12 MIN LECTURA
Cuando se habla de auditoría, muchas personas piensan inmediatamente en la revisión de las cuentas anuales. Es lógico: la auditoría financiera es la modalidad más conocida y la que tiene una regulación profesional más definida. Sin embargo, el concepto de auditoría se utiliza también en otros ámbitos, como el control interno, el cumplimiento normativo, la fiscalidad, la tecnología, la investigación del fraude o la sostenibilidad.
Todas estas actividades comparten una misma idea: examinar una realidad de forma sistemática, obtener evidencias y comparar los resultados con unos criterios previamente definidos. Lo que cambia es el objeto analizado, el profesional que realiza el trabajo, el marco aplicable y la conclusión que se emite.
Ahora bien, antes de repasar sus principales modalidades, conviene realizar una precisión importante.
No todo lo que se denomina auditoría es una auditoría de cuentas
En España, la expresión auditoría de cuentas tiene un significado jurídico concreto. La Ley 22/2015, de Auditoría de Cuentas, la define como la actividad consistente en revisar y verificar las cuentas anuales, así como otros estados financieros o documentos contables, con el objeto de emitir un informe sobre su fiabilidad que pueda producir efectos frente a terceros.
La normativa distingue solamente dos modalidades de auditoría de cuentas:
- La auditoría de cuentas anuales.
- La auditoría de otros estados financieros o documentos contables.
Además, estos trabajos deben ser realizados por un auditor de cuentas o una sociedad de auditoría habilitados para ello y, cuando corresponda, inscritos como ejercientes en el Registro Oficial de Auditores de Cuentas (ROAC). Así lo ha recordado también el Instituto de Contabilidad y Auditoría de Cuentas (ICAC).
Por tanto, expresiones como auditoría interna, tributaria, operativa, informática o ambiental describen revisiones especializadas, pero no son auditorías de cuentas reguladas por la Ley 22/2015, salvo que el encargo concreto reúna los requisitos previstos en dicha norma.
Esta diferencia no convierte unas actividades en más importantes que otras. Simplemente evita confundir su finalidad, el nivel de aseguramiento que proporcionan y los efectos del informe resultante.
1. Auditoría financiera o auditoría de cuentas
La auditoría financiera examina si las cuentas anuales expresan, en todos los aspectos significativos, la imagen fiel del patrimonio, de la situación financiera y de los resultados de una entidad, de acuerdo con el marco normativo de información financiera que resulte aplicable.
El auditor no se limita a comprobar facturas ni puede revisar una por una todas las operaciones. Planifica su trabajo a partir de los riesgos de incorrección material, estudia el control interno relevante, selecciona muestras, obtiene evidencia y aplica su juicio profesional. Con ese trabajo alcanza una seguridad razonable, que es un nivel elevado de seguridad, aunque no absoluto.
El resultado es un informe con una opinión que puede ser favorable, con salvedades, desfavorable o denegada. Esa opinión incrementa la confianza de socios, entidades financieras, proveedores, inversores y otros usuarios en la información financiera.
Puede tratarse de una auditoría obligatoria, cuando la exige la legislación, o voluntaria, cuando la entidad decide someter sus cuentas a revisión por razones de transparencia, financiación, gobierno corporativo o preparación para una operación empresarial.
Objeto: cuentas anuales u otros estados financieros o documentos contables.
Quién la realiza: auditor de cuentas o sociedad de auditoría habilitados.
Resultado habitual: informe de auditoría con una opinión independiente.
Marco principal en España: Ley de Auditoría de Cuentas, su Reglamento y Normas Internacionales de Auditoría adaptadas para España (NIA-ES).
2. Auditoría interna
La auditoría interna se desarrolla desde dentro de la organización, aunque la función pueda externalizarse total o parcialmente. Su propósito es evaluar y mejorar los procesos de gobierno, gestión de riesgos y control.
A diferencia del auditor de cuentas, cuyo informe se dirige a los usuarios de la información financiera y debe mantener su independencia respecto de la entidad auditada, el auditor interno trabaja principalmente para el consejo de administración, la comisión de auditoría y la alta dirección. Para que su función sea eficaz necesita objetividad y una posición organizativa que le permita actuar sin interferencias.
Su alcance puede incluir compras, tesorería, ventas, protección de datos, prevención del fraude, recursos humanos, ciberseguridad o seguimiento de políticas internas. Las Normas Globales de Auditoría Interna del IIA constituyen el principal marco profesional internacional de referencia.
Objeto: gobierno corporativo, riesgos, controles y procesos.
Quién la realiza: departamento de auditoría interna o profesionales especializados.
Resultado habitual: informes de hallazgos, recomendaciones y planes de acción.
Marco de referencia: Normas Globales de Auditoría Interna y metodologías de gestión de riesgos y control, como COSO.
3. Auditoría operativa o de gestión
La auditoría operativa analiza si una actividad, departamento o proceso funciona con criterios de economía, eficiencia y eficacia. No pregunta solamente si una operación está correctamente registrada, sino si los recursos se utilizan bien y si el proceso permite alcanzar los objetivos previstos.
Puede estudiar, por ejemplo, los tiempos de producción, la rentabilidad por línea de negocio, la gestión de existencias, la contratación de proveedores o la atención al cliente. En muchos casos forma parte del plan de auditoría interna, aunque también puede encargarse a un especialista externo.
Sus conclusiones no suelen adoptar la forma de una opinión estandarizada. Normalmente identifican debilidades, cuantifican impactos y proponen mejoras concretas.
Objeto: procesos, recursos, desempeño y resultados.
Quién la realiza: auditores internos, consultores o equipos multidisciplinares.
Resultado habitual: diagnóstico y recomendaciones de mejora.
Criterios: objetivos, indicadores, presupuestos, procedimientos y buenas prácticas.
4. Auditoría de cumplimiento
La auditoría de cumplimiento verifica si una organización, una operación o un proceso respeta las normas que le resultan aplicables. Esas normas pueden ser leyes y reglamentos, pero también contratos, subvenciones, códigos éticos, protocolos o políticas internas.
Su alcance depende del riesgo que se quiera cubrir: prevención del blanqueo de capitales, protección de datos, condiciones de una ayuda pública, normativa laboral, contratación, regulación sectorial o prevención de riesgos laborales, entre otros.
No debe confundirse con el tratamiento del incumplimiento normativo dentro de una auditoría de cuentas. El auditor financiero considera las disposiciones legales que puedan afectar a los estados financieros, pero no emite por ello una garantía general de que la empresa cumple toda la legislación aplicable.
Objeto: observancia de normas externas e internas.
Quién la realiza: equipos de cumplimiento, auditores internos, abogados o especialistas.
Resultado habitual: relación de incumplimientos, riesgos y medidas correctoras.
Marco: normativa o criterios expresamente incluidos en el encargo.
5. Revisión o auditoría tributaria
La revisión tributaria analiza si las declaraciones, cálculos y procedimientos fiscales de una entidad se ajustan a la normativa y si existen contingencias, criterios discutibles u oportunidades de mejora.
Puede abarcar el Impuesto sobre Sociedades, el IVA, retenciones, operaciones vinculadas, tributos locales o la existencia de créditos fiscales. Habitualmente se realiza como trabajo preventivo, como parte de una due diligence o para preparar una comprobación administrativa.
Conviene distinguir esta revisión privada de los procedimientos de comprobación e investigación reservados a la Administración tributaria y regulados por la Ley 58/2003, General Tributaria. Un asesor puede evaluar riesgos fiscales, pero no sustituye a la Agencia Tributaria ni su informe tiene los mismos efectos.
Objeto: obligaciones, declaraciones y riesgos fiscales.
Quién la realiza: asesores fiscales, abogados tributarios y otros especialistas.
Resultado habitual: informe de contingencias y recomendaciones.
Marco: legislación tributaria aplicable al periodo y a la operación revisada.
6. Auditoría forense
La auditoría forense se orienta a investigar hechos concretos cuando existen indicios de fraude, apropiación indebida, corrupción, manipulación contable, conflicto de interés u otras conductas irregulares.
Su enfoque es diferente al de la auditoría de cuentas. Mientras esta última busca obtener seguridad razonable sobre los estados financieros en su conjunto, una investigación forense intenta reconstruir operaciones, identificar responsables, cuantificar perjuicios y preservar evidencias que eventualmente puedan utilizarse en un procedimiento judicial.
Puede requerir análisis masivo de datos, revisión documental, entrevistas, trazabilidad de pagos y técnicas de informática forense. Por ello suelen intervenir perfiles contables, jurídicos y tecnológicos.
Objeto: hechos, transacciones o conductas sospechosas.
Quién la realiza: equipos forenses multidisciplinares y, en su caso, peritos.
Resultado habitual: informe de investigación o dictamen pericial.
Criterios: normativa aplicable, protocolos de investigación y reglas de obtención y custodia de la evidencia.
7. Auditoría de sistemas y tecnologías de la información
La auditoría de sistemas evalúa si la tecnología protege adecuadamente los datos, asegura la continuidad de las operaciones y soporta de forma fiable los procesos de negocio.
Puede revisar controles de acceso, copias de seguridad, gestión de cambios, ciberseguridad, continuidad, proveedores tecnológicos, aplicaciones o calidad de los datos. El INCIBE destaca que estas revisiones obtienen evidencias sobre el cumplimiento de los requisitos de seguridad y ayudan a conocer el estado de protección de la organización.
La auditoría de TI puede ser autónoma o apoyar una auditoría financiera cuando los registros contables dependen de sistemas complejos. Entre sus marcos habituales se encuentran COBIT, ISO/IEC 27001 y el Esquema Nacional de Seguridad, según el tipo de entidad y encargo.
Objeto: sistemas, aplicaciones, datos e infraestructura tecnológica.
Quién la realiza: auditores de sistemas y especialistas en ciberseguridad.
Resultado habitual: evaluación de controles, vulnerabilidades y plan de remediación.
Marco: estándares tecnológicos, requisitos de seguridad y políticas de la entidad.
8. Auditoría pública o fiscalización
En el sector público, la fiscalización controla la actividad económico-financiera y el uso de los fondos públicos. Puede tener carácter financiero, de cumplimiento u operativo.
El Tribunal de Cuentas identifica precisamente esas tres modalidades dentro de su función fiscalizadora. Junto a él actúan otros órganos de control externo y de control interno de las distintas administraciones.
La delimitación es importante: determinados trabajos atribuidos a órganos públicos se rigen por su normativa específica y no por la Ley de Auditoría de Cuentas. El propio ICAC ha aclarado esta separación.
Objeto: cuentas, legalidad, gestión y recursos del sector público.
Quién la realiza: Tribunal de Cuentas, órganos autonómicos de control externo e intervenciones públicas, según sus competencias.
Resultado habitual: informes de fiscalización, control financiero o auditoría pública.
Marco: normativa presupuestaria y de control del sector público.
9. Auditoría ambiental y verificación de sostenibilidad
La auditoría ambiental evalúa el sistema de gestión ambiental de una organización, el cumplimiento de requisitos y el tratamiento de aspectos como residuos, consumos, emisiones o riesgos ambientales. Normas de la familia ISO 14000 proporcionan referencias para los sistemas de gestión ambiental y para su auditoría.
Debe distinguirse de la verificación de información sobre sostenibilidad, que analiza la información divulgada por una empresa sobre cuestiones ambientales, sociales y de gobernanza conforme a un marco de información aplicable. Aunque ambos trabajos pueden coincidir en algunas evidencias, su objeto y su conclusión no son idénticos.
La sostenibilidad está ampliando el campo del aseguramiento profesional: ya no basta con comunicar compromisos; los usuarios demandan información medible, comparable y verificable.
Objeto: desempeño y sistemas ambientales o información de sostenibilidad.
Quién la realiza: auditores ambientales, entidades de certificación o verificadores habilitados, según el encargo.
Resultado habitual: informe de auditoría del sistema, certificación o informe de verificación.
Marco: normativa ambiental, estándares de gestión y normas de información y verificación aplicables.
Comparativa rápida de los principales tipos de auditoría
| Tipo | Pregunta principal | Objeto habitual | Resultado |
|---|---|---|---|
| Financiera | ¿Las cuentas ofrecen información fiable? | Estados financieros | Opinión de auditoría |
| Interna | ¿Los riesgos y controles están bien gestionados? | Gobierno, riesgos y controles | Hallazgos y recomendaciones |
| Operativa | ¿La organización funciona con eficiencia y eficacia? | Procesos y desempeño | Propuestas de mejora |
| Cumplimiento | ¿Se respetan las normas y compromisos aplicables? | Leyes, contratos y políticas | Incumplimientos y acciones correctoras |
| Tributaria | ¿Las obligaciones fiscales están correctamente tratadas? | Impuestos y declaraciones | Contingencias fiscales |
| Forense | ¿Qué ocurrió, cómo y con qué impacto? | Hechos sospechosos | Informe de investigación o pericial |
| Sistemas/TI | ¿Los sistemas y datos son fiables y seguros? | Tecnología e información | Riesgos y plan de remediación |
| Pública | ¿Los fondos públicos se gestionan legal y adecuadamente? | Actividad económico-financiera pública | Informe de fiscalización |
| Ambiental/sostenibilidad | ¿El desempeño o la información cumplen los criterios establecidos? | Sistemas ambientales e información ESG | Auditoría, certificación o verificación |
¿Qué tipo de auditoría necesita una organización?
La respuesta depende de la pregunta que se quiera resolver. Si se pretende aportar confianza sobre las cuentas anuales, el encargo adecuado será una auditoría de cuentas. Si la preocupación está en los controles, los procesos o la tecnología, puede ser más útil una auditoría interna, operativa o de sistemas. Si existen sospechas de una irregularidad concreta, será necesario un trabajo forense. Y si el riesgo procede de obligaciones legales, fiscales o ambientales, el encargo deberá diseñarse alrededor de esos criterios.
Antes de contratar cualquier revisión conviene definir con claridad cinco elementos:
- El objetivo del trabajo.
- La información y el periodo que se revisarán.
- Los criterios con los que se evaluará esa información.
- El nivel de seguridad o alcance esperado.
- Los destinatarios y el uso que se dará al informe.
Llamar «auditoría» a un trabajo no garantiza por sí solo un determinado nivel de revisión. Lo que realmente importa es conocer qué se ha examinado, con qué normas, quién lo ha realizado y qué conclusión puede extraerse.
Una profesión, muchas especialidades
La auditoría no consiste únicamente en revisar números. Consiste en transformar evidencias en confianza y en ayudar a que organizaciones y terceros tomen mejores decisiones.
La auditoría de cuentas ocupa un lugar singular por su regulación, su independencia y los efectos de su informe frente a terceros. Alrededor de ella conviven numerosas especialidades que responden a riesgos cada vez más diversos: fraude, ciberseguridad, cumplimiento, eficiencia, fiscalidad o sostenibilidad.
Conocer sus diferencias permite elegir el trabajo adecuado y comprender mejor el valor que cada profesional puede aportar.
