En el proceso de identificación y valoración de riesgos, es necesario tener una herramienta para organizar las fuentes de riesgos inherentes y correlacionarlas con las áreas afectadas de los estados financieros y con los errores de negocio o de fraude que se hacen evidentes en los mismos estados financieros.

Para suplir esta necesidad de sistematización, se pueden organizar los datos utilizando la sencilla matriz que se propone a en este artículo. Para utilizarla es esencial discriminar las fuentes de riesgo de acuerdo a cada una de las áreas de entendimiento de la entidad a saber: 1). Factores externos, 2).Naturaleza de la entidad, 3).Políticas contables, 4). Objetivos y estrategias, 5).Revisión del desempeño financiero y 6). Control interno. 

También, se deben registrar por separado las fuentes de riesgo de error de negocio y las de fraude. Con respecto a esto, es importante recordar que muchas veces los riesgos de negocios también crean la oportunidad de o incentivan el fraude. Si no se considera por separado el fraude, se pueden pasar por alto algunos factores de riesgo significativos. Por ejemplo, un nuevo sistema contable puede generar errores (riesgo de negocios), pero puede también generar la oportunidad de que alguien manipule los resultados financieros o haga apropiación indebida de activos (riesgo de fraude). Otra razón para mantener los riesgos de negocio y de fraude separados es que la respuesta de auditoría a un riesgo de fraude es por lo general muy diferente de la respuesta a un riesgo de negocios relacionado.

A continuación se presenta un ejemplo de la matriz de sistematización propuesta, tanto para los riesgos de negocio, como para los de fraude.

Además, se sugiere registrar todos los factores de riesgo identificados en un solo documento, o ubicarlos en un solo lugar, con un número común de archivo en el archivo de los documentos del encargo. Esto facilita la revisión del archivo y favorece una valoración consistente de los riesgos evitando que unos se evalúen de forma diferente a otros.

También, se puede organizar el o los archivos de forma que los riesgos inherentes más importantes aparezcan en la parte superior de la página. De esta manera, se puede verificar si los principales riesgos inherentes identificados han sido tratados con una respuesta de auditoría apropiada.

Se debe evitar seleccionar los riesgos que a primera vista parezcan significativos y descartar los otros; lo ideal es desarrollar una lista tan completa como sea posible de los factores de riesgo. Posteriormente se realizará la valoración cada riesgo de manera apropiada. De esta manera, el auditor se asegura de que todos los riesgos de importancia relativa han sido identificados. Los factores de riesgo insignificantes pueden eliminarse más adelante, después de la valoración.

Para el auditor, lo más práctico es evitar volver a documentar los factores de riesgo identificados y el entendimiento de la entidad obtenido en cada ejercicio. Si se recolecta en forma estructurada la información en el primer ejercicio, luego la información puede sencillamente actualizarse y revisarse. Sin embargo, hay que asegurarse de realizar y documentar los procedimientos apropiados de valoración del riesgo y de registrar cualquier posible cambio en la información.

Referencias:
Normas Internacionales de Auditoría - IFAC

Equipo Auditool