Fraude: escepticismo, riesgo y respuesta con evidencia
La NIA 240 (Revisada) refuerza la responsabilidad del auditor frente a incorrecciones materiales debidas a fraude. Esta guía traduce el estándar en decisiones de trabajo, documentación, comunicación y casos que el equipo puede aplicar.
¿Qué exige la NIA 240 (Revisada)?
Exige que el auditor obtenga seguridad razonable de que los estados financieros, considerados en su conjunto, están libres de incorrecciones materiales debidas a fraude o error. La responsabilidad de prevenir y detectar fraude corresponde principalmente a la dirección y a los responsables del gobierno de la entidad; el auditor responde mediante una auditoría planificada y ejecutada con escepticismo profesional.
La revisión emitida por el IAASB en julio de 2025 aclara responsabilidades, fortalece la valoración del riesgo de incorrección material por fraude, incorpora un enfoque específico de fraude durante el encargo, refuerza las respuestas ante fraude o sospecha de fraude y mejora la transparencia de las comunicaciones y del informe para entidades cotizadas. La norma también enfatiza la proporcionalidad: la aplicación debe ser consistente, pero considerar el tamaño y complejidad del encargo.
La norma no convierte al auditor en investigador policial ni garantiza que se descubra toda conducta fraudulenta. El fraude puede estar diseñado para ocultarse mediante colusión, falsificación, omisión intencional, manipulación de controles o declaraciones engañosas. La auditoría reduce el riesgo de que una incorrección material no sea detectada, pero conserva limitaciones inherentes a la evidencia, el juicio y la posibilidad de evasión de controles por la dirección.
La pregunta profesional no es “¿parece honesta la administración?”, sino “¿qué podría estar manipulado, qué incentivos existen, qué evidencia sería contradictoria y qué procedimiento cambiaría mi conclusión?”. Esa forma de pensar atraviesa toda la ruta NIA.
Cinco refuerzos que deben verse en el expediente
Responsabilidades más explícitas
El equipo debe comprender qué se espera del auditor frente al fraude y cómo se conecta la NIA 240 con NIA 200, NIA 220 (Revisada), NIA 315 (Revisada), NIA 330, NIA 500 y otras normas.
Escepticismo durante todo el encargo
El escepticismo no se limita a una reunión inicial. Requiere mantener una actitud cuestionadora, investigar respuestas contradictorias y considerar autenticidad y fiabilidad de documentos.
Fraud lens en riesgos
La identificación y valoración de riesgos debe considerar específicamente cómo podría producirse una incorrección por fraude, quién tendría capacidad, qué controles podrían evadirse y dónde existe sesgo.
Respuestas más operativas
Cuando se identifica o sospecha fraude, el auditor debe decidir respuestas proporcionales, ampliar evidencia, involucrar al nivel adecuado y evaluar consecuencias en el resto del encargo.
Comunicación y transparencia
La comunicación oportuna con dirección y responsables del gobierno gana importancia. En informes de entidades cotizadas se refuerza la transparencia sobre responsabilidades y procedimientos relacionados con fraude.
Uso de tecnología con criterio
El uso de herramientas automatizadas puede mejorar el análisis, pero exige comprender datos, parámetros, excepciones, sesgos y evidencia generada para sostener una conclusión.
Fraude no es lo mismo que error
El error es una incorrección no intencional. El fraude es un acto intencional realizado por una o más personas de la dirección, los responsables del gobierno, empleados o terceros, mediante engaño para obtener una ventaja injusta o ilegal. La intención puede ser difícil de probar; por eso el auditor trabaja con indicios, patrones, contradicciones, incentivos y evidencia, no con una confesión como única base.
La NIA 240 distingue, de forma práctica, entre información financiera fraudulenta —por ejemplo, registrar ingresos ficticios, ocultar pasivos o manipular estimaciones— y apropiación indebida de activos, como desviar efectivo, inventario o recursos de la entidad.
El triángulo tradicional de fraude ayuda a ordenar preguntas: presión o incentivo, oportunidad y racionalización. No es una fórmula para concluir que existe fraude. Es una herramienta para identificar condiciones que exigen más escepticismo, procedimientos más precisos o comunicación adicional.
Cómo ejecutar una respuesta de auditoría frente al fraude
La aplicación profesional necesita una secuencia que conecte conversación, riesgo, procedimiento, resultado, comunicación y conclusión.
Preparar el tono escéptico
En la reunión del equipo se discute cómo podría ocurrir fraude y se evita que la experiencia pasada genere confianza automática.
Investigar la entidad
Se comprenden negocio, modelo, presiones, objetivos, controles, tecnología, partes vinculadas y cambios atípicos.
Valorar riesgos
Se identifican afirmaciones, clases de transacción, saldos y revelaciones susceptibles de incorrección material por fraude.
Diseñar respuestas
Se ajustan naturaleza, momento y extensión; puede requerirse evidencia más fiable, procedimientos sorpresa o especialistas.
Reevaluar y escalar
Los hallazgos se conectan con el resto de la auditoría, comunicación, continuidad y necesidad de informar a autoridades.
Concluir con evidencia
Se evalúa si persisten incorrecciones, si la evidencia es suficiente y si existe una limitación o modificación.
Documentar y comunicar
Se deja trazabilidad de hechos, juicio, procedimientos, consultas, decisiones, comunicaciones y efecto en el informe.
Revisión independiente
Los asuntos significativos se someten al nivel de revisión y consulta definido por el sistema de calidad.
Actualizar
La evaluación no queda congelada: se reconsidera cuando aparecen nuevos hechos o evidencia contradictoria.
Aprender
Los patrones identificados alimentan controles, capacitación y mejoras del siguiente encargo.
Evaluador de exposición al riesgo de fraude
Selecciona el nivel observado en cada dimensión. El resultado es una orientación educativa; el auditor debe valorar riesgos por afirmación, clase de transacción, saldo y revelación con la metodología de la firma.
Diseñador de respuestas: del riesgo al procedimiento
Un riesgo no se responde con la frase “se revisó”. La respuesta debe indicar qué puede estar incorrecto, qué afirmación se afecta y qué evidencia puede detectar o contradecir la manipulación.
Conecta el esquema de fraude con la afirmación afectada
El fraude puede presentarse en cualquier área, pero las pruebas deben responder a la forma en que la incorrección podría materializarse. En ingresos ficticios, la ocurrencia y el corte suelen requerir atención; en pasivos omitidos, la integridad; en estimaciones manipuladas, la valuación y la revelación; en activos apropiados, la existencia, derechos y custodia.
La conexión evita procedimientos genéricos. Confirmar una venta con el cliente puede aportar evidencia de existencia de una factura, pero no demostrar que el ingreso se reconoció en el periodo correcto ni que no existe un acuerdo de devolución. Revisar pagos posteriores puede aportar evidencia sobre pasivos, pero no sustituye comprender compromisos no registrados.
El auditor debe considerar el nivel de la dirección que podría evadir controles, el efecto de la colusión y el riesgo de que documentos aparentemente consistentes hayan sido preparados para engañar. La fiabilidad de una evidencia depende de su origen, naturaleza, control y relación con la afirmación.
Romper la rutina cuando el riesgo lo exige
La previsibilidad facilita que una manipulación se oculte. Según las circunstancias, el equipo puede incorporar procedimientos no anunciados, seleccionar partidas fuera de los patrones habituales, visitar ubicaciones en momentos distintos, revisar asientos de usuarios inusuales o variar la muestra.
La imprevisibilidad no significa actuar sin propósito. Cada procedimiento debe tener un objetivo, una población, un criterio de selección y una forma de evaluar el resultado. Si no se documenta por qué se eligió y qué riesgo responde, se convierte en una sorpresa sin valor probatorio.
Las herramientas automatizadas pueden identificar duplicados, asientos cercanos al cierre, combinaciones inusuales, transacciones redondas o usuarios con privilegios atípicos. El resultado debe ser investigado; un indicador no constituye evidencia de fraude por sí solo.
Checklist de respuesta ante fraude identificado o sospechado
Marca cada control para verificar si el equipo ha pasado de la intuición a una respuesta documentada.
Comercial Andina S.A.: ventas de diciembre y bonos de gerencia
Una empresa reporta crecimiento excepcional en diciembre. El equipo identifica ventas con entregas en enero, notas de crédito posteriores y un bono ligado al margen anual.
Hechos observados
- Doce facturas importantes fueron emitidas en los últimos tres días del periodo.
- Cuatro despachos constan con fecha de enero, aunque la factura es de diciembre.
- La gerencia afirma que el cliente “ya había aceptado” los productos, pero no entrega confirmación independiente.
- En enero aparecen notas de crédito por devoluciones y descuentos no previstos en el archivo inicial.
- El bono del director comercial depende de superar un margen anual determinado.
Trabajo esperado
- Define afirmaciones y riesgos de incorrección material por fraude.
- Diseña pruebas de corte, ocurrencia, devoluciones y términos contractuales.
- Obtén evidencia externa o posterior y contrasta explicaciones con documentos.
- Evalúa ajuste, efecto agregado, comunicación y posible modificación del informe.
- Documenta por qué la evidencia es suficiente o qué limitación permanece.
Conclusión orientativa
Existe un riesgo específico relacionado con el reconocimiento de ingresos y el corte. El bono constituye un incentivo, las fechas de despacho son contradictorias y las notas de crédito pueden indicar condiciones no consideradas. No basta con confirmar que el cliente reconoce haber recibido una factura: deben analizarse transferencia de control, términos, aceptación, devoluciones y registro en el periodo correcto.
Documentación mínima
El papel debe identificar población, criterio de selección, contratos, guías de despacho, confirmaciones, notas posteriores, asiento, conclusión por partida y efecto en el riesgo. También debe mostrar la discusión con dirección, la consulta realizada y la comunicación al nivel de gobierno que corresponda.
Detector de señales: indicio, riesgo o conclusión
Selecciona cómo tratarías una señal aislada:
Cuándo y con quién comunicar
La comunicación depende de la naturaleza del asunto, el nivel de la persona involucrada, la responsabilidad de los receptores, la regulación y el efecto en la auditoría. Un indicio que involucra a un empleado puede requerir un canal distinto al de una sospecha que alcanza a la dirección. Si la dirección o los responsables del gobierno están implicados, el auditor debe escalar conforme al marco profesional y legal.
Comunicar no equivale a acusar. El mensaje debe separar hechos observados, información recibida, procedimientos realizados, incertidumbres y efecto potencial. Evita afirmar intención criminal cuando la evidencia solo permite identificar una incorrección o riesgo. La asesoría legal puede ser necesaria para determinar obligaciones de denuncia externa, privilegio o restricciones de confidencialidad.
Los responsables del gobierno deberían recibir información suficientemente oportuna para ejercer su función de supervisión. La comunicación tardía puede permitir que se destruya evidencia, se repita el patrón o se tomen decisiones con información incompleta.
Transparencia sin crear expectativas falsas
La NIA 240 revisada mejora la transparencia sobre responsabilidades y procedimientos relacionados con fraude, especialmente en informes de entidades cotizadas. La redacción debe ser coherente con el trabajo realmente realizado y con las normas de información del informe.
Una descripción del trabajo no debe sugerir que el auditor garantiza detectar cualquier fraude ni que investigó cada transacción. Debe explicar el alcance de la auditoría, sus limitaciones y, cuando corresponda, la respuesta a asuntos significativos de manera clara y específica.
El informe es la salida final de un proceso. Si la documentación, comunicación o evaluación de incorrecciones no están resueltas, no puede “arreglarse” el problema únicamente con un párrafo de transparencia.
Modelo de papel de trabajo NIA 240
Adapta este índice a la metodología de tu firma. El formato no reemplaza el análisis, pero obliga a dejar visible la lógica del encargo.
Riesgo y contexto
Entidad, periodo, proceso, presión, oportunidad, incentivos, partes involucradas y fuentes consultadas.
Afirmación y materialidad
Clase de transacción, saldo o revelación; afirmación afectada; materialidad; riesgo inherente y de control.
Respuesta diseñada
Naturaleza, momento, extensión, selección, imprevisibilidad, herramienta y responsable de ejecución.
Resultado y contradicción
Excepciones, documentos, confirmaciones, análisis posterior, explicaciones y evidencia que las respalda.
Comunicación y consulta
Personas informadas, fecha, asunto, respuesta, consulta técnica, asesoría legal y decisiones adoptadas.
Conclusión y efecto
Incorrección, corrección, efecto agregado, control, informe, representación escrita y revisión final.
Diez errores que debilitan una auditoría frente al fraude
La honestidad percibida de la dirección no sustituye el escepticismo ni la corroboración.
La reunión del equipo enumera riesgos genéricos, pero no los conecta con transacciones reales.
Se marca “fraude” en la matriz sin indicar qué puede estar incorrecto ni cómo detectarlo.
Una respuesta externa se acepta sin revisar condiciones, corte, devoluciones o autenticidad.
Se archiva la explicación de la administración aunque no coincida con datos de terceros.
El cliente conoce exactamente qué se prueba y puede adaptar la apariencia de los registros.
Los ajustes manuales cercanos al cierre no se filtran por usuario, hora, cuenta y motivo.
Se etiqueta fraude sin evidencia suficiente o se evita escalar por temor al conflicto.
El gobierno conoce el asunto cuando ya no puede preservar evidencia o corregir información.
El expediente dice “no se identificó fraude” sin explicar preguntas, fuentes, procedimientos y conclusión.
Comprueba tu criterio sobre NIA 240
Preguntas frecuentes sobre la NIA 240 revisada
¿La NIA 240 revisada ya está vigente?
Fue emitida en julio de 2025 y es aplicable a auditorías de estados financieros de periodos que comiencen el 15 de diciembre de 2026 o después, sujeto a los procesos de adopción de cada jurisdicción. Mientras tanto, debe identificarse qué versión está vigente en el encargo.
¿La NIA 240 obliga al auditor a encontrar todo fraude?
No. El objetivo es obtener seguridad razonable de que los estados financieros en su conjunto están libres de incorrecciones materiales por fraude o error. Existen limitaciones inherentes por ocultamiento, colusión, falsificación y juicio.
¿Qué aporta el enfoque de fraude en la valoración de riesgos?
Obliga a preguntar cómo podría producirse una incorrección intencional, quién tiene incentivo u oportunidad, qué controles podrían evadirse y qué evidencia sería contradictoria.
¿Una incorrección intencional siempre es material?
No necesariamente. Debe evaluarse su importe, naturaleza, circunstancias, efecto cualitativo, patrón y posible relación con otras incorrecciones.
¿Cuándo debe comunicarse un fraude o sospecha?
Debe evaluarse comunicación oportuna con dirección, responsables del gobierno y, cuando corresponda, autoridades o asesores legales, considerando la responsabilidad de cada receptor y la regulación aplicable.
¿Qué debe documentarse?
La discusión del equipo, riesgos, respuestas, procedimientos, evidencia, contradicciones, consultas, comunicaciones, conclusiones, efecto en el informe y revisión.
¿Qué relación tiene con la NIA 570 revisada?
El IAASB ha coordinado ambas revisiones porque fraude y dificultades financieras pueden relacionarse. El equipo debe considerar el efecto de hallazgos de fraude en continuidad y viceversa.
¿Las herramientas de analítica detectan fraude?
Detectan patrones o excepciones que requieren investigación. No convierten automáticamente una anomalía en fraude ni sustituyen la comprensión del negocio y del control.
¿Cómo se protege la independencia?
La firma debe evaluar amenazas, relaciones, servicios no permitidos y consultas conforme al código de ética y al sistema de gestión de calidad. La presión de la administración no debe cambiar una conclusión sustentada.
¿Esta guía reemplaza el texto oficial?
No. Es material educativo. La versión oficial de la NIA, la regulación adoptada y las circunstancias del encargo son la base de una conclusión profesional.
¿Tu equipo necesita entrenar respuestas ante fraude?
Podemos convertir la NIA 240 en un taller con riesgos, controles, asientos, contratos y evidencias similares a los de tu organización.
Fuentes oficiales y alcance de esta guía
La fecha de emisión, vigencia y principales mejoras se contrastaron con la publicación oficial de ISA 240 (Revised), la versión disponible en español latinoamericano y la comunicación del IAASB sobre la revisión para fortalecer la confianza pública. El material de apoyo del IAASB es no autoritativo y no reemplaza el texto de la norma.
Esta guía tiene finalidad educativa. En Ecuador se debe verificar la adopción local, la fecha de aplicación, el código de ética, las obligaciones de comunicación y cualquier requerimiento del regulador o contrato.