Calidad de la auditoría

Te quedaste sin horas y el riesgo se quedó sin probar

Las dos salidas silenciosas cuando el presupuesto se acaba antes que el trabajo, y el protocolo para que ninguna decida por ti.

BLOG Auditool · Para auditores internos y externos · Tiempo de lectura: 7 minutos
Jueves, 8:40 de la noche. La hoja de tiempo dice que llevas 118 horas de las 120 presupuestadas. El programa de trabajo dice que faltan dos pruebas: accesos privilegiados y conciliaciones del cierre. Relees el correo del gerente — «necesito el borrador el lunes» — y tienes dos botones a la mano: registrar 6 horas donde trabajaste 14, o marcar las dos pruebas como «cubiertas por procedimientos alternativos» y no volver a hablar del tema.

Aprietas uno de los dos. Y ninguno aparece nunca en un informe.
Lo que te llevas de esta lectura

1Por qué «comerse las horas» no es un sacrificio personal sino un dato falso que planifica el año próximo.

2El protocolo de alerta al 60 % del presupuesto: qué medir y qué tres opciones llevar al gerente.

3La conversación en tres frases y cómo documentar lo que no se hizo por tiempo.

4La objeción del socio y la frontera que ninguna presión de presupuesto cruza.

1El problema que nadie nombra

Todo presupuesto de auditoría nace optimista: horas del año pasado, menos «la eficiencia» que alguien prometió, aprobado antes de ver la calidad de los datos del auditado. Luego llega la realidad —el extracto que no cuadra, el responsable de vacaciones, el sistema que cambió en marzo— y las horas se acaban a dos tercios del programa. Lo que pasa después casi nunca se dice en voz alta, pero todos lo conocemos:

La senior de firma
Trabaja el fin de semana y registra «lo que cabe». El encargo cierra «en presupuesto». El año siguiente el presupuesto baja otro 5 %: los números demostraron que alcanzaba.
El auditor interno
Tres auditorías en paralelo. Reduce la muestra de 40 a 15 «por juicio profesional», no encuentra excepciones y concluye que el control opera. El papel de trabajo no explica por qué eran 40 en la planeación.
El gerente
Ve el semáforo verde de horas y el informe a tiempo, y no pregunta más. No porque no le importe: porque nadie le dio una señal de que hubiera algo que preguntar.

El detalle común: en las tres versiones la auditoría «cerró bien». Ese es el problema. Las dos salidas silenciosas —no reportar las horas reales o recortar pruebas sin decirlo— comparten la misma virtud perversa: no dejan huella.

2Por qué es más grave de lo que parece

La creencia cómoda dice: «comerse las horas es un sacrificio personal; el trabajo se hizo, y quien pierde soy yo». Suena hasta noble. Es falsa por una razón simple: la hoja de tiempo no es un registro de tu esfuerzo; es el dato con el que se planifica la auditoría del año que viene. Cada hora que no registras le dice al gerente, al socio y al comité que el trabajo cabía. Y el sistema hace lo que hace con cualquier dato: lo cree. El presupuesto siguiente baja y la próxima senior hereda una meta imposible. No te comiste tus horas: te comiste las de quien venga después.

La segunda salida es peor, porque el sacrificio ya no es tuyo. Cuando la prueba se recorta sin decirlo, el papel de trabajo sigue afirmando que el riesgo se probó y la conclusión sigue firmada con la misma seguridad. Nadie mintió con la boca; el archivo miente por todos. Si ese riesgo se materializa, nadie preguntará cuántas horas tenías, sino por qué tu archivo dice que lo probaste.

El marco profesional no es un adorno aquí. La NIA 220 y la NIGC 1 ponen sobre la firma y el responsable del encargo la obligación de asignar recursos suficientes y supervisar de verdad: un encargo sin horas es un problema de calidad, no de disciplina personal. Y las Normas Globales del IIA exigen al director de auditoría interna gestionar los recursos de la función y comunicar cuando una limitación —de recursos o de alcance— afecte lo que la auditoría puede concluir. En los dos marcos la respuesta a «no alcanzan las horas» es la misma: decirlo, decidir y documentar. Nunca absorberlo en silencio.

El mecanismo que lo sostiene

Los incentivos premian el semáforo verde, no la conversación incómoda: quien cierra «en presupuesto» asciende; quien avisa que no alcanza parece lento. Mientras se midan horas y no riesgos probados, el silencio será la opción racional a corto plazo — y la más cara a mediano.

3Qué hacer distinto: el protocolo del 60 %

La idea es sencilla: mover la conversación del jueves a las 8:40 de la noche —cuando ya no hay opciones— al 60 % de las horas consumidas, cuando todavía las hay. No hace falta software: una columna más en el Excel del programa de trabajo.

Paso 1 · Mide dos cosas, no una
Compara % de horas consumidas contra % de riesgos del programa efectivamente probados (con evidencia concluida, no «pruebas iniciadas»). Si las horas van al 60 % y los riesgos al 35 %, tienes una alerta objetiva — no una sensación.
Paso 2 · Lleva tres opciones, no un problema
Repriorizar: qué riesgos de menor calificación salen del alcance para proteger los críticos. Ampliar: cuántas horas exactas faltan y para qué pruebas. Documentar la limitación: qué riesgo quedará sin probar y cómo se dirá en la conclusión. El gerente decide; tú no decides solo — y tampoco cargas solo.
Paso 3 · La conversación en tres frases

Llevamos el 60 % de las horas y el 35 % de los riesgos probados; los datos del auditado llegaron incompletos dos veces. Con lo que queda puedo cerrar accesos y conciliaciones, o inventarios y proveedores, no los cuatro. Necesito que decidamos hoy cuál de estas tres opciones tomamos, y lo dejo escrito en el archivo.

Por qué funciona: abre con datos, no con queja; y cierra pidiendo una decisión, no comprensión.
Paso 4 · Documenta lo que no se hizo (y su efecto)
Un memorando de una página, con fecha: qué prueba se redujo o eliminó, quién lo decidió, por qué, y qué cambia en la conclusión. Redacción modelo:

La prueba de accesos privilegiados prevista en la planeación (40 usuarios) se redujo a 15 por decisión del gerente del encargo el [fecha], ante la restricción de horas derivada de [causa]. La conclusión sobre este control se emite con ese alcance y no cubre [lo que quedó fuera]. Se recomienda incluirlo en el próximo ciclo.

Paso 5 · Cierra el ciclo en la planeación siguiente
Antes de aprobar el presupuesto siguiente, tres preguntas: ¿cuántas horas reales consumió este encargo? ¿qué riesgo quedó sin probar y por qué? ¿qué causa de sobrecosto se repite y qué se hace con ella? Sin esas respuestas, el presupuesto copia el error con otra fecha.
Lo que hacemos por costumbre Lo que hace el auditor que aprendió
Descubre que no alcanza cuando ya no alcanza, y lo resuelve solo, de noche. Revisa horas contra riesgos probados al 60 % y sube la alerta con tres opciones.
Registra 6 horas donde trabajó 14, «para no complicar». Registra las 14 y explica la desviación: el dato real es lo único que corrige el presupuesto siguiente.
Reduce la muestra y deja el papel de trabajo como si nada hubiera cambiado. Reduce la muestra si el gerente lo decide, lo escribe con fecha y ajusta la conclusión a lo que realmente se probó.

4La objeción y la frontera

La objeción del socio veterano —o del director de auditoría con seis auditorías atrasadas— es legítima: «El cliente no va a pagar más horas ni el comité aprobará más gente. Si cada senior me sube una alerta, no cierro ningún encargo». Tiene razón en algo: el protocolo del 60 % no crea horas. Crea una decisión con dueño. Entre un encargo que recortó pruebas «porque no alcanzó» y uno donde el responsable decidió con datos qué se probaba y qué no, está la diferencia entre una revisión de calidad que termina en hallazgo y una que termina en «juicio profesional documentado». La alerta no le quita autoridad al gerente: se la devuelve por escrito.

Y la frontera: repriorizar, reducir muestras o declarar una limitación son decisiones legítimas si quedan escritas y la conclusión se ajusta a lo probado. Ninguna presión de presupuesto justifica que el archivo diga «probado» donde no se probó, ni que la hoja de tiempo diga «alcanzó» donde no alcanzó. La regla para citar: el presupuesto puede recortar el alcance; nunca puede recortar la verdad del archivo.

La reflexión de fondo

Comerte las horas no protege el encargo: falsifica el dato con el que se planificará el siguiente. Recortar la prueba en silencio no cumple el plazo: firma algo que no viste. Las horas que no registras y las pruebas que no haces tienen algo en común: alguien las va a pagar. Y ese alguien casi nunca eres tú.

Sé honesto: ¿qué es peor, no reportar las horas reales o recortar la prueba sin decirlo? ¿Y cuál has hecho?
Te leemos en los comentarios. Cuenta tu postura y, si te animas, la vez que apretaste uno de los dos botones.
Publicado en el BLOG de Auditool · Red de conocimiento en auditoría, riesgos y control interno
Si te dio algo que hacer distinto la próxima semana, compártelo con tu equipo.

Escribir un comentario

Enviar
× Progressive Web App | Add to Homescreen

Para instalar esta Web App en su iPhone/iPad presione el ícono. Progressive Web App | Share Button Y luego Agregar a la pantalla de inicio.

Desconectado