Por: CP Iván Rodríguez. Colaborador de Auditool.

La Declaración sobre las Normas de Auditoría No. 145 (SAS 145): Entendiendo la entidad y su entorno y evaluando los riesgos de inexactitud material, emitida por el Instituto Americano de Contables Públicos Certificados (AICPA por sus siglas en inglés) trata acerca de la comprensión de la empresa y de su entorno a efectos de la evaluación de los riesgos de afirmaciones falsas materiales en los estados financieros. Asimismo, actualiza las normas de evaluación de riesgos. Si bien conceptualmente la evaluación de riesgos sigue siendo la misma, algunos detalles son diferentes y afectan significativamente la forma en que se audita.

Toda vez que la norma entra en vigor para auditorías de estados financieros para períodos que terminan a partir del 15 de diciembre de 2023, las auditorías de ese año calendario requerirán que los auditores sigan las directrices revisadas de evaluación de riesgos. Por tanto, los cambios en el concepto de riesgo significativo pueden afectar la forma en que se realizan los procedimientos de evaluación de riesgos y la forma en que se diseñan otros procedimientos de auditoría para abordar los riesgos identificados.

Algunos de los temas importantes que trae esta norma y que deberían ser estudiados por los auditores, son los siguientes:

• Evaluaciones de riesgos inherentes y de control separadas

Las evaluaciones de riesgo inherente y de control en ocasiones se realizan por separado, si bien no es necesario hacerlas de esta manera. De acuerdo con la SAS 145, se requiere que los auditores evalúen individualmente estos dos riesgos a nivel de aserción, aunque no se requiere documentar una evaluación combinada de riesgos inherentes y de control. Adicionalmente, la norma no especifica un medio particular para la evaluación de estos riesgos. Por ejemplo, se puede emplear tanto una escala de alto, moderado o bajo o, bien, una de uno a diez.

• Evaluación del riesgo de control al nivel máximo

Muchos auditores evalúan el riesgo de control en alto o máximo, independientemente de la estructura de control interno, ya sea que los controles estén diseñados e implementados adecuadamente o no. Es posible que se planee utilizar un enfoque totalmente sustantivo; por ejemplo, cuando los procedimientos sustantivos toman menos tiempo que los controles de prueba para determinar su eficacia. Si se decide no probar la efectividad de los controles, SAS 145 requiere que se evalúe el riesgo de control al máximo (o alto) para que el riesgo de inexactitud material sea el mismo que la evaluación de riesgos inherente.

Por lo tanto, si el riesgo de control se evalúa al máximo, ¿puede la evaluación del diseño y la implementación de controles seguir afectando los procedimientos de auditoría planificados? La respuesta es sí, dado que el aumento del riesgo conduce a un cambio en la naturaleza, el momento y el alcance de los procedimientos de auditoría planificados. Por ejemplo, si se advierte una falta de segregación de funciones, es posible que se deban agregar procedimientos más sustantivos para abordar el riesgo de fraude. Por otro lado, si una prueba de efectividad de los controles apoya un menor riesgo de control, puede llevar la evaluación por debajo del máximo. Sin embargo, no se puede reducir el riesgo de control sin el apoyo de una prueba de controles para la efectividad.

La evaluación de riesgos inherentes es crucial si se utiliza un enfoque totalmente sustantivo. SAS 145 requiere que el riesgo inherente sea el mismo que el riesgo de inexactitud material, por tanto, si el riesgo inherente se evalúa más alto de lo que debería ser, se realizaría un trabajo innecesario para abordar el riesgo, con un desgaste de recursos y tiempo.

• Riesgos significativos

Hay una nueva definición de riesgos significativos. De acuerdo con el párrafo 12 de la SAS 145: un riesgo significativo es aquel que fue identificado de inexactitud material para el cual la evaluación del riesgo inherente está cerca del extremo superior del espectro. Esto, debido al grado en que los factores de riesgo inherentes afectan tanto la combinación de la probabilidad de que ocurra una declaración errónea, así como su magnitud, en caso de que ocurra. La definición que existía previamente de riesgo significativo se centraba en la respuesta al riesgo, no en el riesgo en sí. Por su parte, la nueva definición se centra en el riesgo de error material.

Así, la nueva definición requiere considerar la probabilidad y la magnitud. En otras palabras, probabilidad e impacto en unidades monetarias. Además, la descripción se basa únicamente en el riesgo inherente, sin tener en cuenta el riesgo de control.

Comprender qué riesgos califican como significativos es importante, en parte porque los auditores deben mejorar sus respuestas a estos riesgos. Asimismo, los auditores deben identificar controles que aborden los riesgos significativos y evaluar si estos se han diseñado e implementado de manera efectiva.

Anteriormente, se pensaba que un riesgo significativo requería una consideración de auditoría especial. En otras palabras, la respuesta planificada de un auditor a un riesgo determinaba si se consideraba significativo. Ahora, la evaluación del riesgo inherente determina si un riesgo de declaración errónea material se califica como un riesgo significativo. No obstante, esto no significa que los riesgos significativos no requieran una consideración especial. Los riesgos significativos son solo eso, significativos y debe responderse a ellos adecuadamente.

• Factores de riesgo inherentes y espectro de riesgo

La SAS 145 define los factores de riesgo inherentes como características de eventos o condiciones que afectan la susceptibilidad a la declaración errónea debido a: fraude o error de una afirmación sobre una clase de transacciones, saldo de la cuenta o divulgación antes de considerar los controles. Tales factores pueden ser cualitativos o cuantitativos e incluyen complejidad, subjetividad, cambio, incertidumbre o susceptibilidad a la declaración errónea, debido al sesgo de gestión u otros factores de riesgo de fraude, en la medida en que afecten al riesgo inherente.

Dependiendo del grado en que los factores de riesgo inherentes afecten la susceptibilidad de una afirmación a la declaración errónea, el nivel de riesgo inherente variará. Al considerar el riesgo inherente de una afirmación, se pueden usar los factores antes mencionados para determinar la probabilidad de una declaración errónea. Luego, se considerará la magnitud de tal declaración.

Si el riesgo está cerca del extremo superior del espectro de riesgo (para el riesgo inherente) y la posible declaración errónea es material, entonces la entidad tiene un riesgo significativo. Al centrar la atención en auditar aquellas áreas con mayores riesgos de ser materialmente mal declaradas, lo que incluye aquellos riesgos significativos identificados, la planeación, preparación y realización de la auditoría es más eficaz y eficiente.

Para determinar qué riesgos evaluados de inexactitud material se encuentran cerca del extremo superior del espectro de riesgo inherente y, por lo tanto, son riesgos significativos que implican un juicio profesional, ciertas normas pueden establecer requisitos adicionales en relación con la identificación y evaluación de los riesgos, tales como aquellas relativas a fraude o transacciones con partes relacionadas, que habitualmente son transacciones inusuales significativas.

Después de este recorrido por los temas más importantes de la SAS 145, resaltamos que esta declaración proporciona una mejor orientación para identificar y evaluar los riesgos de inexactitud material. Así, comprender el concepto revisado de riesgo significativo y los elementos conexos tiene consecuencias para las respuestas eficaces de las auditorías. Por último, subrayamos que, como parte del proceso de auditoría, la comprensión de los cambios en el riesgo significativo ayuda a los auditores a gestionar sus esfuerzos desde el primer día y, en ese sentido, a promulgar respuestas apropiadas a riesgos identificados, lo que hace el trabajo sea más eficiente y tenga mayor calidad.

CP Iván Rodríguez - CIE AF

Auditor y consultor, diplomado en Alta Gerencia de Seguros y Derecho de Seguros. Especialista en Dirección Financiera y Desarrollo Organizacional, diplomado en Gerencia de la Calidad. Contador público (CP) de la Pontificia Universidad Javeriana con 20 años de experiencia en diversas empresas. Tiene amplia experiencia en la elaboración y ejecución de auditorías y revisorías fiscales. Dirección y ejecución de asesorías, consultorías y capacitaciones. Colaborador de Auditool.

Bogotá D.C., Colombia