Cómo funciona el modelo
de riesgo de auditoría
La naturaleza del riesgo
de auditoría
El riesgo de auditoría es
el riesgo de que un auditor exprese una opinión incorrecta sobre estados
financieros que contienen errores materiales. Dado que los auditores pueden ser
demandados por esto (y perderán el caso judicial y tendrán que pagar),
necesitan una herramienta para reducir el riesgo.
Podrían reducir el riesgo
de auditoría por la fuerza bruta, lo que significa examinar cada una de las
transacciones del cliente. Pero eso sería increíblemente caro. Por eso, en su
lugar, tienen el modelo de riesgo de auditoría. Este modelo calcula la cantidad
total de riesgo asociado con una auditoría dividiéndola en tres partes. Existe
el riesgo de control, que es el riesgo de que los sistemas de control de un
cliente no detecten o eviten errores materiales. Este es un riesgo importante,
ya que los auditores pueden confiar en un buen sistema de control y reducir
considerablemente sus procedimientos de auditoría. Pero si el sistema de
control apesta, entonces los auditores deben compensarlo con más
procedimientos.
Y luego está el riesgo
inherente, que es el riesgo de que los estados financieros de un cliente sean
susceptibles de errores materiales en ausencia de controles internos. Esto
puede ser un problema en un negocio complejo, y especialmente en aquellos en los
que hay mucho juicio involucrado en la toma de decisiones, porque una persona
sin experiencia tiene más probabilidades de cometer un error. También hay más
riesgo inherente cuando una empresa se ocupa de muchas transacciones no
rutinarias, para las que no hay procedimientos. El mismo problema: una persona
sin experiencia podría arruinarlas. En resumen, una empresa con riesgo
inherente está estructurada de tal manera que las cosas pueden salir mal.
Y finalmente, está el
riesgo de detección. Este es el riesgo de que los procedimientos de auditoría
que se utilicen no sean capaces de detectar un error material. El auditor puede
controlar el riesgo de detección añadiendo más procedimientos, o al menos,
procedimientos relevantes. Esta es la variable principal. El auditor puede
aumentar los procedimientos cuando los otros dos riesgos parecen malos, o
reducirlos cuando los otros niveles de riesgo parecen bastante bajos.
Entonces, el modelo de
riesgo de auditoría establece que se multiplica el porcentaje evaluado de
riesgo de control por el porcentaje evaluado de riesgo inherente y por el
porcentaje evaluado de riesgo de detección, y eso da como resultado el
porcentaje de riesgo de auditoría.
En otras palabras, si
alguno de estos riesgos a nivel subsidiario es alto, y especialmente si varios
de ellos lo son, entonces el auditor estará ante un riesgo muy alto de expresar
una opinión de auditoría incorrecta, lo que puede acabar con su carrera y
vaciar su cuenta bancaria si hay una demanda.
Problemas con el modelo
de riesgo de auditoría
El modelo parece bastante
simple, pero tiene un problema básico. ¿Cómo se obtienen esos porcentajes?
¿Quién puede decir que el riesgo de control debe evaluarse en un diez por
ciento? ¿O en un veinte? ¿O en un treinta? La definición de estos riesgos es
subjetiva, por lo que sería muy difícil defender una cifra específica. Sería
una tontería establecer el riesgo inherente en, digamos, un catorce por ciento.
¿Cómo lo justificaría?
Y, de hecho, dado que
cada dato de la ecuación es subjetivo, ¿cómo puede alguien esperar de manera
realista multiplicarlos y obtener un resultado significativo? Básicamente,
estamos tratando de aplicar conceptos matemáticos a las opiniones.
Un enfoque simplificado
Y es por eso que los
auditores prefieren asignar una calificación alta, media o baja a cada uno de
esos riesgos. Es como un semáforo. El verde es una calificación de riesgo bajo,
el rojo es malo y el ámbar está en algún punto intermedio. Cuando todo está en
verde, el auditor está contento porque el riesgo de auditoría también está en
verde. Cuando todo está en rojo, es hora de que el auditor abandone la
auditoría, porque no hay forma de desarrollar una opinión de auditoría
rentable.
Entonces, ¿cómo llegan
los auditores a estas evaluaciones altas, medias o bajas? Sigue siendo una
cuestión de criterio. El riesgo inherente es rojo cuando el entorno es complejo
y no hay muchos procedimientos. En la situación inversa, es verde. Cuando el
auditor realiza una prueba preliminar de los controles y todos los controles
funcionan según lo planeado, entonces obtiene una calificación verde. Cuando el
resultado es más como una zona de guerra, obtiene una calificación roja. Esos
son los fáciles. El auditor debe decidir bajo qué circunstancias se otorgará
una calificación media. No hay ninguna orientación clara al respecto; sigue
siendo una cuestión de criterio.
Entonces, ¿qué sucede
prácticamente con todas las auditorías, en las que la puntuación no es toda
roja o toda verde? Como regla general, si el riesgo de control y el riesgo
inherente son altos y el riesgo de detección es medio, entonces el auditor no
aceptará el trabajo, porque el costo de todos los procedimientos de auditoría
necesarios será demasiado alto. Si el riesgo de detección cae a verde, entonces
probablemente será rentable para el auditor continuar, pero necesita observar
el resultado de los procedimientos de auditoría, para ver si surge algo
extraño, y hay una buena posibilidad de que así sea.
Por otro lado, si
cualquier combinación de dos riesgos se considera baja, entonces la auditoría
puede continuar. Eso es bueno. El problema es que, si calcula el número de
variaciones de tres riesgos de auditoría y tres clasificaciones de riesgo,
tiene 27 combinaciones posibles de resultados, y en aproximadamente la mitad de
ellos, no está claro si el auditor debe retirarse o aceptar el trabajo.
Por lo tanto, como podría
esperarse, este es un área problemática para los auditores. Durante toda la
auditoría, se reevalúa constantemente el riesgo de auditoría y se modifican los
procedimientos de auditoría para hacer frente a lo que se descubre.
Puede parecer que este
episodio fue exclusivamente para beneficio de los nuevos auditores. No es así.
Hay que mirarlo desde la perspectiva del cliente. Si se le presenta al auditor
un sistema de control deficiente o un entorno operativo inherentemente complejo,
la única forma en que el auditor podrá proporcionar una opinión de auditoría
limpia es acumulando procedimientos de auditoría, lo que puede resultar
bastante caro.
Por lo tanto, tiene
sentido seguir trabajando en los sistemas de control durante la temporada baja,
cuando los auditores no están presentes, para hacerlos lo más sólidos posible.
Y tratar de persuadir a la gerencia para que optimice un poco el negocio, instale
más procedimientos y pague más capacitación para los empleados, de modo que el
riesgo inherente también disminuya.
Cuando se hace eso, los
auditores tienen menos problemas y, lo que es más importante, tendrán menos
trabajo que hacer, por lo que sus honorarios de auditoría serán menores.
Fuente:
Bragg, S. (2020). The Audit Risk Model. ABP No.299
Podcast. Accounting Tools, Inc. USA.
