NIA 315 - Identificación y evaluación de riesgos

Key Concepts

Proceso de auditoría, actividades previas, planificación de la auditoría (NIA 300), conocimiento del ente (NIA 315), comprensión del control interno, revisiones analíticas, importancia relativa (NIA 320), representaciones erróneas, riesgo de auditoría, riesgo inherente, riesgo de control, riesgo de detección, aseveraciones (acaecimiento, integridad, corrección, corte, clasificación, existencia, derechos y obligaciones, valuación y distribución, acaecimiento y propiedad, clasificación y comprensibilidad, corrección y evaluación), escepticismo profesional, matriz de riesgos, indagación oral, observación e inspección, evidencia suficiente, competente y pertinente (NIA 500), informe COSO, ambiente de control, evaluación de riesgos, sistemas de información y comunicación, actividades de control, monitoreo.

Proceso de la Auditoría

El proceso de auditoría se divide en cinco etapas:

1. Actividades Previas al Trabajo: Conocimiento del ente, visitas preliminares, aplicación de la NIA 200 y NIA 210 (carta de compromiso). Se evalúa si se acepta o rechaza el cliente.
2. Planificación: Uso de la NIA 300, estrategia de auditoría, guías, programas, cuestionarios, pruebas de cumplimiento y sustantivas. Se consideran las aseveraciones de riesgo al inicio, durante y al final de la auditoría, así como las aseveraciones de revelación.
3. Estrategia: Desarrollo de la estrategia de auditoría.
4. Ejecución del Plan: Aplicación de pruebas para obtener evidencia suficiente, competente y pertinente.
5. Conclusión del Trabajo: Emisión del dictamen aplicando la serie 700 de las NIAs (NIA 700, 701, 705, 706, 710, 720).

Además, se mencionan las actividades permanentes como la conducción, evaluación de riesgos, documentación (NIA 230) y revisión por el socio de calidad.

Planificación de la Auditoría (NIA 315)

La planificación implica:

• Conocimiento Apropiado del Ente: Modelo económico, sistema organizacional, gobernanza, políticas, procedimientos, control interno, sistema contable.
• Comprensión del Control Interno: Sistemas de información contable, uso de tecnologías de la información. Ejemplo: Entender el modelo de negocio de un banco (Banco Nacional) o el proceso productivo de una finca bananera.
• Revisiones Analíticas: Comparación de ratios, comportamientos, desviaciones con promedios industriales y comportamientos internos.
• Determinación de la Importancia Relativa: Uso de la NIA 320 para determinar la materialidad y las pruebas de auditoría.
• Determinación de Representaciones Erróneas y Riesgos: La NIA 330 ayuda a determinar la naturaleza, extensión y oportunidad de los procedimientos de auditoría para enfrentar el riesgo evaluado.
• Documentación: NIA 230 (papeles de trabajo).

Objetivo de la NIA 315

El objetivo es comprender el sistema de información contable y la estructura de control interno para determinar el alcance de la auditoría. Esto permite:

• Determinar riesgos o desviaciones significativas de importancia relativa producidas por errores, omisiones o fraudes (NIA 240).
• Determinar la naturaleza, extensión y oportunidad de los procedimientos de auditoría que responden a los riesgos evaluados.

Los riesgos pueden ser a nivel del conjunto de los estados financieros (balance de situación, estado de resultados y otros resultados integrales, estado de cambios en el patrimonio, estado de flujo de efectivo y estado de revelaciones) o a nivel de las afirmaciones de los saldos o transacciones.

Riesgo y Seguridad en la Auditoría

Se enfatiza que la seguridad en la auditoría no es absoluta, sino razonable. Se mencionan:

• Riesgo Inherente: Susceptibilidad de un error a materializarse.
• Riesgo de Control: Errores no detectados o controles internos inadecuados. La administración es responsable del control interno y los estados financieros.
• Riesgo de Detección: Riesgo de no detectar representaciones erróneas a través de las pruebas. Este es responsabilidad del auditor.

Errores Potenciales y Representaciones Erróneas

Las desviaciones a los principios contables se evalúan a través de aseveraciones. Se dividen en:

• Afirmaciones sobre Operaciones y Eventos del Periodo Auditado:
  • Acaecimiento: Las operaciones y eventos registrados ocurrieron y pertenecen a la entidad.
  • Integridad: Todas las operaciones y eventos que debieron ser registrados lo fueron.
  • Corrección: Las cantidades y datos relacionados con las transacciones y eventos se registraron apropiadamente.
  • Corte: Las transacciones y eventos se registraron en el periodo contable correspondiente (principio del devengo).
  • Clasificación: Las transacciones y eventos se registraron en las cuentas correspondientes.
• Afirmaciones sobre los Saldos Contables al Final del Periodo:
  • Existencia: Los activos, pasivos y el patrimonio existen.
  • Derechos y Obligaciones: La entidad posee o controla los derechos sobre los activos y los pasivos son obligaciones del ente. Ejemplo: El estadio nacional y su uso por el fideicomiso.
  • Integridad: Todos los activos, pasivos y el patrimonio que debieron ser registrados lo fueron.
  • Valuación y Distribución: Los activos, pasivos y el patrimonio están incluidos en los estados financieros por los montos apropiados.
• Afirmaciones sobre la Presentación y Exposición (Notas a los Estados Financieros):
  • Acaecimiento y Propiedad: Los eventos, transacciones y otros temas expuestos han acaecido y pertenecen a la entidad.
  • Integridad: Todo lo que debería haber sido expuesto en los estados financieros lo ha sido (contingencias fiscales, laborales, ambientales).
  • Clasificación y Comprensibilidad: La información contable está correctamente presentada y descrita, y es comprensible.
  • Corrección y Evaluación: La información contable y de otra índole está expuesta en forma razonable y apropiada.

Se enfatiza el escepticismo profesional, que implica cuestionar si los estados financieros tienen errores potenciales a través de estas aseveraciones.

Proceso de Evaluación de Riesgos y Errores Significativos

El auditor realiza un proceso que incluye:

• Identificar riesgos y determinar su origen y posibles efectos (matriz de riesgos).
• Relacionar los riesgos con las afirmaciones o errores potenciales.
• Evaluar la magnitud de los posibles errores.
• Considerar la probabilidad de desviaciones significativas.
• Identificar controles que puedan mitigar los riesgos.

Los procedimientos para la evaluación de riesgos son:

• Indagación Oral: A directores, funcionarios, empleados, asesores.
• Revisión Analítica: Identificar saldos o ratios inusuales, comportamientos inusuales.
• Observación e Inspección: Observar actividades, operaciones, documentos, informes, actas, visitas a las instalaciones.

Obtención de Evidencia (NIA 500)

La evidencia debe ser suficiente y pertinente (o suficiente, competente y pertinente). Se clasifica en:

• Clasificaciones: Física o natural, creada, derivada.
• Categorías: Física, documental, analítica.
• Características: Suficiente, competente, pertinente.

La evidencia se obtiene de auditores anteriores y a través de la aceptación del cliente. Se evalúa, clasifica y valida.

Discusión con el Equipo de Trabajo

Se discute con el equipo del encargo la susceptibilidad de los estados financieros a las desviaciones significativas, la necesidad de incorporar especialistas en TI (ciberseguridad, inteligencia artificial), y la importancia de mantener un escepticismo profesional apropiado.

Comprensión de la Entidad y su Entorno

Se debe conocer:

• Industria, Regulaciones y Otros Factores Externos: Entorno competitivo, modelo de negocio, relaciones con proveedores y clientes, desarrollos tecnológicos, legislación fiscal y financiera, requisitos ambientales (normas de sostenibilidad S1 y S2).
• Naturaleza del Ente: Operaciones, propiedad, gobierno corporativo, inversión, financiamiento.
• Selección Adecuada de Políticas Contables (NIC 8): Evaluar si las políticas son apropiadas, compatibles con las normas vigentes, actualizadas, consistentes con las políticas de la industria y uniformes.
• Objetivos y Estrategias del Ente: Plan estratégico, estructura de gobierno corporativo, riesgos que puedan afectar los estados financieros.
• Medición y Revisión del Desempeño Financiero: Análisis financiero, análisis de razones, medidas de desempeño (KPIs).
• Control Interno: Varía según el tamaño y la complejidad del ente. Se enfoca en el informe COSO (COSO 1, COSO 2, COSO 3).

Perspectiva del Auditor con Relación al Control Interno

El auditor debe comprender los controles internos pertinentes para la auditoría, identificar tipos de errores potenciales, considerar factores que afecten el riesgo, determinar la naturaleza, alcance y oportunidad de las pruebas de auditoría, y determinar si el control es pertinente a la auditoría.

La administración es responsable del diseño, implementación y monitoreo del control. El auditor evalúa el diseño y la implementación de la estructura de control.

Tipos de Control

• Control Manual: Asegura la integridad, validez y corte del registro apropiado.
• Control Automático: Utiliza computadoras para propósitos establecidos. Se menciona la robotización (VPO, ERP) y la inteligencia artificial.

Se comparan los beneficios y riesgos de ambos tipos de control. Se mencionan ejemplos de fallas en controles (Banco Nacional).

Limitaciones del Control Interno

• Su costo debe ser inferior al beneficio (principio costo-beneficio).
• Los controles preestablecidos solo se dirigen a las transacciones rutinarias.
• Es posible el error humano.
• Pueden burlarse los controles por colusión.

Se recomiendan películas como "Inside Job", "La Gran Apuesta", "Enron", "Los Chicos que Estafaron América" y "Locas por el Dinero" para ilustrar fallas en los controles internos.

Sistema de Control Interno Basado en el Informe COSO

Se basa en cinco componentes:

1. Ambiente de Control: Compromiso de la dirección y gobierno corporativo sobre la integridad.
2. Evaluación de Riesgos: Proceso seguido por la entidad para identificar riesgos relevantes, estimar su impacto y probabilidad, y decidir acciones para administrarlos.
3. Sistemas de Información y Comunicación: Procedimientos de registros establecidos para iniciar, registrar, procesar, informar y entregar información a los usuarios.
4. Actividades de Control: Autorizaciones, revisiones de desempeño, controles físicos de los activos, segregación de funciones.
5. Monitoreo: Diseño y efectividad de los controles internos, corrección de desviaciones, eficiencia, eficacia y economía en el monitoreo.

Evaluación de los Riesgos Significativos

El auditor debe identificar y evaluar los riesgos de representación errónea a nivel de los estados financieros o a nivel de afirmaciones. Se consideran factores como la existencia de fraude, temas macroeconómicos, transacciones complejas, partes relacionadas, subjetividad en la medición contable, y transacciones no rutinarias.

Comunicación con los Encargados del Gobierno Corporativo

Se deben comunicar las representaciones erróneas observadas en la evaluación de la estructura de control interno y de riesgo de la organización (NIA 260).

Documentación de los Papeles de Trabajo (NIA 230)

El auditor debe documentar las discusiones con el equipo de trabajo, los elementos claves de la comprensión obtenidos y los riesgos específicos del error significativo que afectaron la estructura de control y los estados financieros.

Síntesis/Conclusión

La auditoría moderna, basada en riesgos, requiere un profundo conocimiento del ente, su entorno y su sistema de control interno. La NIA 315 proporciona un marco para identificar y evaluar los riesgos de representación errónea, lo que permite al auditor diseñar procedimientos de auditoría efectivos y emitir una opinión informada. El escepticismo profesional y la documentación adecuada son cruciales en este proceso. La comprensión del control interno, basado en el marco COSO, es fundamental para evaluar la confiabilidad de la información financiera.