El riesgo se entiende antes de responderlo
La NIA 315 (Revisada 2019) fortalece la identificación y valoración de riesgos de incorrección material. Esta guía traduce la norma en preguntas, mapas de procesos, tecnología, controles, afirmaciones y decisiones que alimentan una respuesta de auditoría eficaz.
¿Qué exige la NIA 315 (Revisada 2019)?
La norma exige identificar y valorar los riesgos de incorrección material, ya sea por fraude o error, a nivel de estados financieros y de afirmaciones. Para hacerlo, el auditor obtiene una comprensión de la entidad y su entorno, el marco de información financiera aplicable, el sistema de control interno relevante y los factores de riesgo inherente.
La revisión de 2019 busca una valoración más robusta y consistente. Requiere relacionar riesgos con afirmaciones, considerar el espectro de riesgo inherente —desde bajo hasta alto—, identificar riesgos significativos, entender por qué ciertos controles son relevantes y evaluar el riesgo de control cuando se pretende apoyarse en controles. También refuerza la consideración de tecnología de la información y de sesgos en el proceso de valoración.
La valoración no es una puntuación automática. Un riesgo elevado puede surgir por complejidad, subjetividad, incertidumbre, cambio, susceptibilidad a fraude o volumen de transacciones. La ausencia de un error histórico no elimina el riesgo; la evidencia del periodo puede cambiar la valoración inicial. El auditor debe mantener escepticismo y revisar si la explicación de la dirección es consistente con datos, contratos, terceros y controles.
La NIA 315 se conecta directamente con la NIA 300, que organiza la planificación, y con la NIA 330, que exige diseñar respuestas a los riesgos valorados. Si la matriz de riesgos no explica qué puede estar mal ni qué procedimiento lo cubrirá, la auditoría queda desconectada.
Seis lentes para identificar riesgos que sí importan
Entidad y entorno
Comprende estructura, propiedad, gobierno, modelo de negocio, sector, regulación, estrategia, objetivos, financiación, operaciones y métricas utilizadas por la dirección.
Marco contable
Identifica políticas, cambios, transacciones complejas, estimaciones, revelaciones, criterios de reconocimiento y áreas donde el marco requiere juicio.
Control interno
Conoce ambiente de control, valoración de riesgos, monitoreo, sistema de información, actividades de control y comunicación relevante.
Tecnología
Mapea aplicaciones, interfaces, automatizaciones, accesos privilegiados, cambios, datos, reportes y controles generales de TI que soportan cifras.
Factores inherentes
Valora complejidad, subjetividad, incertidumbre, cambio, sesgo, fraude, volumen y susceptibilidad a manipulación o error.
Afirmaciones
Conecta cada riesgo con ocurrencia, integridad, exactitud, corte, existencia, derechos, valuación, presentación y revelación.
Siete pasos para pasar de entender a valorar
La calidad de la valoración depende de la trazabilidad entre preguntas, evidencia, riesgo y respuesta. Este flujo puede utilizarse en auditorías de empresas familiares, PYMES, grupos y entidades reguladas.
Explorar
Realiza entrevistas, analítica preliminar, inspección, observación, recorridos y lectura de actas y contratos.
Mapear
Documenta procesos, aplicaciones, flujos de información, controles, responsables, datos y puntos de estimación.
Identificar
Pregunta qué puede salir mal, cómo ocurriría, quién podría influir y qué afirmación afectaría.
Valorar
Evalúa probabilidad, magnitud, espectro de riesgo inherente, controles y necesidad de considerar riesgo de control.
Clasificar
Determina riesgos significativos, riesgos donde procedimientos sustantivos no bastan y áreas que requieren atención especial.
Conectar
Vincula riesgo con afirmación, control, procedimiento, evidencia, responsable y conclusión esperada.
07 · Actualizar
Revisa la valoración cuando aparecen excepciones, nueva tecnología, cambios, hechos posteriores o evidencia contradictoria. Documenta la razón del ajuste y su efecto en la NIA 330. Usar checklist de riesgos.
No todo riesgo se controla igual
El riesgo inherente existe antes de considerar controles. Una estimación de deterioro con alta incertidumbre y supuestos subjetivos puede tener riesgo inherente alto aunque la entidad tenga un comité de revisión. La valoración debe explicar qué característica lo hace susceptible a incorrección y dónde se ubica en el espectro.
El riesgo de control se relaciona con la posibilidad de que un control no prevenga, o no detecte y corrija oportunamente, una incorrección. Si el auditor pretende confiar en controles, debe comprenderlos, evaluar su diseño e implementación y probar su operación conforme a la estrategia. Si no se apoya en controles, debe diseñar procedimientos sustantivos que respondan al riesgo residual.
La tecnología puede reducir errores manuales, pero también concentrar riesgos en accesos privilegiados, cambios de programación, interfaces, datos maestros o reportes generados por el sistema. Una automatización no es evidencia por sí sola: hay que entender qué hace, con qué datos, quién puede modificarla y cómo se detectan excepciones.
Pregunta de desafío
¿Qué evidencia cambiaría tu valoración? Si el equipo solo registra “riesgo bajo” porque la dirección lo afirma, no hay valoración profesional.
Señales para subir el riesgo
Cambio de sistema, crecimiento inusual, presión por resultados, transacción compleja, estimación sensible, litigio, deficiencia de control, datos inconsistentes, usuario privilegiado o ausencia de evidencia.
Mapa de riesgo inherente
Selecciona factores de riesgo. La herramienta sugiere una orientación inicial sobre profundidad de comprensión, discusión del equipo y respuesta.
Conecta riesgo, afirmación y evidencia
Selecciona un área y una afirmación. Obtendrás un mapa inicial de preguntas para documentar el riesgo y orientar la NIA 330.
Tecnología Andina: cuando el ERP cambia el riesgo
Un cambio de sistema altera la valoración
Tecnología Andina S.A. migró su ERP tres meses antes del cierre. El sistema integra ventas, inventarios y facturación electrónica. El director financiero informa que no hubo problemas, pero el equipo detecta usuarios con permisos amplios, interfaces manuales y diferencias entre reportes del ERP y el libro mayor.
Hechos y preguntas
- El cambio afecta ingresos, inventario, corte, interfaces y datos maestros.
- Un usuario puede modificar precios y aprobar notas de crédito.
- La conciliación entre submódulos se ejecuta manualmente al cierre.
- La dirección propone mantener la valoración de riesgo del año anterior.
Pregunta: ¿basta con aumentar la muestra de facturas?
Respuesta metodológica
- Actualizar comprensión de procesos, aplicaciones, interfaces, accesos, cambios y controles de TI.
- Identificar riesgos por afirmación: ocurrencia, integridad, corte, valuación y presentación.
- Evaluar riesgo inherente por cambio, complejidad y posibilidad de manipulación; considerar riesgos significativos.
- Decidir si se requiere especialista de TI, pruebas de controles generales y procedimientos sobre interfaces y datos.
- Comunicar deficiencias relevantes, actualizar la estrategia NIA 300 y diseñar respuestas NIA 330.
Checklist de una valoración de riesgos defendible
Diez errores que producen matrices de riesgo débiles
Una matriz histórica no captura cambios de negocio, tecnología, regulación o presión.
“Ingresos alto” no explica qué puede estar mal ni cómo responder.
Un número no sustituye entrevistas, observación, analítica y comprensión de procesos.
ERP, interfaces y accesos pueden alterar la naturaleza de la evidencia.
El historial limpio no elimina factores de riesgo inherente ni fraude.
Una política no prueba ejecución, competencia, oportunidad ni respuesta a excepciones.
Varias deficiencias moderadas pueden formar un riesgo significativo.
Identificar riesgo sin procedimiento, evidencia y conclusión deja la auditoría incompleta.
Un nuevo contrato, litigio, usuario o sistema exige revalorar el riesgo.
El auditor debe buscar evidencia contradictoria y mantener escepticismo profesional.
La NIA 315 también es una norma para auditores digitales
La revisión 2019 reconoce que los entornos tecnológicos pueden ser simples o complejos. El auditor debe comprender cómo se originan, procesan, almacenan y reportan los datos. Esto incluye aplicaciones relevantes, interfaces, controles de acceso, cambios de programas, operaciones automatizadas, reportes y controles generales de TI.
El uso de analítica no elimina el juicio. Una población completa puede contener datos incompletos, duplicados, mal parametrizados o extraídos desde una fuente que no garantiza integridad. El equipo debe validar origen, periodo, campos, transformaciones, permisos y reconciliación con los estados financieros.
La tecnología también puede aumentar la capacidad de identificar anomalías: asientos inusuales, usuarios con privilegios, cambios cercanos al cierre, transacciones redondas, diferencias entre módulos o movimientos fuera de patrón. Cada excepción debe investigarse y conectarse con una afirmación; no toda anomalía es una incorrección.
Regla de oro
La pregunta no es “¿usamos una herramienta?”, sino “¿qué riesgo identifica, qué datos usa, qué limitación tiene y cómo cambia la evidencia que necesitamos?”.
Decisión de especialista
Considera un especialista cuando la tecnología, valoración, instrumento, modelo o regulación requiere competencias que el equipo no posee. Documenta alcance, coordinación, revisión y uso del resultado.
Comprueba tu criterio sobre la NIA 315
Preguntas frecuentes sobre la NIA 315
¿Qué cambió con la NIA 315 revisada 2019?
Refuerza y clarifica la identificación y valoración de riesgos, incorpora una consideración más explícita de tecnología, fortalece el vínculo con afirmaciones, desarrolla factores de riesgo inherente y mejora la consistencia del proceso.
¿Desde cuándo es aplicable?
La NIA 315 (Revisada 2019) es aplicable a auditorías de estados financieros de periodos que comiencen el 15 de diciembre de 2021 o después, sujeto a adopción jurisdiccional.
¿Qué debe entender el auditor de la entidad?
Entidad y entorno, marco contable, objetivos, estrategia, modelo de negocio, sector, regulación, gobierno, desempeño, controles, sistemas de información y cambios relevantes.
¿Qué son las afirmaciones?
Son representaciones implícitas o explícitas de la dirección sobre reconocimiento, medición, presentación y revelación. Ayudan a definir qué puede estar incorrecto y qué evidencia se necesita.
¿Qué es el espectro de riesgo inherente?
Es una forma de valorar cómo las características inherentes hacen que un riesgo sea menor o mayor, considerando complejidad, subjetividad, incertidumbre, cambio, sesgo, fraude y volumen.
¿Qué es un riesgo significativo?
Es un riesgo identificado y valorado de incorrección material que, a juicio del auditor, requiere consideración especial por su naturaleza, magnitud, probabilidad o circunstancias.
¿El auditor debe probar todos los controles?
No. Comprende controles relevantes para identificar y valorar riesgos. Prueba operación cuando pretende confiar en ellos o cuando una NIA lo requiere.
¿Puede la analítica reemplazar entrevistas?
No. La analítica aporta evidencia y preguntas; debe combinarse con entrevistas, observación, inspección, comprensión de procesos y corroboración.
¿Cómo se relaciona con la NIA 300?
La NIA 300 organiza la planificación; la NIA 315 proporciona la identificación y valoración de riesgos que orientan la estrategia y el plan.
¿Esta guía sustituye la norma oficial?
No. Es material educativo. La NIA oficial, regulación local, contrato y circunstancias del encargo son la base del trabajo profesional.
¿Tu matriz de riesgos explica qué puede salir mal?
Alxaz Consulting puede ayudarte a conectar procesos, tecnología, afirmaciones, controles y procedimientos en una valoración de riesgos defendible.
Fuentes oficiales y alcance
La estructura de esta guía se contrastó con la publicación oficial de ISA 315 (Revised 2019), el área de enfoque del IAASB sobre identificación y valoración de riesgos, la guía de implementación de ISA 315 y la referencia oficial en español. El contenido de Alxaz tiene finalidad educativa y no reemplaza el texto oficial.
En Ecuador se debe verificar la adopción local, los requerimientos del regulador, el contrato, el código de ética y las circunstancias específicas del encargo antes de concluir.