8 MIN LECTURA
Cuando aparece un fraude empresarial importante, hay una pregunta que casi siempre termina apareciendo:
¿Dónde estaban los auditores?
La pregunta es comprensible. Si una empresa estaba auditada y posteriormente se descubre un fraude, puede parecer lógico pensar que la auditoría debería haberlo detectado.
Pero la realidad es bastante más compleja. Y también lo es la responsabilidad del auditor.
La normativa de auditoría dedica una norma específica a esta cuestión: la NIA-ES 240, Responsabilidades del auditor en la auditoría de estados financieros con respecto al fraude.
Y su planteamiento permite desmontar dos ideas equivocadas que aparecen con frecuencia: que una auditoría garantiza que no existe fraude y que detectar el fraude no es responsabilidad del auditor.
Ninguna de las dos afirmaciones es correcta.
Primero: ¿quién es responsable de prevenir y detectar el fraude?
La responsabilidad principal corresponde a la dirección y a los responsables del gobierno de la entidad.
Son quienes gestionan la organización, diseñan y mantienen sus sistemas de control interno y tienen capacidad para establecer una cultura de integridad, mecanismos de prevención y controles que reduzcan las oportunidades de cometer fraude.
La auditoría no sustituye ese sistema de control. Tampoco traslada al auditor la responsabilidad que corresponde a quienes administran y gobiernan la organización.
Pero esto no significa que el auditor pueda ignorar el riesgo de fraude.
Entonces, ¿qué responsabilidad tiene el auditor?
Aquí aparece uno de los grandes malentendidos sobre nuestra profesión.
El auditor es responsable de obtener una seguridad razonable de que los estados financieros, considerados en su conjunto, están libres de incorrecciones materiales debidas a fraude o error.
Seguridad razonable. No seguridad absoluta.
Una auditoría realizada correctamente proporciona un alto grado de seguridad, pero no constituye una garantía de que cualquier incorrección material existente vaya a ser detectada.
Las propias normas de auditoría reconocen que existe un riesgo inevitable de que determinadas incorrecciones materiales puedan no descubrirse incluso cuando la auditoría ha sido correctamente planificada y ejecutada.
Por tanto, tampoco sería correcto afirmar automáticamente: “Si había fraude y el auditor no lo detectó, el auditor hizo mal su trabajo.”
La cuestión que habría que analizar es diferente: ¿identificó y valoró adecuadamente el auditor los riesgos? ¿Diseñó procedimientos apropiados para responder a ellos? ¿Obtuvo evidencia suficiente y adecuada? ¿Mantuvo el escepticismo profesional exigido por las normas?
¿Por qué es más difícil detectar un fraude que un error?
Porque existe una diferencia fundamental: el fraude es intencionado.
Un error puede producirse accidentalmente. Quien comete un fraude, en cambio, normalmente tiene interés en ocultarlo.
Puede hacerlo mediante falsificación documental, omisiones deliberadas, operaciones diseñadas para esconder su verdadera naturaleza, manifestaciones falsas o incluso mediante la colaboración de varias personas.
La colusión puede hacer especialmente difícil la detección porque determinada evidencia que aparentemente resulta convincente puede haber sido manipulada.
Por eso las normas reconocen que el riesgo de no detectar una incorrección material causada por fraude es mayor que el de no detectar una causada por error.
¿Qué ocurre cuando el fraude procede de la propia dirección?
El riesgo aumenta.
La dirección ocupa una posición especialmente sensible porque puede tener capacidad para eludir controles que aparentemente funcionan correctamente.
Por eso el riesgo de elusión de controles por parte de la dirección tiene una consideración especial dentro de la auditoría.
El auditor debe responder mediante procedimientos específicos. Entre ellos se encuentran actuaciones relacionadas con los asientos del libro diario y otros ajustes, la revisión de estimaciones contables buscando posibles sesgos de la dirección y el análisis de determinadas operaciones significativas que se encuentren fuera del curso normal de los negocios o que resulten inusuales.
No son procedimientos accesorios. Forman parte de la respuesta del auditor frente al riesgo de fraude.
El auditor tampoco puede limitarse a preguntar
Una auditoría no consiste en preguntar a la dirección si existe fraude y aceptar su respuesta.
Las normas exigen mantener una actitud de escepticismo profesional durante toda la auditoría.
Esto significa tener presente la posibilidad de que exista una incorrección material debida a fraude, incluso cuando la experiencia previa con la dirección haya sido positiva.
Si dos documentos se contradicen, habrá que investigar. Si una explicación no encaja con otra evidencia disponible, habrá que profundizar. Si aparece una operación extraordinaria difícil de justificar económicamente, puede ser necesario analizarla con mayor detalle.
El escepticismo profesional no significa desconfiar sistemáticamente de todo el mundo. Significa algo mucho más importante: no sustituir evidencia por confianza.
¿Debe el auditor buscar cualquier fraude existente en una empresa?
No exactamente.
Una auditoría financiera tiene un objetivo determinado: emitir una opinión sobre los estados financieros.
Por eso, desde la perspectiva de la NIA-ES 240, al auditor le preocupan especialmente los fraudes que puedan provocar incorrecciones materiales en los estados financieros.
La norma contempla fundamentalmente dos grandes tipos de incorrecciones intencionadas: las derivadas de información financiera fraudulenta y las derivadas de apropiación indebida de activos.
Además, existe otra distinción importante. El auditor puede encontrar indicios o identificar circunstancias sospechosas, pero no corresponde al auditor determinar jurídicamente si se ha cometido un fraude. Esa determinación pertenece al ámbito legal correspondiente.
Un ejemplo sencillo
Imaginemos una empresa en la que un empleado sustrae pequeñas cantidades de dinero durante varios años. Puede existir fraude, pero su impacto podría no resultar material para los estados financieros considerados en su conjunto.
Ahora imaginemos que la dirección manipula deliberadamente el reconocimiento de ingresos para incrementar significativamente el resultado del ejercicio y alcanzar determinados objetivos financieros.
También existe fraude. Pero en este segundo supuesto puede existir una incorrección material en los estados financieros.
Desde la perspectiva de una auditoría de cuentas, las implicaciones son muy diferentes.
Auditoría y forensic: dos trabajos diferentes
Cuando hablamos de fraude también conviene diferenciar una auditoría de cuentas de los trabajos habitualmente denominados forensic o investigación forense.
Un trabajo forensic puede iniciarse precisamente cuando existen sospechas concretas de apropiación indebida de activos, manipulación contable, pagos irregulares, conflictos de interés u otras conductas que requieren una investigación específica.
La diferencia fundamental está en el objetivo y el alcance del trabajo.
En una auditoría de cuentas, el auditor busca obtener seguridad razonable de que los estados financieros, considerados en su conjunto, están libres de incorrecciones materiales debidas a fraude o error.
En un trabajo forensic, en cambio, el encargo puede diseñarse específicamente para investigar determinados hechos, operaciones, personas, periodos o indicios y tratar de reconstruir qué ha sucedido.
Eso puede llevar a aplicar procedimientos mucho más focalizados: análisis detallado de transacciones, trazabilidad de movimientos de fondos, revisión de documentación y comunicaciones cuando legalmente proceda, análisis masivo de datos, identificación de relaciones entre partes o reconstrucción cronológica de determinadas operaciones.
Una auditoría de cuentas no es una investigación forense. Y una investigación forense no sustituye a una auditoría de cuentas.
La brecha de expectativas
Buena parte del debate sobre fraude y auditoría nace de una diferencia entre lo que la sociedad espera que haga un auditor y lo que realmente proporciona una auditoría de cuentas.
Es lo que internacionalmente suele denominarse expectation gap o brecha de expectativas.
Una persona puede interpretar que una empresa auditada es una empresa sin fraude, sin errores, financieramente sana o incluso destinada a continuar funcionando.
Pero una opinión de auditoría no proporciona ninguna de esas garantías absolutas.
La auditoría proporciona algo diferente y extraordinariamente importante: un alto grado de seguridad sobre si los estados financieros, considerados en su conjunto, están libres de incorrecciones materiales.
Y esa seguridad abarca tanto las incorrecciones debidas a error como las debidas a fraude.
Comprender esta diferencia no reduce la responsabilidad del auditor. La define correctamente.
Entonces, ¿qué puede garantizar realmente una auditoría?
Una auditoría no garantiza que no exista ningún fraude en una empresa. No garantiza que todas las irregularidades sean descubiertas. Ni garantiza que las cuentas estén absolutamente libres de cualquier error.
Pero tampoco significa que el auditor pueda desentenderse del fraude.
El auditor debe identificar y valorar los riesgos de incorrección material debida a fraude, diseñar respuestas adecuadas frente a esos riesgos, mantener el escepticismo profesional y obtener evidencia suficiente y adecuada que le permita alcanzar una seguridad razonable sobre los estados financieros considerados en su conjunto.
Ni detective ni mero espectador
Probablemente los dos extremos sean equivocados.
El auditor no es un investigador cuya misión sea descubrir cualquier fraude existente en una organización.
Pero tampoco es un mero observador que pueda ignorar el riesgo de fraude alegando que prevenirlo corresponde a la dirección.
Las normas de auditoría le atribuyen responsabilidades claras: debe pensar dónde puede producirse el fraude, valorar su riesgo, adaptar sus procedimientos, mantener el escepticismo profesional y reaccionar cuando la evidencia obtenida indique que algo no encaja.
Porque una auditoría no promete que el fraude sea imposible.
Lo que busca es obtener una seguridad razonable de que las cuentas anuales, consideradas en su conjunto, están libres de incorrecciones materiales, también cuando esas incorrecciones puedan deberse a fraude.
Para seguir profundizando
Este artículo se complementa con nuestros contenidos sobre escepticismo profesional, asientos contables y ajustes manuales y los casos de Soy auditor, pero no el auditor de….
Próximamente abordaremos también: Auditoría vs. forensic: qué diferencia hay y cuándo se utiliza cada uno.
Fuente normativa principal
NIA-ES 240 — Responsabilidades del auditor en la auditoría de estados financieros con respecto al fraude. Instituto de Contabilidad y Auditoría de Cuentas (ICAC). Consultar la norma en el ICAC.
