Source: http://xn--caribea-9za.eumed.net/gestion-riesgos-auditoria/
Timestamp: 2018-07-18 10:52:54+00:00

Document:
La gestión de riesgos de auditoría: una fórmula de calidad y efectividad para los auditores del sistema cubano de auditoría
Rafael Enrique Viña Echevarría(CV)
rafaele@fch.suss.co.cu
Sonia Hernández La Rosa(CV)
Yeni Leidy Cancio Valdés(CV)
yeni@fch.suss.co.cu
La gestión de los riesgos del auditor en las auditorías constituye una necesidad primordial para darle cumplimiento a lo estipulado en las normas cubanas para auditores, donde en sus normas 400-699 se plantea la identificación y evaluación de riesgos. El presente artículo pretende valorar el estado actual que presenta la aplicación de esta normativa en el sistema de auditoría en Cuba y la propuesta de un procedimiento de gestión del riesgo de auditoría para los auditores del Sistema de Auditoría en la provincia de Sancti Spíritus, el cual debe contextualizar herramientas basadas en las Normas Cubanas de Auditoría. El procedimiento aporta herramientas que le permiten al auditor poder identificar y evaluar riesgos inherentes, de control y detección, así como perfeccionar el planeamiento de la auditoría, y demostrar en los hallazgos la efectividad de los riesgos. La aplicación del procedimiento ha de confirmar la calidad en el ejercicio de la auditoría, así como su efectividad.
Palabras claves: gestión de riesgos, riesgo inherente, riesgo de control, riesgo de detección, identificación de riesgos, evaluación de riesgos, contextualización de los riesgos, hallazgos de auditoría.
Management of auditing risks: A formula of quality and effectiveness for the auditors of the cuban auditing system.
Management of risk of any auditor constitutes a primary need to fulfill all that is stipulated on the cuban standards for auditors, where in its 400-699 standards include the identification and evaluation of risks. This article is intended to evaluate the actual situation of the application of this standard in the cuban auditing system and it proposes a procedure of auditing risk management for the auditors of the Auditing System at Sancti Spirits’ province, which must contextualize different tools based on the cuban auditing standards. The procedure gives the auditor some tools to identify and to evaluate the inherent risks, of control and detection as well as making the planning of auditing perfect. The application of the procedure has to confirm the quality in the auditing exercise, as well as its effectiveness.
Key words: Risk management, inherent risk, risk of control, risk of detection, risk of identification, evaluation of risks, contextualization of risks, findings of auditing.
Las continuas transformaciones socioeconómicas que se gestan en el escenario empresarial cubano, los cambios en las políticas y regulaciones en la actividad de la auditoría, y la armonización de sus normativas a las normas internacionales han impulsado a las instituciones que se desempeñan en el sistema de auditoría a realizar una profunda reflexión sobre sus modos y métodos de actuación para lograr un equilibrio entre el trabajo realizado y las exigencias regulatorias. Tal es el caso de las Normas Cubanas de Auditoría, en cuyo interior se establece como obligatoriedad la aplicación de la norma de Evaluación del riesgo y respuesta a los riesgos identificado, categoría que no ha tenido una generalización objetiva en las auditorías desarrolladas hasta el presente, lo que ha atentado contra su calidad y efectividad.
Ello obliga a una revisión exhaustiva de esta norma para proporcionar mecanismos y herramientas que el auditor pueda utilizar durante la planeación de la auditoría, que de cómo resultado un balance de riesgo, los cuales permitirán guiar al auditor en su trabajo, para la búsqueda de respuestas que expresen las causas y condiciones de aquellas incorrecciones que están afectando la eficiencia de la actividad objeto de auditoría y la credibilidad de la información que muestra la organización empresarial.
En estudios previos realizados se ha podido constatar la escasa evidencia que revele en Cuba la realización de auditorías con enfoque de riesgos, dado fundamentalmente por las siguientes razones:
Falta de entendimiento de los conceptos de riesgo en el proceso de auditoría.
La evaluación de riesgo puede requerir conocimientos especializados o software.
Falta de tiempo al planear.
Un solo auditor para utilizar herramientas de planeación.
Independientemente a la existencia de una normativa cubana que orienta su aplicación en todas las auditorías, las exiguas fuentes de investigación hacen alusión a su concentración en las auditorías financieras, y la evaluación de la misma por los auditores en su trabajo es aún insuficiente. Sin embargo, los riesgos de auditoría están presentes en cualquier sistema o proceso que se ejecute.
Todo ello ha precisado dictaminar como insuficiencias en la gestión de riesgos en la auditoría:
La inexistencia de una regulación que estableciera la necesidad de la identificación del riesgo como una herramienta de la auditoría, eso trajo consigo que las auditorías no tuvieran un enfoque de riesgos.
En la experiencia de los auditores no se evidencia la determinación del riesgo como una técnica necesaria para tomar decisiones durante la planeación de la auditoría y tampoco en la ejecución.
Como parte del proceso de perfeccionamiento del sistema de auditoría se introduce la norma 400-699: evaluación del riesgo y respuesta a los riesgos, que obliga al auditor a enfocar todo tipo de auditoría sobre la base de los riesgos.
Tales rasgos de origen fáctico obligan al estudio de la necesidad de la determinación del riesgo en el proceso de auditoría, expresados en las insuficiencias en la aplicación de herramientas de gestión de los riesgos por los auditores del sistema cubano de auditoría.
El propósito del estudio se enmarcó en la propuesta de herramientas para la gestión del riesgo en las auditorías, concebidas en un procedimiento, y desarrolladas por los auditores del Sistema de Auditoría de la provincia de Sancti Spíritus. Tales herramientas se expresan en procedimientos específicos para identificar y evaluar los riesgos durante la auditoría y la respuesta que dan los auditores a los mismos a través de los resultados.
Para ello se configuró un análisis de los riesgos de auditoría, interpretados como técnicas decisorias integradas a lograr resultados de calidad, cuya justificación se basó en un estudio de la experiencia de los auditores del sistema cubano de auditoría, sobre la cual y para quienes se propuso un procedimiento para la gestión de riesgos de auditoría.
Técnicas especiales para decisiones en auditoría
En la realización de cualquier tipo de auditoría los auditores han de tener presente un grupo de técnicas necesarias para decidir cuáles procedimientos han de ejecutarse durante el desarrollo de las mismas, precisando de esta manera el alcance, los objetivos, las pruebas de control y sustantivas. Tales técnicas constituyen insumos de la planeación, como el conocimiento del ente a auditar y la evaluación del sistema de control interno, para ayudarse a determinar dos factores de medición fundamentales de la estrategia de auditoría: la materialidad y el riesgo de auditoría, y de esta manera poder planear el tamaño de muestra a seleccionar, que sea consecuente con los riesgos identificados y las pruebas a aplicar.
Para ello, en la fase de planificación, se recopilan una serie de insumos de información necesarios para definir la estrategia de auditoría que orientará la fase de ejecución del proceso. Esta fase se caracteriza por el conocimiento y comprensión global de la entidad auditada que debe alcanzar el auditor para definir como va a ejecutar el examen de los estados financieros u otros procesos y actividades.
La planeación depende del tamaño y complejidad del sujeto de la auditoría; es un proceso continuo de actividades que se realizan antes de ejecutar aquellos procedimientos de auditoría de los cuales se van a obtener la evidencia de auditoría suficiente y apropiada, y consiste en lo siguiente:
Involucrar a los miembros clave del equipo.
Realizar actividades preliminares.
1 Estrategia y plan de auditoría.
2 Cambios y supervisión del trabajo.
En esta etapa de la auditoría, el auditor deberá realizar las siguientes actividades al inicio de la misma:
Evaluar la continuidad de las relaciones de trabajo con el cliente, identificando cambios, riesgos o temas de integridad que impacten el proceso de planeación.
Asegurarse de que el auditor cumpla los requisitos de ética e independencia.
Establecer las condiciones del trabajo a través de una carta de servicios profesionales.
Si es aplicable, comunicarse con el auditor predecesor.
Además, el auditor deberá establecer una estrategia (visión general) que marque el alcance, fechas y la dirección del trabajo, así como desarrollar un plan de auditoría (detalle) que incluya lo siguiente:
Naturaleza, alcance y oportunidad de los procedimientos para la evaluación de riesgos.
Naturaleza, alcance y oportunidad de los procedimientos de auditoría a nivel aseveración de estados financieros.
Otros procedimientos de auditoría requeridos por las normas de auditoría establecidas.
El numeral a) del artículo 131 de las Normas de Auditoría de la INTOSAI, establece que para todo tipo de auditoría: “el auditor debe planear sus tareas de manera tal que asegure la realización de una auditoría de alta calidad y que ésta sea obtenida con la economía, eficiencia, eficacia y prontitud debidas”. Más adelante se especifican los pasos que el auditor debe cubrir para asegurar un buen proceso (Artículos del 132 al 135), desde “señalar los aspectos más importantes del ámbito en el que opere la entidad fiscalizada”, hasta “recopilar la documentación conveniente relacionada con el plan de auditoría y con el trabajo práctico previsto”. (INTOSAI, 2005)
Tales artículos señalan que la planeación incluye actividades tales como:
Conocimiento y comprensión de la entidad auditada;
determinación de los objetivos y alcance de la auditoría;
cálculo de la materialidad y evaluación del riesgo;
preparación del plan de auditoría (memorando de planificación); y
preparación y aprobación de los programas de auditoría.
Más adelante señala que el propósito de esta fase es definir los riesgos de auditoría y diseñar los objetivos y procedimientos necesarios para llevar a cabo la misma. Lo anterior, debe incluir los recursos técnicos, humanos y financieros necesarios para llevar a cabo este proceso.
Para la determinación de los riesgos, la normativa de la INTOSAI sugiere que el auditor se implique y responsabilice con el establecimiento del límite máximo de error que está dispuesto a aceptar para emitir una opinión limpia sobre los estados financieros, tomando en cuenta a los usuarios de esa información financiera, con base en ese monto el auditor tomará decisiones como la selección de las áreas o ciclos que merecen especial atención y que su análisis servirá para sustentar la opinión que emitirá.
El auditor a fin de presentar un dictamen lo más cercano a la realidad debe hacer una evaluación de riesgos o situaciones que afectarían la opinión, los cuales pueden provenir del riesgo a la comisión de errores del ciclo o la transacción por sí misma (riesgo inherente), otros tienen como base la ausencia, inaplicabilidad o ineficacia de los controles internos (riesgo de control) y por último, los riesgos asociados directamente con los procedimientos diseñados por el auditor (riesgo de detección).
Según Carmona, M., 2003, para evaluar los riesgos y determinar su efecto en una auditoría se deben ejecutar un conjunto de pasos o procederes que permiten un incremento de la efectividad a la hora de dictaminar la razonabilidad de los saldos económicos y financieros, estos son:
Conocer los objetivos anuales y estratégicos de la organización.
Identificar los ciclos operacionales fundamentales y las áreas claves.
Identificar funciones, así como los objetivos operativos y estratégicos por ciclos operacionales y el impacto en la organización.
Definir criterios de medidas a considerar en la evaluación.
Identificar los riesgos inherentes a la entidad, las áreas de mayores riesgos, así como por ciclos de operaciones.
Identificar los objetivos de control interno por ciclos operacionales y áreas claves.
Identificar errores potenciales en cada ciclo operacional y áreas claves.
Identificar los procedimientos de control y de auditoría para evitar los errores potenciales.
Evaluación preliminar del control interno y el riesgo de control: determinación del riesgo inherente.
Definir la importancia relativa.
Diseñar pruebas de cumplimiento adicionales, así como pruebas de doble propósito y sustantivas.
Aplicación del muestreo estadístico en las pruebas y procedimientos de auditoría diseñados.
Evaluación final de la efectividad del Sistema de Control Interno y el riesgo de control.
De acuerdo a la Norma 400, sobre la planeación, establecidas en la Resolución 340 de 2012 de la Contraloría General de la República, donde se aprueban las Normas Cubanas de Auditoría, se plantea que el objetivo principal de la planeación es “garantizar la realización de una auditoría con calidad, definir los riesgos y determinar adecuada y razonablemente los procedimientos de auditoría que correspondan aplicar, cómo y cuándo se ejecutarán, para que se cumpla la auditoría de forma eficiente y efectiva“. (Resolución 304, 2012:52)
De esta manera la planeación es un proceso continuo e interactivo, comienza desde el estudio previo realizado al sujeto a auditar y continúa hasta la terminación del trabajo de la auditoría. Todas las técnicas que se incluyan para minimizar los riesgos posibles que puedan afectar el alcance de los objetivos propuestos, y la obtención de evidencias que demuestren y justifiquen los hallazgos, permitirán a los auditores tomar decisiones que acrecienten los resultados y validez de los mismos.
Como se puede apreciar, tales técnicas están relacionadas con la determinación de los riesgos en la auditoría, los cuales permiten precisar el nivel de confianza que las pruebas aplicadas confieren a los resultados de la auditoría. Se plantea, entre otros por Cook y Winkle, 2006, que “el riesgo de auditoría tiene una influencia directa sobre la cantidad de evidencia a recopilar. Un alto nivel de riesgos de errores no detectados en los registros contables de un cliente exigirá que el auditor obtenga más evidencia de la que sería necesaria en una auditoría con menos riesgos inherentes“. (Cook y Winkle, 2006:335)
En la literatura científica la definición de los riesgos en auditoría es ampliamente difundida. Sin embargo, poco aplicable, lo que resta valor al significado de los mismos durante el ejercicio de la auditoría, no dejando margen al auditor a decidir sobre aspectos importantes en la auditoría que pueden ser determinantes en los resultados.
El objetivo de una auditoría es eliminar errores importantes de los estados financieros dictaminados. Hacerlo con absoluta certeza sería sumamente costoso, en caso de que fuera posible. Por lo tanto, se acepta que las auditorías se efectúen a partir de pruebas selectivas, con el riesgo, por pequeño que sea, de que no se pueda descubrir todos los errores importantes. En sus dictámenes los auditores exponen los resultados de la auditoría de la misma manera: opinan, con un alto grado de seguridad, que los estados financieros no contienen errores importantes. Ello lo determina el grado de identificación, evaluación de los riesgos, y la respuesta a los mismos encontrada durante la ejecución de la auditoría.
Para comprender e interpretar la importancia y función de los riesgos en una auditoría el auditor gestiona tales riesgos que le garanticen la certeza desde una visión razonable, qué pruebas aplicar, cómo los resultados obtenidos permiten dar respuesta a los riesgos, y precisar el objetivo y alcance de la auditoría.
Caracterización de la gestión de los riesgos en la auditoría
En la literatura científica existe una amplia valoración sobre los riesgos y su gestión, pero con un marcado enfoque de la administración de riesgos financieros y los asociados al Sistema de Control Interno, no siendo tan variada y actualizada la relativa a los riesgos de auditoría.
La Administración de Riesgos, según Alonso, A., 2007, es una actividad consustancial a la misma naturaleza humana y, enfocada desde esta óptica, una práctica tradicional que se puede encontrar en cualquier lugar y momento histórico. En el mundo, se ha practicado desde hace mucho tiempo. Sin embargo, con la aplicación de las técnicas modernas de la teoría de las probabilidades, del seguro y otros instrumentos afines, este trabajo ha tomado un cuerpo debidamente formalizado, constituyendo un instrumento indispensable en toda evaluación sería sobre el desenvolvimiento esperado de cualquier proyecto productivo. (Alonso, A. 2007).
Al adentrarse en el complejo fenómeno de la definición de los riesgos y los mecanismos de gestión en una auditoría, es necesario repasar su evolución histórica como técnica determinante en la auditoría para tomar decisiones acerca del alcance de las pruebas, el valor de la evidencia y la objetividad de los hallazgos.
La gestión de riesgos, en su concepción totalizadora se ha asumido como una categoría científica y práctica, constituyéndose en una disciplina relativamente joven. Sus inicios están asociados al desarrollo de las herramientas matemáticas que han servido de base instrumental en las ciencias contables y financieras para administrar las finanzas.
La administración de riesgos se ha convertido en un componente fundamental que contribuye al cumplimiento de los objetivos y metas estratégicas de las entidades. Un rasgo peculiar de la práctica en administración de riesgos, consiste en que los trabajos han tenido un enfoque eminentemente operacional, y muy pocos han abordado la arista económico-financiera, como expresión resumida del impacto de los riesgos sobre la posición general del objeto analizado. De la misma manera se ha manifestado en el escenario de la auditoría.
A raíz de esta problemática, se comienzan a establecer en Cuba un conjunto de políticas y regulaciones que establecen la necesidad de actuar sobre los riesgos, obligando a las estructuras directivas a nivel de Estado y de empresa asumir la responsabilidad de accionar contra los riesgos. Así se dictan como regulaciones obligatorias:
Resolución 31 de 2002. Ministerio de Trabajo y Seguridad social, sobre la necesidad de resolver los problemas inherentes a la protección y salud en el trabajo.
Resolución 297 de 2003. Ministerio de Finanzas y Precios, que establece los nuevos conceptos del control interno, donde la evaluación de riesgos constituye un componente esencial.
Resolución 13 de 2006. Ministerio de Auditoría y Control, que establece la obligatoriedad de desarrollar un plan de prevención sobre las posibles indisciplinas, ilegalidades y manifestaciones de corrupción en el entorno de la empresa.
Resolución 127 de 2007. Ministerio de la Informática y las Comunicaciones, que establece la obligatoriedad sobre los riesgos que atentan contra la seguridad informática.
Resolución 60 de 2011. Contraloría General de la República, que establece las normas y componentes del sistema de control interno, y donde se incorpora la gestión de riesgo como el proceso dinamizador de dicho sistema.
Resolución 340 de 2012. Contraloría General de la República, que establece las normas cubanas de auditoría, y donde resaltan las normas del grupo 400 a la 699, que abordan la necesidad de la determinación y evaluación de los riesgos en la auditoría.
En tal sentido, en la empresa cubana existe cierta experiencia en la práctica de la administración de riesgos, aunque con un carácter parcelario. Esta experiencia se concentra en cuatro grupos de riesgos: aquellos que son asegurables, los riesgos laborales, los riesgos que afectan la seguridad informática y algunos riesgos financieros. No existe un enfoque integral de la administración de riesgos, ni personal especializado, dedicado a esta función gerencial .Esto es consecuencia de la falta de un marco legal específico que establezca y oriente la necesidad de la administración de riesgos empresariales de manera integral y abarcadora a toda la Organización.
En el marco de la auditoría ocurre otro tanto, el tratamiento de los riesgos se ha quedado en una dimensión abstracta de interpretación del riesgo de control, el inherente y el de detección, dejando a la pericia y experiencia de los auditores el poder predecir factores que pueden atentar contra los objetivos de la auditoría y ofrecer una opinión razonable que convenza a los clientes y demuestre los hallazgos obtenidos.
Advirtiendo la necesidad en el entorno empresarial de este tipo de herramientas y teniendo en cuenta que una de las principales causas de los problemas que enfrentan los auditores en su desempeño es la inadecuada previsión de riesgos, se hace necesario estudiar los que pudieran aparecer en cada etapa de auditoría. Esto servirá de apoyo para prevenir una adecuada administración o gestión de los riesgos.
Es necesario, en este sentido, tener en cuenta lo siguiente:
La evaluación de los riesgos inherentes a las diferentes etapas de la auditoría.
Los riesgos en el proceso de auditoría deben administrarse hasta el nivel de las etapas, o acciones de la misma. El auditor ha de realizar tareas o verificaciones en las cuales se asumen riesgos de no ejecución en la forma adecuada. Estos no pueden definirse del mismo modo que los del control Interno.
El criterio del auditor en relación con la extensión e intensidad de las pruebas, tanto de cumplimiento como sustantivas, se encuentra asociado al riesgo de que queden sin detectar errores o desviaciones de importancia en la contabilidad de la empresa y no los que no llegue a detectar el auditor en sus pruebas de muestreo, por una deficiente planeación. El riesgo, por supuesto, tiende a minimizarse, cuando aumenta la efectividad de los procedimientos de auditoría aplicados.
El riesgo ante el trabajo ordenado, es el referido a que el auditor exprese una conclusión inapropiada. Este planea y realiza el trabajo de manera tal, que reduzca a un nivel aceptable el peligro de expresar una conclusión inapropiada.
Se ha observado a partir de los estudios de casos analizados, que cuando no se conocen las tareas y/o actividades específicas del proceso de la auditoría, los resultados finales no se corresponden con los esperados por quienes la ordenan y tienen como causa, la falta de previsión de las tareas a realizar en el proceso y las medidas para evitar la comisión de errores y fallas que pongan en peligro su cumplimiento sistémico y escalonado.
Los riesgos, en cualquier subproceso de auditoría, sin lugar a dudas, deterioran su calidad. Generalmente, se observa que las unidades dedicadas al servicio de auditoría y las de Auditoría Interna, no trabajan en aras de diagnosticar y evaluar los posibles riesgos en la ejecución de las diferentes etapas que intervienen en un servicio de auditoría.
No es factible diagnosticar riesgos desde una mesa de trabajo, pues esto no puede ser esquemático y, mucho menos, una fórmula rígida para el trabajo. En cada organización, deberá efectuarse un estudio y trazar la estrategia de este proceso y el tipo de servicio que se debe realizar. Para ello, es preciso conocer cómo está funcionando el servicio de auditoría en esa Organización, pues es fundamental mantener la secuencia de las tareas, y cumplir y hacer cumplir el mantenimiento del flujo logístico de las etapas de la auditoría, ya que uno depende del otro. Si se violenta una etapa afecta considerablemente el cumplimiento exitoso del servicio de auditoría y, por ende, la calidad que se espera.
Vital importancia reviste el cumplimiento de lo establecido en la realización de las auditorías. Es necesaria la aplicación de lo correspondiente a cada etapa, en aras de garantizar la comprobación eficiente a la entidad en cuestión, y brindar la información resultante con la calidad requerida, sobre el resultado de las comprobaciones efectuadas.
La identificación de riesgos es el proceso que permite determinar qué puede suceder, por qué y cómo definir y registrar, en detalles, las fallas o causas que se localizan en la ejecución de cada una de las tareas concebidas para garantizar la ejecución de las etapas. Por tanto, el riesgo en el proceso de auditoría se define como “la probabilidad de incumplimiento de las funciones, eventos o situaciones en el trabajo de los auditores, que puedan coadyuvar a que no se logren las metas diseñadas en la realización del proceso”, y se propone hacer la evaluación por cada etapa de la auditoría, lo que permite una detección rápida y oportuna, y la acción preventiva para anticiparse a su ocurrencia.
Para administrar riesgos de auditoría se debe considerar la identidad del proceso, partiendo de un estudio basado en actividades y tareas para cada fase y etapa; y a partir de ello, identificar los posibles riesgos, y medir su impacto en el ejercicio, lo que permitirá mejoras de la calidad.
Al concebir los posibles riesgos en la ejecución de los diferentes procesos de la auditoría, debe efectuarse la evaluación de los mismos, con el fin de conocer la probabilidad de ocurrencia, así como el impacto, lo que permitirá a los profesionales de la auditoría, prestarle el tratamiento que ello requiere.
Durante el subproceso de identificación de riesgo, las Normas Cubanas de Auditoría, orientan clasificar los riesgos en: inherentes, de control y de detección.
El riesgo inherente es la probabilidad de que ocurran errores en el sistema de contabilidad generados por las características propias del sujeto a auditar, bien sea por la naturaleza de las actividades, funciones o programas que desarrolla, o de la cuenta o cuentas de los estados financieros a verificar. Para evaluarlos los auditores deben lograr un conocimiento amplio del sector o rama del sujeto a auditar y de la naturaleza de sus operaciones.
El riesgo inherente puede estar condicionado por:
Resultados de operaciones muy sensibles a factores económicos externos.
Problemas para mantener el funcionamiento operativo en el tiempo, debido a razones externas o internas;
Errores conocidos detectados en acciones de control anteriores debido a prácticas inadecuadas de la administración.
Alta rotación de los recursos humanos.
Indicadores de desempeño inconsistente e inestable en el tiempo y en comparación con otras entidades del mismo sector o rama.
Por su parte el riesgo de control es la probabilidad de errores que no sean detectados, ni corregidos por el Sistema de Control Interno. Los factores generales a considerar son:
Diseño e implementación del Sistema del Control Interno del sujeto a auditar.
Para evaluar el riesgo de control, los auditores estudian el Sistema de Control Interno implementado y practican las pruebas de cumplimiento necesarias.
Es importante reconocer que mientras los auditores analizan, verifican o comprueban la calidad de la evidencia obtenida para evaluar el riesgo inherente y el riesgo de control, simultáneamente están ejecutando acciones para limitar el riesgo de detección al nivel apropiado.
El riesgo inherente y de control son funciones del sujeto de la acción de control y de su entorno de operaciones; independientemente de la calidad de la evidencia obtenida; ellos no pueden cambiar estos riesgos.
En cambio, el riesgo de detección es una función de la efectividad de los programas de trabajo diseñados para la ejecución de la acción de control, de la capacidad y el debido cuidado profesional de los auditores, y de la calidad de los procesos asociados al planeamiento, supervisión y revisión del trabajo. En consecuencia, es el único riesgo que representa una función de la suficiencia de los procedimientos utilizados por los auditores. De acuerdo a su expresión, el riesgo de detección se define como el riesgo de que el auditor no logre detectar los errores existentes con los programas de trabajo diseñados y la aplicación del juicio profesional adecuado; así como no descubrir errores importantes que no hayan sido detectados por el Sistema de Control Interno del sujeto a auditar.
Otro subproceso de vital importancia en la gestión de riesgos de auditoría lo constituye la evaluación de los riesgos. Este permite concebir planes que coadyuven a la reducción de pérdidas, que en técnicas de auditoría serían la extensión de pruebas innecesarias y gasto de tiempo invertido adicional, ello implicaría el requerimiento de tratamientos diferenciados y por supuesto pérdidas financieras.
La experiencia de las organizaciones que prestan servicios de auditoría en Cuba aun dista de mecanismos y herramientas que evidencien de manera objetiva el empleo de las normas asociadas a la identificación y evaluación de los riesgos de auditoría (400-699). Se han aplicado diferentes instrumentos de diagnósticos (entrevistas, sondeos, grupos de discusión y estudios de casos) a grupos de auditores de la Contraloría, el Sistema de Auditoría y a auditores internos en la provincia de Sancti Spíritus, obteniendo:
Insuficiencias en la aplicación de la Norma 400-699, la cual aun no logra su concreción en el trabajo que desarrollan los auditores del Sistema de Auditoría.
Metodológicamente el sistema cubano de auditoría adolece de herramientas que orienten a los auditores en la aplicación de la norma de evaluación del riesgo y respuesta de los riesgos evaluados, sobre la cual no se perciben evidencias en los resultados de las auditorías desarrolladas durante el año 2012 y el primer semestre del año 2013.
En la revisión de la documentación que evidencia el trabajo de los auditores se constató que estos no cuentan con una herramienta de trabajo que les facilite ejecutar, en las acciones de control, la determinación de los riesgos en las auditorías y poder dar cumplimiento a las normativas establecidas.
La experiencia de los autores de la presente investigación concurre en la necesidad de introducir herramientas que garanticen la aplicación de las Normas de Auditoría aprobadas en la Resolución 340 de 2012 de la Contraloría General de la República de Cuba, confiriéndole al proceso de auditoría seguridad de los resultados a partir de una adecuada gestión de riesgos, garantizando su calidad.
Procedimiento para la gestión de riesgos de auditoría
El proceso de gestión de riesgos por los auditores para garantizar la calidad y efectividad de su trabajo implica un conjunto de tareas o acciones que deben ser llevadas a cabo con extremo cuidado y profesionalidad, ello implica direccionar la auditoría hacia las actividades más vulnerables, dentro de la entidad, por los presuntos hechos y errores que pueden estar atentando contra la operatividad de la misma, valiéndole al auditor poder demostrar los resultados de manera objetiva. Esta tarea de la auditoría les confiere a los auditores un nivel de confianza que los procedimientos y las pruebas a aplicar serán efectivas, ello no escapa al grado razonable que tal probabilidad sea o no cierta, y entonces el auditor deba repetir alguna acción para complementar o superar tal desconfianza.
El objetivo de la gestión de riesgos en la auditoría está orientado a minimizar las eventualidades relacionadas con las estructuras y actividades del sujeto a auditar que pueden suscitarse, y por las cuales el auditor no pueda detectar error o fraudes en la información que examina, o irregularidades en el proceder de los auditores. Por ello una estrategia efectiva de identificación y evaluación de riesgos en la auditoría puede asegurar los resultados esperados con calidad.
De ello se infiere que la gestión que hacen los auditores de los riesgos durante la planeación de la auditoría, y la manera en que constatan su efectividad durante la ejecución, conlleva varios subprocesos. A criterio profesional se sugieren los siguientes:
Subproceso de identificación de riesgos.
Subproceso de evaluación de riesgos.
Subproceso de constatación en los hallazgos.
El primer subproceso se desarrolla, por el auditor, durante la primera y segunda fase de la planeación de la auditoría, y que enmarcan el estudio previo y el conocimiento del sujeto a auditar. Estas dos fases de la planeación de la auditoría exigen realizar acciones de suma importancia que han de definir los resultados finales de la misma. Como en la experiencia práctica los auditores no dedican suficiente tiempo a las tareas contenidas en tales fases, ni le confieren la importancia que ellas demandan, dejan a tras luz brechas o fisuras técnicas que generan costos en los resultados de la auditoría.
Por tanto una adecuada identificación de riesgos es el efecto de un estudio cuidadoso y minucioso del cliente, cuyos resultados incrementan las ventajas del auditor para trabajar al tener conocimiento suficiente del ente a auditar y de la efectividad de su sistema de control interno, logrando prever posibles eventualidades inherentes al mismo por su naturaleza, actividades, funciones, sistemas contables y de información; así como las derivadas de un deficiente sistema de control interno. Esto proporciona además, poder seleccionar un equipo de auditores competentes que minimice a su vez el riesgo de detección, incrementando el nivel de confianza que los resultados a obtener durante la auditoría serán incuestionables, en la medida que los auditores puedan demostrarlos.
El segundo subproceso, sumamente importante, permite registrar los riesgos, medirlos y valorarlos ante un equipo de auditores expertos, quienes por su experiencia tendrán la tarea de clasificarlos por su nivel de importancia, direccionando hacia las actividades sujetas a tales eventos, procedimientos y pruebas de auditoría altamente eficaces. Ello implica además reformular los objetivos de la auditoría, cuando según el caso sean directivos, así como extender el alcance de tales pruebas. Para ello el auditor debe tener en cuenta otras variables esenciales en la planeación de la auditoría, y que son la determinación de la materialidad y el plan de muestreo.
Para muchos profesionales de la auditoría el proceso de gestión de riesgos queda en el marco de la planeación; sin embargo, durante la ejecución del trabajo el auditor deberá demostrar que tales eventos están presentes en las evidencias examinadas y se justifican en los resultados obtenidos. Por ello, se propone un tercer subproceso en la gestión de riesgos de auditoría: el de constatación de los riesgos en los hallazgos obtenidos; donde los auditores van dando respuesta a los riesgos evaluados. Esto implica demostrar que los riesgos previstos fueron el móvil que condujo a los auditores a detectar tales deficiencias o irregularidades, quedando de esta manera corroborada la estrategia de trabajo seguida, y cumplido los objetivos formulados.
El procedimiento propuesto se enmarca en la línea de implementación de la Norma 400-699: Evaluación del riesgo y respuesta a los riesgos evaluados, establecida en la Resolución 340 de 2012, por la Contraloría General de la República de Cuba, la cual orienta la necesidad de identificar y evaluar los riesgos de auditoría, así como dejar evidencia de ellos durante la realización de la misma como parte de los procedimientos de planeación.
De acuerdo con las necesidades del sistema de auditoría, y en particular de la Contraloría, en el procedimiento se define el riesgo como la posibilidad de que el auditor dé una opinión de auditoría inapropiada cuando los estados informativos u otros evento sujetos a examen, están elaborados u operan en forma errónea de una manera importante. Es decir, es el máximo riesgo posible que el auditor está dispuesto a asumir, de que, en su conjunto, los errores o fraudes excedan a su importancia relativa y no sean detectados durante la auditoría.
La estructura del procedimiento se hace corresponder con los tres subprocesos de gestión de riesgo de auditoría, descritos anteriormente, incluyendo en su desarrollo herramientas que permiten concretar las acciones que debe el auditor ejecutar en las etapas de planeamiento y de ejecución de la auditoría.
Primer paso del procedimiento: la identificación de los riesgos de auditoría.
La dinámica de la identificación de los riesgo está en correspondencia con los componentes del riesgo: inherentes y de control, que emergen de los procesos previos a la planificación de la auditoría, es decir, del conocimiento que se tenga del sujeto a auditar y de la evaluación de la efectividad del sistema de control interno; el riesgo de detección está en correspondencia con la competencia y capacidad de los auditores actuantes.
Como se puede apreciar el riesgo inherente y de control son riesgos de la entidad objeto de auditoría, por lo que existen independientemente de cualquier tipo de auditoría que se esté practicando, sin embargo, el de detección está asociado a la capacidad y experiencia del auditor para enfrentar el trabajo, por ello es más fácil de controlar. Estos componentes no se comportan de manera directa; el riesgo de control y el inherente son directamente proporcionales, en cambio el de detección es inversamente proporcional a los dos primeros. Si existen altas probabilidades de existir errores en las operaciones del sistema de la contabilidad que el Sistema de Control Interno no ha sido capaz de detectar, y tales eventos son identificados en la auditoría, la probabilidad de que los auditores no puedan detectarlos a través de los procedimientos empleados son bajos, y por ende el riesgo de auditoría es bajo.
Para la identificación adecuada de los riesgos de auditoría los auditores deben de considerar un grupo de factores que no deben obviarse durante este primer paso procedimental, estos son:
Factores asociados al riesgo inherente:
Ajustes de auditoría sin atender.
Complejidad de cálculos, normas y principios de contabilidad.
Competencia del personal de contabilidad.
Criterios aplicados.
Naturaleza y magnitud de las partidas objeto de prueba de auditoría.
Intenciones de la administración.
Tiene relación con la cantidad de procedimientos de AUDITORÍA
Cuando este riesgo se determina que es alto, el auditor no encuentra un criterio de confianza suficientemente alentador frente al ente a auditar, por tanto está obligado a incrementar las pruebas sustantivas.
Factores asociados al riesgo de control:
1 Tiene relación inversa con la confianza.
2 Se determina en la evaluación al sistema de control interno.
3 Efectividad de los sistemas de contabilidad.
4 Efectividad de los sistemas de control interno.
5 Se relaciona con la calidad de los procedimientos de AUDITORÍA.
Cuando el riesgo de control es alto, es preciso incrementar las pruebas de cumplimiento.
Factores asociados al riesgo de detección:
1 La disponibilidad de capital humano en el equipo de auditores.
2 La asignación de equipos y tecnología apropiados.
3 La experiencia de los auditores que intervienen.
4 El diseño adecuado de los procedimientos de auditoría.
Independientemente de estos factores y de la relación inversa con los factores de riesgo inherente y de control, el riesgo de detección no puede declararse muy bajo porque el auditor no está exento de la posibilidad de seleccionar un procedimiento de auditoría inadecuado o malinterpretar un resultado de la auditoría.
En este primer paso se obtiene como resultado un inventario de riesgos de auditoría, portadores de un conjunto de características que permitirán a los auditores actuantes, analizarlos, evaluarlos y determinar pruebas y procedimientos para prevenir la ocurrencia de los mismos o prepararse para los cambios que puedan generar en los resultados que se esperan.
El inventario de riesgo debe propiciar una:
1. clasificación en correspondencia con el tipo y componente de riesgo de auditoría,
2. clasificación de acuerdo a su temporalidad, frecuencia, nivel de ocurrencia, severidad y,
jerarquización de los riesgos respecto a su nivel de importancia, impacto y magnitud.
Para lograr una adecuada identificación de riesgos, los auditores pueden utilizar como herramientas necesarias:
La aplicación de guías de exploración, lista de chequeo, u otros instrumentos de sondeos. Para este logro se sugieren dos guías: una con los elementos que permiten determinar los riesgos inherente y otra donde se determinan los riesgos de control, para que el auditor conozca que documentación solicitar, para realizar un conocimiento del sujeto auditar, que le permita tomar decisiones con un grado de profundidad adecuado.
La observación de procesos, donde a partir de un estudio de las operaciones y procedimientos de un proceso o actividad a auditar se puede establecer los estados críticos del mismo, donde los objetivos de auditoría establecidos pueden sufrir una transformación negativa o positiva en los resultados.
La confrontación de criterios, radica en someter a juicio de los auditores jefes o supervisores, que dirigen y controlan el proceso de auditoría y su calidad, el análisis realizado en la determinación de los factores de riesgos.
Entrevistas, encuestas y otros instrumentos de confirmación a terceros.
Seguimiento a los indicadores de eventos y a los indicadores de alarma, consistente en analizar los eventos pasados que han generado impactos negativos y que pueden contribuir a predecir futuros sucesos. Los indicadores de alarma se basan en medir y comparar las operaciones diarias ejecutadas con los procedimientos que orientan cada operación, y establecer las variaciones o posibles desviaciones.
Cuando este primer paso se realiza según lo establecido le permite al jefe de grupo un adecuado planeamiento del trabajo a realizar y dirigirlo hacia las cuestiones que resulten de mayor interés de acuerdo con los objetivos previstos, hacer la selección y las adecuaciones a la metodología y programas a utilizar; las materias que se habrán de examinar, así como se elabore un plan de trabajo más eficiente y racional para cada auditor, lo que asegura que la auditoría habrá de realizarse con la debida calidad, economía, eficiencia y eficacia; proporcionando, en buena medida, el éxito de su ejecución.
Al no realizar la fase exploratoria de la planeación con la calidad necesaria ocasiona:
El auditor no sea capaz de identificar la naturaleza operativa del negocio, su organización, ubicación de sus instalaciones, las ventas, producciones, servicios prestados, su estructura financiera, las operaciones de compra y venta y muchos otros asuntos que pudieran ser significativos en lo que se va auditar.
Incurrir en altos costos y pérdida de tiempo para el desarrollo del proceso.
Los criterios asumidos hasta este momento por los auditores permite evaluar los riesgos a un nivel más generalizados, lo que conlleva a transitar a la segundo paso del procedimiento.
Segundo paso del procedimiento: la evaluación de los riesgos.
A partir de la identificación de los riesgos de auditoría, de acuerdo a sus componentes y el conjunto de los estados financieros, temas o áreas a examinar y a juicio del supervisor, jefe de grupo y el resto del grupo de trabajo de la auditoría se adentran en la evaluación de los riesgos identificados, asumiendo una escala valorativa para el nivel de importancia y prioridad de los mismos en alto, medio y bajo, considerando la relación costo-beneficio para determinar los temas, actividades, muestra, alcance, entre otros, a incluir en el plan de trabajo general e individual de la auditoría.
La evaluación de los diferentes riesgos permite concebir planes que coadyuven a la reducción de pérdidas, que en técnicas de auditoría serían la extensión de pruebas innecesarias y gasto de tiempo invertido adicional, ello implicaría el requerimiento de tratamientos diferenciados. Además permite al jefe de grupo tomar la decisión de combinar las diferentes técnicas de auditoría para poder incidir sobre el riesgo.
Para un nivel dado de riesgo de auditoría, el nivel aceptable de riesgo de detección conlleva una relación inversa con la evaluación del riesgo inherente y de control, comportándose:
Mientras mayor sea el riesgo inherente y de control, menor será el riesgo de detección que puede aceptarse.
Mientras menor sea el riesgo inherente y de control, mayor será el riesgo de detección que puede aceptarse.
Para alcanzar los resultados que se aspiran en la evaluación de los riesgos se sugieren se empleen diferentes herramientas que garantizan el éxito de este paso procedimental, entre ellas cabe citar las más efectivas:
Papeles de trabajo, donde se dejan evidencia escrita y analítica de los riesgos identificados y analizados.
Criterio de experto, a partir de los cuales se depuran los riesgos identificados y pueden clasificarse y jerarquizarse, de acuerdo a su probabilidad de ocurrencia e impacto, atendiendo al componente que corresponden.
El análisis estadístico, para medir la correspondencia del riesgo con el criterio asumido por el experto en las valoraciones desarrolladas, que confirmen las decisiones antes la determinación muestral y la importancia relativa del posible hecho a examinar.
Cada una de estas herramientas obliga a dejar evidencia escrita y documental del registro de los riesgos identificados y evaluados por el grupo de experto o auditores actuantes en el trabajo a realizar. Esta evidencia se refleja en un papel de trabajo donde se consignan los factores que están determinando el riesgo y el criterio valorativo de los expertos que expresa el mismo de acuerdo a su importancia y prioridad.
Para el análisis estadístico de la expresión de los riesgos se sugiere utilizar una escala valorativa que contempla una asignación de puntos de 0 a5 a los riesgos por su probabilidad de ocurrencia y severidad o impacto, cuya relación expresa el nivel de importancia y prioridad del mismo. A continuación se describe la interpretación cualitativa del mismo:
Alto (5): se considera cuando no existe suficiente información que permita al auditor emitir un juicio alentador sobre los resultados del examen preliminar, o los resultados reflejan probables irregularidades, errores o fraudes de importancia. Aquí el nivel de confianza del auditor es muy bajo.
Medio (4) se considera cuando el auditor es capaz de emitir un juicio alentador, pero existen fisuras que deben ser examinadas, y por ende no garantiza un nivel de confianza saludable sobre la efectividad del objeto revisado.
Bajo (3) se considera cuando el auditor emite un criterio alentador del examen realizado, acepta el riesgo de que puede existir errores pero no son significativos, y el nivel de confianza es alto. No obstante combina en seleccionar muestras para corroborar sus afirmaciones.
Muy bajo (0-2) se considera cuando el auditor emite un criterio favorable del examen realizado, donde los riesgos identificados no interfirieron el curso de la auditoría, demostrando un nivel de confianza entre el 95% y 100%, de las pruebas empleadas, las cuales no evidencian irregularidades que afecten los resultados. Esto demuestra que la muestra seleccionada es óptima y no hay necesidad de modificar el alcance de los objetivos de la auditoría.
De acuerdo a este análisis se procede a elaborar el plan de trabajo general de la auditoría, reformular los objetivos y el alcance, seleccionar y modificar los procedimientos y técnicas a aplicar durante el trabajo, y asignar tareas y responsabilidades entre los auditores en relación a la importancia y prioridad de los riesgos evaluados.
Luego de contar con un registro adecuado de los riesgos, evaluados y consensuado entre los auditores actuantes, se procede a ejecutar el plan de auditoría, en cuyos resultados se materializarán los riesgos evaluados.
Tercer paso del procedimiento: constatación de los riesgos en los hallazgos.
En este paso, relacionado con el tercer subproceso de la gestión de los riesgos de auditoría, es donde se produce un salto cualitativo de calidad del proceso de identificación y evaluación de los riesgos. Es aquí donde se constata la efectividad del plan de riesgo y su influencia en la planeación del trabajo de los auditores. Tiene como objetivo demostrar la efectividad del subproceso de evaluación de riesgo y es donde se dan respuesta a los riesgos evaluados. Ello ocurre en el cumplimiento de cada objetivo de auditoría y se obtiene en la aplicación de cada procedimiento de auditoría, cuyo alcance está mediado por la efectividad del plan de riesgos obtenido.
Cada evidencia examinada, cada hallazgo desarrollado, tiene que ser expresión de los riesgos evaluados. Es importante que el auditor logre una relación entre el riesgo determinado y las deficiencias obtenidas en el ejercicio de la auditoría. Aquí debe quedar evidenciada la referencia cruzada entre el papel de trabajo de los riesgos y los papeles de trabajo que relacionan los hallazgos.
En este sentido, en este paso se tendrán en cuenta tres herramientas esenciales:
La asignación de símbolos o marcas que exprese la relación entre los hallazgos obtenidos en la auditoría y los riesgos evaluados. Esta relación se establecerá la referencia cruzada entre los papeles de trabajo mencionados.
El análisis y valoración de los resultados parciales por temas examinados en la auditoría. Esta herramienta procedimental se concreta en la rendición de cuentas que tiene que hacer el auditor responsable de cada tema al jefe de grupo sobre los hallazgos obtenidos y su relación con los riesgos previstos.
El análisis y valoración de los resultados finales de la auditoría, dejando evidencia en una hoja resumen, que corrobore la efectividad de la evaluación de riesgos, y donde a su vez el jefe de grupo exprese las respuestas a los riesgos evaluados.
Aquí el supervisor cumple un rol esencial al controlar a través de la evidencia analítica dejada por los auditores en los legajos de papales de trabajo la relación entre los riesgos identificados y evaluados, y los resultados de la calidad de la auditoría. Este aspecto es de índole privativo del trabajo de los auditores, por lo tanto no constituyen aspectos a tratar en el informe de la auditoría por no ser de interés de los sujetos auditados.
Los riesgos de auditoría son expresiones cualitativas de las posibles eventualidades que pueden alterar los resultados del auditor, quien debe diferenciarlos para ejercer sobre ellos un mayor control en inherentes, de control y de detección, aplicando modelos de gestión, y sobre la base de lo que establecen las Normas de Auditoría.
Como lo establece la Resolución 340 de 2012, dentro de la misión de la Contraloría General de la República está la implementación de las Normas Cubanas de Auditoría, existiendo insuficiencias en la aplicación de la Norma 400-699, la cual aun no logra su concreción en el trabajo que desarrollan los auditores del sistema cubano de auditoría.
De acuerdo a la experiencia de los auditores del sistema cubano de auditoría se propuso un procedimiento para la gestión de los riesgos de auditoría, obedeciendo a lo establecido en la Resolución 340 de 2012 de la Contraloría General de la República, en particular a la norma 400-699, instrumentando las herramientas a utilizar por el auditor para identificar y evaluar los riesgos inherentes, de control y detección, así como su constatación durante la ejecución de la auditoría.
Alonso A. (2007). Procedimiento para evaluar los riesgos de operaciones en ETECSA. Tesis de Maestría. Universidad de la Habana.
Armada, E. (2011). Auditoría financiera. Material de apoyo a la docencia. Facultad de Contabilidad y Finanzas. UH.
Contraloría General de la República, Ley 107 De la Contraloría General de la República de Cuba. 2009. La Habana, Cuba.
Contraloría General de la República, Ley 107. Reglamento de la Contraloría General de la República de Cuba. 2010. La Habana, Cuba.
Contraloría General de la República, Resolución 340. Normas Cubanas de Auditoría. 2012. La Habana, Cuba.
Contraloría General de la República, Resolución 60. Disposiciones para la implementación del Sistema de Control Interno. Contenido de los Componentes y Norma. 2011. La Habana, Cuba.
Cook and Winkle. (2006). Auditoría: Tomo I. La Habana: Editorial: Félix Varela. Cuarta edición.
COSO, (2004). Enterprise Risk Management–Integrated Framework, September, published by the Committee of Sponsoring Organizations of the Treadway Commission.
Cuéllar, G. (2009). Teoría general de la auditoría y revisoría fiscal: técnicas y procedimientos. (Texto sin editar), Bogotá, Colombia.
De Armas, R. (2008). Auditoría de Gestión. La Habana, Editorial Felix Varela, primera edición.
De Caldas, F. (2009). Administración de Riesgos. Disponible en: http://www.accivalores.com/archivos/informe_de_gestion_de_riesgos_asamblea_2006.doc. Fecha de Consulta: 17 de Mayo de 2010.
Gómez, R. (2008). Generalidades en la auditoría. Editorial UNED, Málaga, España.
INTOSAI. Directrices referentes a los informes sobre la eficacia de los controles internos: Experiencias de las EFS en la implantación y la evaluación de los controles internos. Publicado por la Comisión de Normas de Control Interno, 2005.
Kaufmann, A.; y Gil, J. (1987). Técnicas operativas de gestión para el tratamiento de la incertidumbre. Editorial Hispano Europea S.A. Barcelona, España.
Ministerio de Finanzas y Precios. (2003). Resolución Ministerial 297. Marco conceptual del control interno. Gaceta Oficial de Cuba.
Normas Internacionales de Auditoría de la IFAC. (1993). Madrid: Ediciones del IACJC de España.
PCC. (2011). Lineamientos de la política económica y social de Cuba: Lineamientos de la política social para la educación. La Habana: Editorial Política.
Viña, R. (2011). La implementación del Sistema de Control Interno, una alternativa para la empresa pública cubana. Revista observatorio de la economía Latinoamericana, no. 127. Disponible en: www.eumed.net/cursecon/ecolat/cu/2010/ertg.htm
Viña, R. (2012). Direccionamiento estratégico del sistema de control interno en las entidades públicas cubanas. Revista observatorio de la economía Latinoamericana, no. 167. Disponible en: www.eumed.net/cursecon/ecolat/cu/2012/erg.html
Viña Echevarría, Rafael Enrique,Hernández La Rosa, Sonia y Cancio Valdés, Yeni Leidy: "La gestión de riesgos de auditoría: una fórmula de calidad y efectividad para los auditores del sistema cubano de auditoría" en Revista Caribeña de Ciencias Sociales, marzo 2014, en http://caribeña.eumed.net/gestion-riesgos-auditoria/

References: artículo 131
 Resolución 

Resolución 

Resolución 

Resolución 

Resolución 

Resolución 

Resolución 
 Resolución 
 Resolución 
 Resolución 
 Resolución 
 Resolución 
 Resolución 
 Resolución