4 MIN LECTURA
Una auditoría de cuentas no se limita a comprobar cifras. Para identificar y valorar los riesgos de incorrección material, el auditor necesita comprender aspectos relevantes del sistema de control interno de la entidad. ¿Qué ocurre si durante ese trabajo identifica deficiencias?
Comprender el control interno no significa auditar todos sus controles
La NIA-ES 315 exige obtener conocimiento del sistema de control interno relevante para la auditoría. Este conocimiento permite diseñar procedimientos adecuados a los riesgos identificados. Sin embargo, en una auditoría ordinaria de estados financieros el objetivo no es emitir una opinión independiente sobre la eficacia global del control interno.
Por tanto, el auditor no garantiza que todos los controles funcionen correctamente ni que vaya a identificar todas las deficiencias existentes.
¿Qué es una deficiencia de control interno?
Conforme a la NIA-ES 265, existe una deficiencia cuando un control está diseñado, implementado u opera de forma que no puede prevenir, o detectar y corregir oportunamente, incorrecciones en los estados financieros; o cuando falta un control necesario para ese fin.
Por ejemplo, la ausencia de una revisión independiente de determinadas conciliaciones bancarias puede constituir una deficiencia, aunque su importancia dependerá de las circunstancias de la entidad.
¿Cuándo es significativa?
Una deficiencia significativa es aquella que, individualmente o combinada con otras, tiene importancia suficiente para merecer la atención de los responsables del gobierno de la entidad, según el juicio profesional del auditor.
No equivale automáticamente a una incorrección material en las cuentas anuales. Tampoco exige que ya se haya producido un error: la posibilidad y las consecuencias potenciales de las incorrecciones son relevantes para evaluar su gravedad.
¿A quién debe comunicarla el auditor?
La NIA-ES 265 requiere comunicar por escrito y oportunamente a los responsables del gobierno de la entidad las deficiencias significativas identificadas durante la auditoría. También exige comunicar oportunamente a la dirección, al nivel adecuado, esas deficiencias, salvo que no resulte apropiado comunicarlas directamente por las circunstancias; y otras deficiencias identificadas que, según el juicio profesional del auditor, tengan importancia suficiente para merecer la atención de la dirección y que no se le hayan comunicado previamente por otras partes.
La comunicación escrita de las deficiencias significativas debe describirlas, explicar sus posibles efectos e incluir el contexto necesario para comprender el alcance de la comunicación y las limitaciones inherentes de la auditoría.
¿Significa que el informe de auditoría tendrá salvedades?
No necesariamente. Una deficiencia de control interno no determina por sí sola una opinión modificada. El auditor debe evaluar sus efectos sobre la valoración de riesgos, la naturaleza y extensión de los procedimientos y, en su caso, sobre la evidencia obtenida y las incorrecciones detectadas.
La opinión se forma sobre los estados financieros de acuerdo con el marco de información financiera aplicable, no sobre la eficacia general de los controles de la empresa.
Una oportunidad de mejora, sin confundir responsabilidades
La dirección es responsable del diseño, implantación y mantenimiento del control interno que considere necesario para preparar estados financieros libres de incorrecciones materiales debidas a fraude o error. El auditor debe preservar su independencia y no asumir funciones de gestión.
Una comunicación clara de deficiencias puede ayudar a la entidad a priorizar mejoras, pero corresponde a la dirección decidir, implantar y supervisar las medidas correctoras.
La conclusión
Identificar una deficiencia no significa que la auditoría haya fracasado, ni que el auditor deba convertirse en consultor de procesos. Significa que debe evaluar su relevancia, responder adecuadamente a los riesgos y efectuar las comunicaciones que exigen las normas.
La auditoría aporta valor cuando combina rigor técnico, comunicación útil e independencia profesional.
Referencias normativas: NIA-ES 265, Comunicación de las deficiencias en el control interno a los responsables del gobierno y a la dirección de la entidad; NIA-ES 315, Identificación y valoración de los riesgos de incorrección material.
Lectura relacionada: Control interno: por qué el auditor necesita entender cómo funciona una empresa.
