2 MIN LECTURA
Antes de decidir qué facturas comprobar, qué clientes circularizar o qué muestras seleccionar, el auditor necesita comprender algo más básico: cómo funciona la empresa y cómo genera, procesa y controla su información financiera.
Ese conocimiento es una parte esencial de una auditoría basada en riesgos.
¿Qué entendemos por control interno?
El control interno comprende los procesos, políticas y procedimientos establecidos por la entidad para contribuir, entre otros objetivos, a la fiabilidad de la información financiera. Puede abarcar desde autorizaciones y conciliaciones hasta segregación de funciones, controles informáticos o revisiones realizadas por la dirección.
¿Por qué le interesa al auditor?
Porque las cifras no aparecen espontáneamente en las cuentas anuales. Proceden de procesos: ventas, compras, nóminas, tesorería, inventarios, cierres contables y sistemas de información.
Comprender esos procesos ayuda al auditor a identificar dónde pueden producirse incorrecciones materiales y a valorar los riesgos correspondientes.
Entender un control no significa confiar automáticamente en él
Una distinción importante es que conocer cómo está diseñado un control no equivale a concluir que ha funcionado eficazmente durante todo el ejercicio. Cuando el auditor pretende apoyarse en determinados controles, deberá obtener la evidencia que corresponda sobre su eficacia operativa conforme a las normas aplicables.
Un ejemplo
Imaginemos una empresa en la que una misma persona puede crear un proveedor, modificar su cuenta bancaria, registrar una factura y ordenar el pago sin una revisión independiente. Aunque las cifras finales puedan parecer razonables, el proceso presenta un riesgo que el auditor tendrá que considerar.
En otra entidad, esas funciones pueden estar segregadas y existir autorizaciones y revisiones documentadas. El riesgo y, por tanto, el enfoque de auditoría pueden ser diferentes.
Auditar no es empezar por los justificantes
Una buena auditoría empieza entendiendo el negocio, sus sistemas y sus riesgos. Solo después se diseña una respuesta de auditoría adecuada. Esta lógica está en el centro de la NIA-ES 315 (Revisada 2019) y de la NIA-ES 330.
Por eso dos empresas con cifras similares pueden requerir auditorías muy distintas: detrás de los números existen procesos, controles y riesgos diferentes.
Fuentes: NIA-ES 315 (Revisada 2019) y NIA-ES 330. Normativa vigente de auditoría publicada por el ICAC.
