El modelo de riesgo de auditoría: la fórmula que todos llenan y nadie usa para decidir nada

Por qué el «todo alto» no es prudencia sino la forma más elegante de no evaluar riesgo, y la prueba de tres columnas para saber si tu matriz decide algo.

1El problema que nadie nombra

El modelo de riesgo de auditoría es una idea sencilla: cuanto mayor sea el riesgo de que una cifra esté mal (riesgo inherente) y menor la capacidad de los controles de la empresa para evitarlo (riesgo de control), más evidencia propia debe reunir el auditor para reducir la probabilidad de no detectar el error (riesgo de detección). La matriz donde se califican esos riesgos debería ser el volante del encargo. En la práctica, el volante está soldado.

El detalle común: la matriz existe, está documentada y nadie la usó para decidir. Es un papel de trabajo que justifica el programa, no un análisis que lo produce.

2Por qué es más grave de lo que parece

La creencia cómoda dice: «calificar todo como alto es lo conservador; si me equivoco, me equivoco del lado seguro». Suena razonable y es falsa por diseño: si todos los riesgos son altos, ninguno lo es. Evaluar riesgo es distinguir; una escala con un solo valor no mide nada. La matriz «todo alto» no dirige el trabajo hacia donde duele: lo reparte por igual, exactamente lo que haría un equipo que no evaluó riesgo.

La consecuencia es concreta. Las horas son finitas. Cuando el programa trata con la misma intensidad las estimaciones contables —donde la gerencia tiene margen para sesgar— y la caja menor, el tiempo que sobra en lo simple es tiempo que falta en lo complejo. El «conservadurismo» produce una auditoría diluida: mucho procedimiento sobre saldos previsibles y procedimientos previsibles sobre los saldos que importan. Y un auditado que lleva tres años viendo el mismo programa sabe qué va a mirar el auditor.

El marco vigente va en la dirección contraria al ritual. La NIA 315 revisada pide evaluar por separado el riesgo inherente y el de control, ubicar cada riesgo en un espectro —no en una casilla binaria— y sustentar por qué un riesgo es significativo; la NIGC 1 hace responsable a la firma de que esa evaluación sea real y no un formato. Las Normas Globales del IIA exigen que la planificación de cada trabajo se apoye en una evaluación de riesgos documentada y específica de ese trabajo. La expectativa es la misma: una evaluación defendible fila por fila y visible en el programa.

3Qué hacer distinto: la prueba «¿el riesgo movió algo?»

No necesitas herramienta nueva ni más horas de planeación: tres columnas al lado de la matriz que ya tienes y una regla de lectura.

4La objeción y la frontera

La objeción del socio o del revisor de calidad es seria: «Si califico un riesgo como bajo y ahí aparece el error, el hallazgo de la revisión es mío. Si lo califico alto, nadie me lo reprocha». Tiene razón en algo: el «alto» generalizado nació como defensa frente a revisiones que castigan el «bajo» y no la dilución. Pero la defensa es más débil de lo que parece. Un «bajo» con dos líneas de justificación y fecha es juicio profesional documentado; un «alto» sin un procedimiento distinto detrás prueba que la calificación no significaba nada. Ante un regulador o un revisor, la segunda posición es la que no se sostiene: dice que sabías que el riesgo era alto y no hiciste nada diferente.

Y la frontera: diferenciar riesgos no significa recortar trabajo, significa moverlo. Un «bajo» usado para ahorrar horas sin mover ninguna hacia los riesgos que importan es presupuesto disfrazado; y ningún riesgo significativo —estimaciones, ingresos, partes relacionadas, fraude de la gerencia— baja de calificación porque el presupuesto apriete. La regla para citar: el riesgo «alto» se demuestra con lo que hiciste distinto; el riesgo «bajo», con lo que escribiste para justificarlo. Lo que no cumple ninguna de las dos, no es evaluación.