías en las organizaciones como una herramienta que facilita el «descubrimiento, monitoreo y evaluación de los recursos de información» (p. 3); el autor recalca la importancia de la información, considerándola como un recurso muy valioso al interior de las organizaciones, en la medida en que permite reducir la incertidumbre sobre el futuro, y por ser determinante en la toma de decisiones y la modificación de estas.
Al considerar el uso de los estados financieros en la toma de decisiones, no solo por parte de la administración y gerencia, sino, sobre todo, por los agentes externos que de una manera u otra se relacionan con la empresa, Católico Segura (2021) cita varios autores que destacan la importancia y necesidad de revelar información financiera confiable, entre los factores mencionados se encuentra: la toma de decisiones y los costes de transacción institucionales; de igual forma, se mencionan los aspectos que determinan por parte de los directores el manejo que dan a su información financiera, así como el cumplimiento en sus revelaciones.
Según Martín Granados y Mancilla Rendón (2010), la información financiera será confiable en la medida en que puedan dar cuenta de las operaciones que lleva a cabo la empresa, tanto internamente en la operación y administración de sus recursos, así como en las operaciones con actores externos.
Afirman de lo imperativo de la confiabilidad de la información financiera como instrumento que pueda proyectar un pronóstico confiable sobre un análisis interno y externo de la empresa que coadyuve en la toma de decisiones asertivas (p. 7), de acuerdo al informe Trueblood (1973), que es emitido por la Asociación Americana de Contabilidad, en donde se establecen como objetivos de la información financiera su capacidad de servir a los usuarios externos, por ejemplo, inversores y proveedores, quienes deben predecir flujos netos potenciales y evaluar la capacidad de la gerencia para lograr los objetivos propuestos.
Metodología para la Medición del Riesgo de Auditoría
Para el desarrollo de la fundamentación teórica, conceptual y práctica se aplica el método de revisión narrativa como insumo para la reflexión sobre los procesos de medición del riesgo auditor en los servicios de auditoría externa como un componente que, además, favorece la calidad de la información financiera.
Matriz de Riesgos: Una Herramienta de Análisis
La matriz de riesgos analiza los riesgos del proyecto en función de su probabilidad y gravedad. Una vez que identifiques los riesgos, podrás calcular el impacto general y otorgarle a cada riesgo la prioridad que le corresponda.
La matriz de riesgos te permite analizar el riesgo al definir cada evento como de impacto alto, medio o bajo en una escala del 1 al 25. Una vez que evalúes la gravedad y la probabilidad de cada riesgo, otorgarás la prioridad correspondiente a cada uno y te prepararás para ellos en consecuencia.
Una matriz de riesgos es una herramienta de análisis de riesgos que sirve para evaluar la probabilidad y la gravedad del riesgo durante el proceso de planificación del proyecto. Una vez que hayas evaluado la probabilidad y la gravedad de cada riesgo, puedes ubicarlos en la matriz para calcular la calificación del impacto de cada riesgo.
Tipos de Riesgos
Como parte del proceso, deberás realizar una lluvia de ideas para generar una lista de riesgos que luego incluirás en tu matriz de riesgos. Es probable que los riesgos a los que te enfrentes se clasifiquen en las siguientes categorías:
- Riesgo estratégico: los riesgos estratégicos implican errores de rendimiento o de decisión, como elegir un proveedor o software incorrecto para el proyecto.
- Riesgo operativo: los riesgos operativos son errores de proceso o de procedimiento, como una mala planificación o la falta de comunicación entre los equipos.
- Riesgo financiero: puede involucrar varios eventos que causen una pérdida de ganancias para la empresa, como los cambios en el mercado, las demandas judiciales o los competidores.
- Riesgo técnico: puede incluir cualquier aspecto relacionado con la tecnología de la empresa, como una violación de la seguridad, un corte de energía, la interrupción del servicio de Internet o daños a la propiedad.
- Riesgo externo: los riesgos externos están fuera de tu control, como las inundaciones, los incendios, los desastres naturales o las pandemias.
Creación de una Plantilla de Matriz de Riesgos
Al momento de crear la plantilla de matriz de riesgos, primero deberás identificar tu escala de gravedad, que colocarás en las columnas de tu matriz. La escala de gravedad mide qué tan graves serán las consecuencias de cada riesgo.
La escala de probabilidad identifica que tan probable es que ocurra cada riesgo.
- Muy probable (5): Puedes estar bastante seguro de que este riesgo ocurrirá en algún momento.
- Probable (4): Existe una gran probabilidad de que este riesgo ocurra.
- Posible (3): Este riesgo podría ocurrir o no.
El impacto del riesgo está codificado por color de verde a rojo y clasificado en una escala de 1 a 25.
- Bajo (1-6): Es probable que los eventos de bajo riesgo no sucedan y, si suceden, no tendrán consecuencias significativas para tu proyecto o empresa. Puedes etiquetarlos como de baja prioridad en tu plan de gestión de riesgos.
- Medio (7-12): Los eventos de riesgo medio son una molestia y pueden causar contratiempos en el proyecto, pero si tomas las medidas correspondientes para prevenir y mitigar estos riesgos durante la planificación del proyecto, estarás allanando el camino hacia el éxito del proyecto. No debes ignorar estos riesgos, pero tampoco es necesario que sean tu principal prioridad.
- Alto (13-25): Si no los tienes en cuenta durante la planificación del proyecto, los eventos de alto riesgo pueden hacer que tu proyecto descarrile. Dado que es probable que estos riesgos ocurran y tengan consecuencias graves, son lo más importante en tu plan de gestión de riesgos.
Cómo Usar la Matriz de Riesgos
Una vez que hayas creado una matriz de riesgos, puedes usarla como una herramienta de análisis integral. Lo mejor de la plantilla de matriz de riesgos es que no necesitas cambiarla con cada proyecto. Una vez que la tengas, puedes reutilizarla y compartirla con los demás.
- Identifica los riesgos del proyecto: Necesitarás una lista de riesgos potenciales para hacer uso de tu matriz de riesgos. En este paso, determinarás qué riesgos pueden afectar el proyecto específico en el que estás trabajando.
- Determina la gravedad de los riesgos: Cuando creaste tu matriz de riesgos, estableciste los criterios para la gravedad y probabilidad de los riesgos. Ahora que tienes una lista de riesgos del proyecto, clasifícalos utilizando los criterios de la matriz.
- Identifica la probabilidad de que los riesgos ocurran: Una vez que hayas definido la gravedad de cada riesgo, habrás completado la mitad de la ecuación de análisis de riesgos. Luego, identifica la probabilidad de cada riesgo.
- Calcula el impacto de los riesgos: La última parte de la ecuación de análisis de riesgos es calcular el impacto del riesgo. La ecuación que usarás es la siguiente: Probabilidad x gravedad = impacto del riesgo
- Prioriza los riesgos y actúa en consecuencia: A esta altura deberías tener un nivel de impacto de riesgo en una escala de 1 a 25 para cada riesgo que hayas identificado. Con estos valores numéricos, es más fácil determinar qué riesgos son de máxima prioridad.
Plan de Riesgos para Programas de Auditorías
Los incontables efectos pueden incidir gravemente en un programa de auditorías que se soñaba ya concretado pero soportado en un plan que desde el principio no contemplo los riesgos y las posibles acciones preventivas. Afortunadamente existen los planes de riesgos.
- Comprender que es un plan de riesgos, su uso y beneficio: El riesgo es la probabilidad de sufrir el efecto de un evento inesperado o una serie de ellos que tienen lugar en una o en múltiples etapas de un programa de auditorías. Un riesgo depende de la probabilidad de que se presente el evento y el impacto que pueda causar (Riesgo = Probabilidad x Impacto).
- Delimite los riesgos de su programa de auditorías: Cómo responsable de gestionar un programa de auditorías, puede enfrentar diferentes riesgos: Planificación del programa, de recursos para el programa de auditoría, de selección del equipo de auditoría, de comunicación, implementación del programa, de la información documentada, de la supervisión, revisión y mejora, y de la disponibilidad del auditado, de la disponibilidad de la evidencia.
- Trabaje en equipo: Reúnase con su equipo auditor y piensen qué podría pasar y cómo se podría prevenir, empleen la técnica de tormenta de ideas y toma nota de las principales ideas y opiniones.
- Identifique las consecuencias de cada riesgo: Aproveche la sesión de tormenta de ideas para obtener opiniones objetivas acerca de las consecuencias e impacto de lo que podría pasar y asócialo a cada riesgo.
- Elimine las preocupaciones y asuntos no relacionados: Si esta su programa de auditorías en marcha no se preocupe por lo que sucede en el planeta Marte, es aquí donde tiene que valorar cada riesgo y sus consecuencias. Concéntrese en hechos reales que podrían pasar.
- Realice una lista de los riesgos identificados: Sólo listelos, no necesita ordenarlos por el momento. Asigne la probabilidad. Para cada elemento de riesgo en su lista, determine si las posibilidades de que sucedan son altas, medias o bajas. Asigne el impacto. Asignelo como alto, medio o bajo.
- Determine el nivel de riesgo de cada elemento listado: Sea flexible y realista en el análisis.
- Clasifique los riesgos: Liste todos los elementos de riesgo que haya identificado de mayor a menor valor de riesgo obtenido.
- Calcule el riesgo total: Sumando el aporte que tiene cada elemento de riesgo.
- Desarrolle estrategias de mitigación: La función de la mitigación es reducir la probabilidad de que se concrete un riesgo. Concéntrese en hacer esto para los riegos altos y medios.
- Desarrolle planes de contingencia: La contingencia es para reducir el impacto de un riesgo.
- Analice la efectividad de cada plan: El hecho de que un riesgo previsto no se presente debido a la aplicación de un plan que lo elimina o controle es hablar de eficacia.
- Calcule el riesgo efectivo: Después de las estrategias de mitigación y los planes de contingencia, ahora sus riesgos deberían ser menores, en teoría.
- Ojo de águila con sus riesgos: Ahora que ya conoces sus riesgos, necesita determinar cómo sabrá que se materializarán, así que ya está preparado para poner las contingencias.
Riesgos y Oportunidades en Programas de Auditoría (ISO 19011:2018)
La norma ISO 19011:2018 destaca la importancia de identificar riesgos y oportunidades asociados al contexto del auditado, que puedan afectar el logro de los objetivos del programa de auditoría. La gestión de auditoría debe presentar al cliente los riesgos y oportunidades identificados, así como los requisitos de recursos necesarios para abordarlos adecuadamente.
Ejemplos de riesgos incluyen:
- Planificación: Objetivos de auditoría no relevantes, alcance mal definido, número o duración inadecuada de las auditorías.
- Recursos: Falta de tiempo, equipo o capacitación suficiente para desarrollar el programa de auditoría o realizar una auditoría.
- Selección del equipo auditor: Competencia general insuficiente para realizar auditorías de manera efectiva.
- Comunicación: Procesos/canales de comunicación externos/internos ineficaces.
- Implementación: Coordinación ineficaz de las auditorías dentro del programa, falta de consideración de la seguridad de la información y la confidencialidad.
Las oportunidades para mejorar el programa de auditoría incluyen:
- Realizar auditorías múltiples en una sola visita.
- Minimizar el tiempo y las distancias de viaje al sitio.
- Hacer coincidir el nivel de competencia del equipo de auditoría con el nivel de competencia necesario para lograr los objetivos de la auditoría.
- Alinear las fechas de auditoría con la disponibilidad de auditar.