El riesgo en la auditoría es una variable importante de incertidumbre que interfiere con el logro de los objetivos y estrategias del negocio.
Es responsabilidad de los directivos que tienen a su cargo la administración y operación de la empresa o entidad, el identificar los riesgos y establecer los controles internos necesarios para prevenirlos, detectarlos y corregirlos.
Hoy en día, cuando un auditor se enfrenta al tema de los riesgos en la auditoría, su mayor dificultad no está en el conocimiento y manejo de la teoría que lo sustenta, sino más bien en cómo evaluarlos para así poder minimizarlos al máximo.
A continuación, se describen algunos riesgos profesionales comunes en auditoría y sus posibles causas y mitigaciones:
Riesgos Comunes en Auditoría Interna
Los servicios de auditoría financiera externa tienen como finalidad certificar la calidad de la información financiera de las empresas clientes y/u organizaciones como indicador de eficacia en la prestación de servicios profesionales; en este sentido, el riesgo de auditoría constituye un factor que, de no ser abordado oportunamente, compromete directamente la oferta de servicio por parte de la empresa consultora, además del riesgo legal en el que incurren los contadores públicos y la firma al emitir un juicio desacertado sobre la razonabilidad de la información financiera.
Lea también: Comprendiendo el Riesgo Aceptable de Auditoría
El éxito y la estabilidad económica de las empresas depende, entre otros aspectos, de un óptimo manejo de la información financiera, de ahí la importancia que dicha información sea de calidad, tomando en cuenta que esta es la base para la toma de decisiones por parte del tren directivo.
Entre las situaciones negativas que usualmente afectan la calidad de la información financiera, se encuentra el fraude, entendido como todo acto ilegal efectuado con el objetivo de engañar a una persona, empresa u organización a través de la falsificación de un hecho material, perpetrados por individuos u organizaciones que buscan obtener dinero o bienes materiales, generando con ello ventajas personales para quienes lo efectúan y resultados nocivos hacia el otro.
De acuerdo con Aguilar Jara et al. (2019), toda auditoría puede estar expuesta a algún riesgo, reflejándose este al momento en el que el auditor dé una opinión inapropiada cuando la información financiera, contable o administrativa contenga una incorrección material, como consecuencia de no haber detectado faltas o errores significativos que puedan modificar en su totalidad la opinión del informe respectivo.
Con base en lo anterior, los auditores deberán realizar la evaluación del riesgo que se presente y de esa manera poder planificar sus pruebas de auditoría, dando respuesta al riesgo valorado y trasladar sus conclusiones al informe final, en el que se deben establecer algunas medidas de control interno Aguilar Jara et al. (2017).
Los auditores internos cambiaron rápidamente el enfoque de sus planes de auditoría, atendiendo los riesgos críticos planteados por la crisis derivado de la pandemia.
Lea también: Riesgo de Auditoría: Un Enfoque Práctico
Los líderes están lidiando con la reapertura de sus negocios de forma segura, la administración de la fuerza laboral a distancia, la aceleración de la transformación digital, la construcción de cadenas de suministro más resilientes y el fortalecimiento de la relación con los clientes.
Al evaluar estos y otros riesgos, los detalles y los datos son fundamentales.
Tabla de Riesgos, Causas y Mitigaciones
| Riesgo | Descripción | Posible Causa | Mitigación |
|---|---|---|---|
| Falta de independencia y objetividad | Los auditores internos pueden estar sujetos a la presión de la dirección u otras partes interesadas para influir en el resultado de las auditorías. | Los auditores internos pueden tener conflictos de intereses personales o laborales que podrían sesgar su juicio. | Garantizar la independencia y objetividad de los auditores internos al establecer políticas y procedimientos que eviten cualquier conflicto de interés. |
| Planificación y recursos inadecuados | Es posible que las auditorías internas no se planifiquen o cuenten con los recursos adecuados, lo que puede generar ineficiencias y oportunidades perdidas. | La organización puede no tener una comprensión clara del propósito de la auditoría o el alcance de la auditoría. Es posible que la organización no haya asignado suficiente tiempo o recursos a la auditoría. | La organización debe desarrollar un plan claro para cada auditoría, incluidos el propósito, el alcance, los objetivos y los recursos necesarios. La dirección debería considerar el suficiente tiempo si ejercer presión ejecutiva. |
| Falta de competencia y experiencia | Es posible que los auditores internos no tengan la competencia y la experiencia necesarias para realizar auditorías eficaces. | Es posible que la organización no tenga una comprensión clara de las habilidades y la experiencia requeridas para los auditores internos. La organización puede no tener un proceso para identificar y desarrollar la competencia de los auditores internos. | La organización debe desarrollar una comprensión clara de las habilidades y la experiencia requeridas para los auditores internos. La organización debe desarrollar un proceso para identificar y desarrollar la competencia de los auditores internos. La organización debe crear una cultura de aprendizaje y mejora continua para los auditores internos. |
| Comunicación e informes inadecuados | Es posible que los hallazgos y recomendaciones de la auditoría interna no se comuniquen de manera efectiva a la gerencia y otras partes interesadas. | Falta de planificación y coordinación de la comunicación. Falta de canales y procesos de comunicación claros. Falta de capacitación en comunicación efectiva. Pobres habilidades de comunicación del equipo de auditoría. Falta de apoyo directivo para la comunicación. | Desarrolle un plan de comunicación que identifique a las partes interesadas clave, sus necesidades y los mejores canales de comunicación para cada uno. Establezca procesos de comunicación claros para compartir los resultados y las recomendaciones de la auditoría. Brindar capacitación sobre comunicación efectiva al equipo de auditoría. Supervisar la eficacia de la comunicación y realizar mejoras según sea necesario. Obtenga el apoyo de la gerencia para la comunicación demostrando el valor de la comunicación efectiva e involucrando a la dirección en el proceso de planificación de la comunicación. |
| Garantía inadecuada de logro de los objetivos | Es posible que las auditorías internas no brinden una garantía adecuada a la dirección y otras partes interesadas de que se están cumpliendo los objetivos de la organización. | Falta de competencia o experiencia del equipo auditor. Planificación o preparación inadecuada para la auditoría. Incumplimiento del plan de auditoría. Documentación inadecuada de la auditoría. Falta de comunicación de los hallazgos de la auditoría a la gerencia y otras partes interesadas. | Asegúrese de que el equipo de auditoría sea competente y tenga experiencia en la realización de auditorías ISO 19011:2018. Planifique y prepare al equipo auditor cuidadosamente para cada auditoría. Siga de cerca el plan de auditoría. Documentar la auditoría minuciosamente. Comunicar los hallazgos de la auditoría a la dirección y otras partes interesadas de manera oportuna. |
| Seguimiento inadecuado | Es posible que la dirección no haga un seguimiento adecuado de los hallazgos y recomendaciones de la auditoría interna. | Falta de recursos o tiempo para implementar las recomendaciones. Falta de compromiso de la dirección para abordar los hallazgos. Desacuerdo con los hallazgos o recomendaciones. Incapacidad para identificar la causa raíz del problema. Falta de comunicación entre el equipo de auditoría y la dirección. | Asegúrese de que exista un proceso claro para implementar los hallazgos y recomendaciones de la auditoría. Asigne una responsabilidad clara para la implementación a un individuo o equipo específico. Monitorear el progreso en la implementación y rastrear cualquier riesgo o problema. Proporcionar retroalimentación regular a la gerencia sobre el progreso de la implementación. Comunicarse regularmente con el equipo de auditoría para asegurarse de que estén al tanto de cualquier cambio o desafío. |
| Falta de compromiso de la alta dirección | Es posible que la alta dirección no esté comprometida con la función de auditoría interna, lo que puede dar lugar a una falta de recursos y apoyo. | La alta dirección puede no comprender la importancia de la auditoría interna. La alta dirección puede no ver el valor de la auditoría interna. La alta gerencia puede no tener el tiempo o los recursos para apoyar la auditoría interna. La alta dirección puede no tener confianza en la función de auditoría interna. | Educar a la alta dirección sobre la importancia de la auditoría interna. Comunicar el valor de la auditoría interna a la alta dirección. Proporcione comprensión a la alta dirección sobre el tiempo y los recursos que se necesitan para respaldar la auditoría interna. Genere confianza en la función de auditoría interna demostrando su independencia, objetividad y competencia. |
| Falta de un estatuto/carta de auditoría interna | Es posible que la organización no tenga un estatuto de auditoría interna que defina el alcance, la autoridad y la responsabilidad de la función de auditoría interna. | La organización puede no tener un documento que defina el alcance, la autoridad y la responsabilidad de la función de auditoría interna. | Para mitigar este riesgo, la organización debe desarrollar e implementar un estatuto de auditoría interna. El estatuto debe ser un documento formal que defina lo siguiente: El objeto de la función de auditoría interna. El alcance de la función de auditoría interna. La autoridad de la función de auditoría interna. La responsabilidad de la función de auditoría interna. El estatuto debe ser firmado por el auditor líder del proceso de auditoría y la alta dirección. Debe ser revisado, actualizado y comunicado periódicamente. |
| Falta de un manual de auditoría interna | Es posible que la organización no tenga un manual de auditoría interna que brinde orientación sobre la realización de auditorías internas. | La causa del riesgo de falta de un manual de auditoría interna es que la organización puede no tener los recursos o la experiencia para desarrollar y mantener un manual de auditoría interna. | Para mitigar este riesgo, la organización debe desarrollar e implementar un manual de auditoría interna que proporcione una guía clara sobre la realización de auditorías internas, además: Brindar capacitación a los auditores internos sobre la norma ISO 19011:2018. Establecer un proceso para revisar y aprobar los planes de auditoría. Desarrollar un sistema para rastrear e informar sobre los hallazgos y recomendaciones de auditoría. Asegurarse de que todos los informes de auditoría sean revisados y actuados por la gerencia. |
| Documentación inadecuada | El trabajo de auditoría interna puede no estar adecuadamente documentado, lo que puede dificultar el seguimiento del progreso y la identificación de problemas. | Falta de tiempo o recursos para documentar adecuadamente el trabajo de auditoría. Falta de comprensión de la importancia de la documentación. Normas o procedimientos de documentación mal definidos. | Desarrollar e implementar un plan de documentación integral que describa el propósito, el alcance y el formato de toda la documentación de auditoría. Brindar capacitación a los auditores sobre la importancia de la documentación y la forma correcta de completarla. Establecer un sistema para rastrear y revisar la documentación de auditoría. |
| Garantía de calidad inadecuada | La organización puede no tener un programa efectivo de garantía de calidad para las auditorías internas. | La falta de un programa efectivo de aseguramiento de calidad para auditorías internas puede ser causada por la falta de recursos dedicados a esta actividad, la falta de comprensión de la importancia del aseguramiento de calidad o la falta de conocimiento de las mejores prácticas en este ámbito. | La organización puede mitigar este riesgo desarrollando e implementando un programa efectivo de garantía de calidad para las auditorías internas. Este programa debe incluir los siguientes elementos: Un sistema para controlar, monitorear y mejorar la eficacia de las auditorías internas. Realizar revisiones periódicas de las auditorías internas para evaluar su cumplimiento con los requisitos de la norma ISO 19011:2018 y con los procedimientos internos establecidos. Designar a un equipo o persona independiente dentro de la organización para llevar a cabo las revisiones de aseguramiento de calidad. Esta entidad debe tener la competencia necesaria para evaluar la eficacia de las auditorías internas. Establecer criterios claros de evaluación y medición de la calidad de las auditorías internas, como la precisión de los hallazgos, la identificación de oportunidades de mejora y la efectividad de las recomendaciones. |
| Falta de mejora continua | La organización puede no tener un proceso para mejorar continuamente la función de auditoría interna. | Esto podría deberse a una serie de factores, tales como: Falta de recursos, Falta de apoyo de la gerencia, Falta de conciencia de la importancia de la mejora continua. | La organización debe implementar un proceso para mejorar continuamente el proceso de auditoría interna. Este proceso debe incluir los siguientes pasos: Identificar áreas de mejora. Desarrollar e implementar planes de mejora. Supervisar y evaluar la eficacia de los planes de mejora. Al seguir estos pasos, la organización puede asegurarse de que su función de auditoría interna mejore continuamente y satisfaga las necesidades de la organización. |
| Uso inadecuado de la tecnología | Es posible que la organización no esté utilizando la tecnología de manera efectiva para respaldar el proceso de auditoría interna. | Es posible que la organización no cuente con la tecnología necesaria para respaldar la función de auditoría interna. Es posible que la organización no tenga la experiencia para usar la tecnología de manera efectiva. Es posible que la organización no cuente con un proceso para administrar el uso de la tecnología en el proceso de auditoría. | La organización debe identificar la tecnología que se necesita para respaldar la función de auditoría interna. La organización debe capacitar a su personal sobre cómo usar la tecnología de manera efectiva. La organización debería desarrollar un proceso para gestionar el uso de la tecnología en el proceso de auditoría. |
| Evaluación de riesgo inadecuada | Es posible que los auditores internos no evalúen adecuadamente los riesgos para los objetivos de la organización. | Falta de conocimiento o experiencia en evaluación de riesgos. Falta de tiempo o recursos para realizar una evaluación de riesgos exhaustiva. Presión para completar la auditoría rápidamente, sin tomarse el tiempo para evaluar adecuadamente los riesgos. | Hay que asegurar que los auditores internos tengan el conocimiento y la experiencia necesarios en la evaluación de riesgos. Proporcione a los auditores internos el tiempo y los recursos que necesitan para realizar una evaluación de riesgos exhaustiva. Crear una cultura dentro de la organización que fomente la comunicación abierta y honesta sobre los riesgos. Establecer un proceso para la gestión de riesgos que esté integrado con el sistema de gestión general de la organización. |
| Inadecuada selección de áreas de auditoría | Los auditores internos no pueden seleccionar áreas de auditoría que estén alineadas con el perfil de riesgo de la organización. | Los auditores internos pueden no tener una comprensión clara del perfil de riesgo de la organización. Es posible que los auditores internos no tengan acceso a la información que necesitan para tomar decisiones informadas sobre las áreas de auditoría. Es posible que los auditores internos no tengan el tiempo o los recursos para realizar una evaluación de riesgos exhaustiva. | Realizar una evaluación exhaustiva del perfil de riesgo de la organización: Es importante comprender los riesgos significativos a los que se enfrenta la organización y cómo pueden afectar su desempeño. Esto incluye identificar áreas clave de riesgo, como aquellas relacionadas con la integridad financiera, el cumplimiento normativo o la continuidad del negocio. Asegúrese de que los auditores internos comprendan claramente el perfil de riesgo de la organización. Proporcione a los auditores internos acceso a la información que necesitan para tomar decisiones informadas sobre las áreas de auditoría. Proporcione a los auditores internos el tiempo y los recursos que necesitan para realizar una evaluación de riesgos exhaustiva. |
| Inadecuada planificación de las auditorías | Es posible que los planes de auditoría interna no se adapten adecuadamente a las necesidades específicas del área de auditoría. | Falta de tiempo o recursos para planificar adecuadamente las auditorías. Falta de comprensión del área de auditoría o del sistema de gestión de la organización. Falta de experiencia en auditoría. | Asignar tiempo y recursos suficientes para planificar las auditorías. Hay que asegurar que los auditores tengan el conocimiento y la experiencia necesarios del área de auditoría y del sistema de gestión de la organización. Utilice un enfoque basado en el riesgo para planificar las auditorías, centrándose en las áreas que tienen más probabilidades de tener riesgos significativos. Involucrar al auditado en el proceso de planificación para garantizar que la auditoría sati... |
Procedimientos de Evaluación de Riesgos
El auditor aplicará procedimientos de evaluación del riesgo con el fin de disponer de una base para identificar y valorar los riesgos de error material en los estados financieros y en las afirmaciones. No obstante, los procedimientos de evaluación del riesgo por sí solos no proporcionan evidencia de auditoría suficiente y adecuada en la cual basar la opinión de auditoría.
Los procedimientos de evaluación del riesgo incluirán, además de los señalados en esta guía, los siguientes:
- Indagaciones ante la administración y ante otras personas de la entidad.
- Procedimientos analíticos.
- Observación e inspección.
Conocimiento Requerido de la Entidad y su Entorno
El auditor obtendrá conocimiento de los siguientes elementos a fin de que pueda obtener un conocimiento suficiente y adecuado de la entidad que le permita llevar a cabo una adecuada evaluación de riesgos y sustente la estrategia inicial de auditoría:
Lea también: Riesgos altos, medios y bajos en auditoría
- Factores relevantes sectoriales y normativos, así como otros factores externos, incluido el marco de información financiera aplicable.
- La naturaleza de la entidad, en particular:
- sus operaciones;
- sus estructuras de gobierno y propiedad;
- los tipos de inversiones que la entidad realiza o tiene previsto realizar; y
- el modo en que la entidad se estructura y la forma en que se financia para permitir al auditor comprender los tipos de transacciones, saldos contables e información a revelar que se espera encontrar en los estados financieros.
- La selección y aplicación de políticas contables por la entidad, incluidos los motivos de cambios en ellas. El auditor evaluará si las políticas contables de la entidad son adecuadas a sus actividades y congruentes con el marco de información financiera aplicable, así como con las políticas contables utilizadas en el sector correspondiente.
- Los objetivos y las estrategias de la entidad, así como los riesgos de negocio relacionados, que puedan dar lugar a errores materiales.
- La medida y revisión de la evolución financiera de la entidad.
El auditor debe aplicar su juicio profesional para determinar el grado de conocimiento necesario.
Indagaciones ante la Administración y ante Otras Personas de la Entidad
Una parte importante de la información obtenida a través de las indagaciones del auditor procede de la administración y de los responsables de la información financiera. Sin embargo, en la identificación de los riesgos de error material, el auditor también puede obtener información, o una perspectiva diferente, mediante indagaciones con otras personas de la entidad y con otros empleados con diferentes niveles de autoridad.
- Los responsables del gobierno de la entidad pueden ayudar al auditor a comprender el entorno en el que se preparan los estados financieros.
- El personal de auditoría interna puede proporcionar información acerca de los procedimientos de auditoría interna aplicados durante el ejercicio, relativos al diseño y a la eficacia del control interno de la entidad, así como acerca de si la administración ha respondido de manera satisfactoria a los hallazgos derivados de dichos procedimientos.
- Empleados que participan en la puesta en marcha, procesamiento o registro de transacciones complejas o inusuales pueden ayudar al auditor a evaluar la adecuación de la selección y aplicación de ciertas políticas contables.
- Los asesores legales internos pueden proporcionar información acerca de litigios, cumplimiento de las disposiciones legales y reglamentarias, conocimiento de fraude o de indicios de fraude que afecten a la entidad, garantías, obligaciones post-venta, acuerdos con socios comerciales y el significado de términos contractuales.
- Personal de los departamentos de mercadotecnia o de ventas pueden proporcionar información acerca de los cambios en las estrategias de marketing de la entidad, tendencias de las ventas o acuerdos contractuales con clientes.
Observación e Inspección
La observación y la inspección pueden dar soporte a las investigaciones realizadas con la administración y con otras personas, y pueden proporcionar información acerca de la entidad y de su entorno. Ejemplos de dichos procedimientos de auditoría incluyen la observación o inspección de:
- Las operaciones de la entidad.
- Documentos (como planes y estrategias de negocio), registros y manuales de control interno.
- Informes preparados por la administración (por ejemplo, informes de gestión trimestrales, informes anuales y estados financieros intermedios) y por los responsables del gobierno de la entidad (por ejemplo minutas o actas de las reuniones del consejo de administración, etcétera).
- Los locales e instalaciones industriales de la entidad.
Información Obtenida en Periodos Anteriores
La experiencia previa del auditor con la entidad y los procedimientos de auditoría aplicados en auditorías anteriores pueden proporcionar al auditor información sobre cuestiones como:
- Errores pasados y si fueron corregidos.
- La naturaleza de la entidad y su entorno, y el control interno de la entidad.
- Cambios significativos que pueden haberse producido en la entidad o en sus operaciones desde el periodo anterior, que pueden facilitar al auditor la obtención de conocimiento suficiente de la entidad para identificar y evaluar los riesgos de error material.
Si el auditor tiene intención de utilizar la información obtenida en periodos anteriores para los fines de la auditoría actual, determinará si sigue siendo relevante.
tags: #riesgo #profesional #en #auditoria #ejemplos