Deficiencias que deben convertirse en decisiones
La NIA 265 guía al auditor para identificar deficiencias de control interno durante la auditoría, valorar cuáles merecen atención del gobierno y comunicar de forma clara qué ocurrió, por qué importa y qué debe cambiar.
¿Qué exige la NIA 265?
La NIA 265 establece la responsabilidad del auditor de comunicar de manera adecuada a los responsables del gobierno y a la dirección las deficiencias de control interno identificadas durante la auditoría que, según su juicio profesional, son suficientemente importantes para merecer su atención.
Una deficiencia existe cuando un control está diseñado, implementado u operado de forma que no puede prevenir, o detectar y corregir oportunamente, incorrecciones en los estados financieros. Puede deberse a un control inexistente, mal diseñado, aplicado de forma inconsistente, ejecutado por una persona sin competencia, o neutralizado por una excepción que nunca se investiga.
Una deficiencia significativa es una deficiencia, o combinación de deficiencias, que a juicio profesional del auditor tiene importancia suficiente para merecer la atención de los responsables del gobierno. No es sinónimo de una incorrección material, pero aumenta la probabilidad de que una incorrección material no sea prevenida o detectada. La evaluación considera magnitud potencial, probabilidad, naturaleza, circunstancias, susceptibilidad a fraude, volumen de operaciones, importancia del control y existencia de controles compensatorios.
El auditor no expresa automáticamente una opinión sobre la eficacia global del control interno ni garantiza que encuentre todas las deficiencias. La auditoría considera controles para diseñar procedimientos y evaluar riesgos. La dirección sigue siendo responsable de diseñar, implementar, mantener y remediar el sistema de control interno.
Cuatro preguntas que separan una observación de una deficiencia significativa
¿Qué puede salir mal?
Define la incorrección potencial, la afirmación afectada, el saldo o revelación y la población expuesta. Un control sin riesgo vinculado no puede evaluarse con precisión.
¿El control responde al riesgo?
Analiza diseño y alcance: quién lo ejecuta, qué evidencia produce, qué frecuencia tiene, qué excepciones detecta y qué sucede cuando falla.
¿Funcionó en el periodo?
Una política escrita no prueba operación efectiva. Revisa evidencia, competencia, oportunidad, reejecución, muestras, accesos, cambios y seguimiento de excepciones.
¿Merece atención del gobierno?
Valora probabilidad, impacto, fraude, juicio, continuidad, volumen, controles compensatorios y si la combinación de fallas supera el umbral de atención.
Comunicar no es acusar
La comunicación describe hechos, criterio, riesgo y acción. Evita atribuir intención o culpa cuando la evidencia solo sustenta una deficiencia de proceso.
Control y contabilidad
Conecta la deficiencia con cifras y revelaciones, pero también con información no financiera, cumplimiento, fraude y calidad del gobierno.
Siete pasos para comunicar deficiencias con impacto
La calidad de una comunicación depende tanto del análisis como de la forma de presentarlo. Este flujo ayuda a convertir una excepción de auditoría en una decisión de mejora.
Detectar
Identifica fallas de diseño, implementación u operación en procedimientos de riesgos y controles.
Describir
Documenta condición, criterio, causa, efecto potencial, evidencia, periodo y proceso afectado.
Valorar
Evalúa probabilidad, magnitud, fraude, juicio, controles compensatorios y combinación con otras fallas.
Corroborar
Confirma hechos con pruebas adicionales, responsables del proceso, datos, reejecución y evidencia independiente.
Clasificar
Distingue deficiencia, deficiencia significativa y asunto de control que debe comunicarse a dirección.
Comunicar
Entrega por escrito las deficiencias significativas y comunica oportunamente a la dirección y al gobierno.
07 · Acordar y seguir
Solicita respuesta, responsable, fecha, evidencia de remediación y prueba de efectividad. Si la dirección no actúa, comunica la reincidencia y reevalúa el riesgo del siguiente encargo. Usar checklist de seguimiento.
Una carta de control que el gobierno puede usar
La comunicación debe explicar la deficiencia sin esconderla detrás de lenguaje técnico. Incluye una descripción de la condición observada, el criterio o control esperado, la causa conocida o probable, el efecto real o potencial y la recomendación o acción acordada. Si el asunto tiene relación con una incorrección, explica el importe, la afirmación, la frecuencia y la forma en que el control habría respondido.
La comunicación distingue las deficiencias significativas de otras deficiencias que deben llegar a la dirección. También indica que el propósito de la auditoría no es expresar una opinión sobre la eficacia del control interno y que la identificación se limita a los controles considerados en el encargo. Esa precisión evita que la dirección interprete la carta como una certificación completa o como una lista exhaustiva de todas las fallas.
Una buena recomendación es accionable: propone mejorar segregación, autorización, conciliación, acceso, revisión, evidencia, parámetros, monitoreo o capacitación; define quién hará qué y para cuándo. No debe diseñar el control en nombre de la administración ni asumir una responsabilidad de gestión que amenace la independencia.
Modelo de redacción
Condición: las conciliaciones bancarias no fueron preparadas ni revisadas durante tres meses.
Riesgo: partidas antiguas o movimientos no autorizados podrían no detectarse oportunamente y afectar efectivo, ingresos o gastos.
Causa: ausencia de responsable sustituto y revisión documentada.
Acción: asignar responsable, establecer fecha límite, revisión independiente y evidencia de excepciones; validar efectividad en el siguiente cierre.
Clasificador de deficiencias NIA 265
Selecciona las características observadas. La herramienta genera una orientación inicial sobre el nivel de comunicación y la evidencia que conviene obtener.
Generador de carta de control
Elige el proceso y el tipo de falla para construir una base de redacción. Personaliza hechos, fechas, importes y responsables antes de usarla.
Distribuidora Pacífico: el control que todos daban por hecho
Una conciliación sin revisión revela un riesgo mayor
Distribuidora Pacífico S.A. procesa más de 2.000 cobros mensuales. El procedimiento indica que el auxiliar prepara conciliaciones bancarias y el jefe financiero las revisa dentro de los diez días siguientes. En la muestra, cuatro meses tienen firma digital, pero el jefe reconoce que firmó “por lote” sin revisar las partidas antiguas.
Hechos y preguntas
- Dos cuentas presentan partidas conciliatorias de más de 90 días.
- El control está documentado, pero la evidencia no muestra revisión de excepciones.
- Existe una persona sustituta, aunque nunca fue formalmente asignada.
- El análisis preliminar no encontró una incorrección material, pero el riesgo de efectivo es relevante.
Pregunta: ¿es una observación menor porque no se detectó un error?
Respuesta metodológica
- Describe la diferencia entre diseño adecuado y operación efectiva; la firma por lote no demuestra revisión.
- Amplía pruebas sobre partidas antiguas, accesos, movimientos posteriores y cobros no aplicados.
- Evalúa impacto potencial, probabilidad, fraude, volumen y control compensatorio.
- Comunica la deficiencia y explica que la ausencia de error detectado no elimina el riesgo.
- Acordar responsable, revisión de excepciones, sustitución formal y prueba de efectividad en el siguiente cierre.
Checklist para cerrar una deficiencia con evidencia
Diez fallas que debilitan una comunicación de control
Una lista extensa sin clasificación impide que el gobierno priorice lo importante.
Que exista un manual no demuestra implementación ni operación efectiva.
Sin explicar qué puede salir mal, la recomendación carece de sentido.
Una falla puede estar cubierta por otro control; debe probarse, no suponerse.
La frecuencia, población, cambios y excepciones pueden cambiar la evaluación.
La dirección y el gobierno necesitan tiempo para corregir y evaluar el riesgo.
Una acción sin dueño, fecha o evidencia de éxito no es un plan de remediación.
El auditor recomienda y comunica; la administración diseña y opera el control.
Una deficiencia repetida cambia la evaluación de riesgo y el mensaje al gobierno.
La comunicación debe reflejar proceso, hechos, exposición y decisión del encargo.
Comunicar mejora el control, pero no transfiere la responsabilidad
La dirección es responsable de remediar deficiencias, asignar recursos, aceptar riesgos y operar controles. El auditor puede explicar el riesgo y recomendar mejoras, pero no debe asumir funciones de gestión como aprobar transacciones, seleccionar controles, custodiar activos o ejecutar la remediación.
La NIA 265 se conecta con la NIA 260: las deficiencias significativas se comunican por escrito a los responsables del gobierno y a la dirección de forma oportuna; otras deficiencias se comunican al nivel de dirección apropiado. Si una deficiencia involucra a la dirección o afecta la independencia, el auditor escala el asunto y consulta al socio o especialista.
La carta no debe convertirse en un inventario de fallas sin contexto. El auditor debe explicar la limitación del trabajo: se identifican deficiencias durante la auditoría, no se expresa una opinión sobre la eficacia total del control interno, y pueden existir debilidades no detectadas. Esa claridad protege al usuario y evita expectativas equivocadas.
Mensaje profesional
“La deficiencia comunicada no significa por sí sola que haya ocurrido una incorrección ni que el sistema completo sea ineficaz. Significa que el control identificado no reduce el riesgo al nivel esperado y requiere una respuesta de la administración.”
Seguimiento útil
Solicita evidencia, no promesas: nueva conciliación, reporte de excepciones, registro de revisión, aprobación, prueba de acceso, conteo, capacitación o monitoreo con fecha y responsable.
Comprueba tu criterio sobre la NIA 265
Preguntas frecuentes sobre la NIA 265
¿Qué comunica la NIA 265?
Comunica las deficiencias de control interno identificadas durante la auditoría que, según el juicio profesional, son suficientemente importantes para merecer la atención del gobierno, además de otras deficiencias que deban llegar a la dirección.
¿Una deficiencia significativa es igual a un error material?
No. La deficiencia se refiere al control y al riesgo de que una incorrección no sea prevenida o detectada; una incorrección material se refiere a la información financiera. Pueden relacionarse, pero no son equivalentes.
¿El auditor opina sobre el control interno?
En una auditoría de estados financieros bajo NIA, no expresa automáticamente una opinión sobre la eficacia global del control interno. La responsabilidad principal de diseñar y operar controles es de la administración.
¿Qué diferencia hay entre diseño y operación?
El diseño pregunta si el control responde al riesgo; la operación pregunta si fue ejecutado por una persona competente, en el momento adecuado, con evidencia y respuesta a excepciones.
¿Deben comunicarse todas las deficiencias por escrito?
Las deficiencias significativas deben comunicarse por escrito a los responsables del gobierno y a la dirección apropiada. Las demás se comunican al nivel de dirección adecuado según el juicio y el marco aplicable.
¿Qué pasa si hay un control compensatorio?
Debe identificarse y probarse. Un control compensatorio efectivo puede reducir el riesgo, pero no se presume ni elimina automáticamente la necesidad de comunicar la deficiencia original.
¿Puede la dirección rechazar la recomendación?
La dirección puede decidir aceptar un riesgo, pero el auditor documenta la respuesta, considera el efecto en la valoración del riesgo y comunica la falta de acción si merece atención del gobierno.
¿Cómo se relaciona con la NIA 315?
La NIA 315 ayuda a identificar y valorar riesgos mediante la comprensión del control interno; la NIA 265 regula la comunicación de deficiencias que surgen durante ese trabajo y otros procedimientos de auditoría.
¿Qué evidencia demuestra remediación?
Pruebas de que el nuevo control fue diseñado, implementado y operó efectivamente: reportes, aprobaciones, excepciones resueltas, accesos, conciliaciones, monitoreo y seguimiento.
¿Esta guía sustituye la norma oficial?
No. Es material educativo. La NIA oficial, la regulación local, el contrato y las circunstancias del encargo son la base del trabajo profesional.
¿Tus controles reducen el riesgo o solo generan documentos?
Alxaz Consulting puede ayudarte a mapear controles, evaluar deficiencias, preparar cartas de control y diseñar seguimiento con evidencia.
Fuentes oficiales y alcance
La estructura de esta guía se contrastó con el proyecto oficial del IAASB sobre comunicación de deficiencias de control interno, el módulo ISA 265 del IAASB y el Handbook 2025 del IAASB. El material de Alxaz tiene finalidad educativa y no reemplaza el texto oficial.
En Ecuador se debe verificar la adopción local, los requerimientos del regulador, la estructura de gobierno, el código de ética y las circunstancias específicas del encargo antes de concluir.