«Riesgo inherente: medio». La casilla que convierte tu evaluación de riesgos en decoración

Si todo es «medio», no evaluaste nada. Qué pide la NIA 315 revisada con el espectro de riesgo inherente y la regla de tres preguntas para que cada calificación signifique algo.

1El problema que nadie nombra

Empecemos por los términos, en una frase cada uno. Una aseveración es cada afirmación implícita que la dirección hace al presentar una cifra: que existe, que está completa, que está bien valuada, que se registró en el periodo correcto. El riesgo inherente es la susceptibilidad de esa aseveración a contener una incorrección material antes de considerar ningún control. Y la matriz de riesgos es el papel de trabajo donde el equipo califica ese riesgo, aseveración por aseveración, para decidir cuánta y qué evidencia reunir.

En la mayoría de las matrices que hemos revisado, la casilla «medio» no registra una evaluación. Registra una salida de emergencia. Y lo hace por una razón muy humana: es la única calificación que no le pide nada a nadie.

Por eso el mismo «medio» significa cosas distintas en la misma matriz: «medio porque no lo pensé», «medio porque así venía del año pasado», «medio porque no quiero discutirlo hoy». Tres significados, una casilla, ninguna decisión.

2Por qué es más grave de lo que parece

La creencia cómoda dice: «poner medio es prudente; ni exagero ni me arriesgo». Suena razonable y es falsa por diseño. La calificación de riesgo existe para una sola cosa: decidir la respuesta, es decir, la naturaleza, el momento y la extensión de los procedimientos que exige la NIA 330. Una calificación que no cambia ningún procedimiento no es prudente ni imprudente: es inerte. Y una escala de tres valores en la que el 90 % de las filas cae en el del centro se ha convertido, en la práctica, en una escala de un solo valor. Una escala de un solo valor no mide nada.

En este mismo blog, en 2019, explicábamos la lógica que sigue siendo el corazón del asunto: identificar y evaluar los riesgos a nivel de aseveración para diseñar procedimientos eficaces («Estados financieros, sus aseveraciones y relación con los errores materiales»). Esa lógica no envejeció; lo que cambió es la exigencia. La NIA 315 revisada, vigente para los ejercicios iniciados a partir del 15 de diciembre de 2021, pide evaluar el riesgo inherente por separado del riesgo de control y para cada aseveración, considerando la probabilidad de una incorrección y su posible magnitud; apoyarse en factores de riesgo inherente explícitos —complejidad, subjetividad, cambio, incertidumbre y susceptibilidad a sesgo de la dirección o fraude—; y ubicar el resultado en un espectro de riesgo inherente, cuyo extremo superior define los riesgos significativos.

Fíjate en la palabra: espectro. Tres casillas son una simplificación aceptable solo si se puede explicar por qué un riesgo cayó en una y no en otra. Cuando un inspector abre la matriz, su primera pregunta rara vez es «¿por qué alto?». Es «¿por qué medio?». Y «porque no es ni alto ni bajo» no es una evaluación: es la descripción de la casilla.

3Qué hacer distinto: la regla de las tres preguntas

No hace falta cambiar de software ni de metodología. Hace falta responder tres preguntas, en orden, antes de escribir cualquier calificación. Si la plantilla no tiene columnas para ellas, se añaden; caben en el mismo Excel.

Veámoslo con una misma cuenta en dos empresas.

Misma cuenta, dos evaluaciones, dos respuestas. Con la plantilla de siempre, las dos habrían dicho «medio» y las dos habrían recibido el mismo procedimiento del año pasado.

4La objeción y la frontera

La objeción del socio es legítima: «La plantilla de la firma tiene tres casillas, no un espectro. Y no puedo justificar 47 aseveraciones con tres líneas cada una con el presupuesto que tengo». Tiene razón en dos cosas. Tres casillas no son el problema si cada una significa algo; la norma pide un juicio explicable, no una escala de cien puntos. Y no todas las aseveraciones exigen el mismo esfuerzo: la NIA 315 revisada habla de aseveraciones relevantes, las que tienen un riesgo identificado. Si la matriz tiene las cinco aseveraciones marcadas en cada saldo, el problema empezó antes de la calificación: se marcó todo para no dejar nada fuera, y por eso no hay tiempo para pensar ninguna.

Y la frontera, para que nadie lea esto al revés: la regla de las tres preguntas no sirve para bajar calificaciones y ahorrar horas. Un «bajo» exige la misma línea de justificación que un «alto», y ningún riesgo cercano al extremo superior del espectro —estimaciones con supuestos de la dirección, reconocimiento de ingresos, partes relacionadas, asientos manuales de cierre— baja de categoría porque el presupuesto apriete. La regla para citar: una calificación de riesgo vale exactamente lo que cambia en el programa. Si «medio» no cambia nada, no es una calificación: es un espacio en blanco con letras.