La respuesta directa puede cambiar la conclusión
La NIA 505 guía al auditor para obtener evidencia relevante y fiable directamente de terceros. Esta guía explica cómo diseñar solicitudes, mantener el control del proceso, evaluar respuestas, gestionar no respuestas y aplicar procedimientos alternativos.
¿Qué exige la NIA 505?
La NIA 505 establece el uso de procedimientos de confirmación externa para obtener evidencia de auditoría relevante y fiable. Una confirmación externa es evidencia recibida directamente por el auditor desde un tercero, en respuesta a una solicitud que el auditor controla.
El control empieza antes de enviar el correo o la carta. El auditor determina qué información confirmar, selecciona a las personas o entidades adecuadas, diseña la solicitud, comprueba que la dirección de contacto sea confiable y mantiene el control sobre el envío y la recepción. Si la administración prepara y distribuye las solicitudes sin supervisión suficiente, aumenta el riesgo de respuestas manipuladas o interceptadas.
La confirmación positiva solicita que el tercero responda en todos los casos, confirmando o discrepando con la información. Es útil cuando el riesgo es significativo, cuando se necesita evidencia persuasiva o cuando una respuesta negativa sería insuficiente. La confirmación negativa pide respuesta solo si el tercero no está de acuerdo y puede ser menos persuasiva; su uso requiere condiciones apropiadas de riesgo, población y baja expectativa de excepciones.
El auditor evalúa las respuestas recibidas, incluidas excepciones, respuestas indirectas, mensajes reenviados, dominios no verificables, respuestas incompletas y confirmaciones recibidas a través de plataformas tecnológicas. Una respuesta no es automáticamente fiable por proceder de un tercero: deben considerarse autenticidad, independencia, conocimiento del informante y la posibilidad de que el proceso digital haya sido alterado.
Si no se recibe respuesta, el auditor diseña procedimientos alternativos para obtener evidencia relevante. En cuentas por cobrar puede revisar cobros posteriores, documentos de despacho y facturas; en bancos puede inspeccionar estados, conciliaciones y movimientos; en abogados puede revisar contratos, actas y correspondencia. Si la dirección se niega a permitir confirmaciones, el auditor investiga las razones, evalúa su razonabilidad, considera fraude y aplica procedimientos adicionales o evalúa una limitación.
Siete decisiones que protegen la evidencia
Definir el objetivo
Especifica qué afirmación se cubre: existencia, derechos, obligaciones, integridad, términos o saldos.
Elegir destinatario
Selecciona un tercero con conocimiento suficiente y una dirección independiente y verificable.
Diseñar solicitud
Incluye datos precisos, periodo, instrucciones, respuesta directa y canal seguro.
Mantener control
El auditor controla envío, seguimiento, recepción y custodia, no la entidad auditada.
Evaluar respuesta
Analiza autenticidad, contenido, persona que responde, excepciones y coherencia con otros datos.
Investigar no respuesta
Aplica procedimientos alternativos y documenta por qué cubren la misma afirmación.
Concluir
Integra respuestas, excepciones y alternativas en la conclusión sobre riesgo y opinión.
Siete pasos para ejecutar confirmaciones externas
Un proceso ordenado reduce el riesgo de respuestas falsas, incompletas o enviadas a destinatarios incorrectos.
Valorar riesgo
Relaciona confirmación con afirmación, materialidad, fraude y riesgo de incorrección.
Definir alcance
Selecciona población, muestra, saldos, transacciones, términos y periodo.
Validar contacto
Confirma dirección, dominio, teléfono y relación del tercero con la entidad.
Enviar bajo control
El equipo de auditoría prepara, envía y protege la solicitud y la respuesta.
Dar seguimiento
Envía recordatorios, registra no respuestas y escala excepciones o rechazos.
Aplicar alternativa
Obtén evidencia suficiente cuando no existe respuesta o esta es incongruente.
07 · Documentar y concluir
El papel de trabajo debe mostrar población, selección, diseño, control del envío, respuestas, excepciones, procedimientos alternativos y conclusión por afirmación. La confirmación no es un archivo adjunto: es un proceso de evidencia.
Diseñador de confirmación externa
Elige el objetivo y las condiciones para obtener una orientación inicial sobre el tipo de confirmación y la respuesta necesaria.
Analizador de no respuesta y excepciones
Una no respuesta no tiene el mismo significado que una excepción. Clasifica el escenario y decide el siguiente procedimiento.
Comercial Pacífico: confirmaciones bajo presión
La empresa presenta cuentas por cobrar de USD 1,2 millones. El 38% corresponde a cuatro clientes y una parte tiene saldos vencidos. La gerencia envía las solicitudes desde su propio correo.
Lo que encuentra el auditor
- Dos clientes no responden y uno devuelve la confirmación a la gerencia, no al auditor.
- Un tercero confirma un saldo USD 90.000 menor al registrado.
- El equipo recibe un mensaje desde un dominio parecido al del cliente.
- La gerencia pide excluir a un cliente relacionado «para no generar ruido».
- Existen cobros posteriores y guías de despacho disponibles.
Respuesta con NIA 505
- Reasumir el control del proceso: validar contactos y enviar nuevas solicitudes desde el equipo auditor.
- Tratar la respuesta indirecta y el dominio parecido como riesgos de autenticidad; corroborar por canal independiente.
- Investigar la excepción de USD 90.000 con facturas, notas de crédito, despachos, cobros y corte.
- No excluir automáticamente al cliente relacionado; evaluar riesgo, materialidad y selección de la población.
- Aplicar procedimientos alternativos a no respuestas y documentar por qué cubren existencia y derechos.
- Comunicar a la dirección y al gobierno las excepciones, la negativa y cualquier indicio de fraude.
Conclusión orientativa: una confirmación no es fiable solo por estar en un correo. El auditor debe controlar el proceso, validar el tercero y resolver cada excepción.
Checklist de confirmaciones externas
Marca cada control antes de concluir que las confirmaciones aportan evidencia suficiente y adecuada.
Diez fallas en confirmaciones externas
La entidad puede alterar destinatarios, contenido o recepción de respuestas.
Un correo parecido o un teléfono entregado por la gerencia no basta.
La solicitud debe indicar saldo, fecha, términos y canal de respuesta.
La confirmación negativa exige condiciones apropiadas y baja expectativa de excepciones.
Una respuesta reenviada por la entidad puede no tener la misma fiabilidad.
Una diferencia puede revelar corte, notas de crédito, devolución o fraude.
La ausencia de respuesta requiere procedimientos alternativos y conclusión.
El sesgo en la selección puede ocultar riesgo de fraude o revelación.
La tecnología necesita controles de identidad, integridad y trazabilidad.
Una negativa de la dirección puede afectar riesgo, gobierno y alcance.
La confirmación digital necesita control humano
Las plataformas de confirmación, firmas digitales, APIs y buzones seguros agilizan respuestas, pero crean nuevas preguntas: ¿quién creó la identidad?, ¿cómo se verificó el destinatario?, ¿qué controles impiden editar la respuesta?, ¿queda registro de fecha y contenido?, ¿la plataforma actúa como intermediaria independiente?
En 2026 la IAASB desarrolla una revisión de ISA 505 dentro del proyecto ISA 500 Series, con atención a confirmaciones externas y tecnología. El objetivo es modernizar la norma y reforzar el escepticismo profesional, pero el proyecto todavía no es un requisito vigente.
Mientras tanto, documenta la autenticación, el canal, el control de acceso, los cambios, la fecha de respuesta, los reintentos y la conservación del mensaje original. Si una plataforma no permite validar el proceso, complementa con contacto independiente y evidencia alternativa.
Pregunta de gobierno
¿Quién controla realmente la respuesta: el auditor, la entidad, el tercero o la plataforma?
Respuesta que debe existir
Diseño, destinatario, canal, autenticidad, trazabilidad, excepciones, no respuestas, alternativas y conclusión.
Comprueba tu criterio sobre la NIA 505
Preguntas frecuentes sobre la NIA 505
¿Qué son las confirmaciones externas?
Son respuestas recibidas directamente por el auditor de un tercero, en respuesta a una solicitud que el auditor controla.
¿Cuál es la diferencia entre positiva y negativa?
La positiva pide respuesta en todos los casos; la negativa pide respuesta solo si el tercero discrepa.
¿Quién envía la solicitud?
El auditor debe mantener control sobre diseño, selección, envío, seguimiento, recepción y evaluación.
¿Qué hacer si el cliente envía las solicitudes?
Investigar el proceso, recuperar control, validar destinatarios y considerar riesgo de manipulación o fraude.
¿Qué es un procedimiento alternativo?
Una prueba distinta que obtiene evidencia sobre la misma afirmación, como cobros posteriores, facturas, despachos o estados bancarios.
¿Una no respuesta es una excepción?
No necesariamente. La no respuesta requiere seguimiento y procedimientos alternativos; una excepción es una discrepancia en la respuesta.
¿Qué hacer con una confirmación electrónica?
Evaluar autenticidad, identidad, integridad, controles de plataforma, canal y trazabilidad de la respuesta.
¿Se pueden confirmar saldos de partes relacionadas?
Sí, pero el auditor debe considerar riesgo de sesgo, selección, términos, revelaciones y evidencia adicional.
¿Qué cambia con el proyecto IAASB 2026?
Busca modernizar confirmaciones externas y su uso tecnológico; todavía no sustituye la NIA vigente.
¿Esta guía sustituye la norma oficial?
No. Es material educativo. El auditor debe consultar la NIA oficial vigente, regulación local y circunstancias del encargo.
¿Tus confirmaciones son realmente independientes?
Alxaz Consulting puede ayudarte a diseñar solicitudes, controlar respuestas, analizar excepciones y documentar procedimientos alternativos.
Fuentes oficiales y alcance
La estructura de esta guía se contrastó con el proyecto oficial de ISA 505 sobre confirmaciones externas, la base de conclusiones de ISA 505 y el proyecto ISA 500 Series. El contenido de Alxaz tiene finalidad educativa y no reemplaza el texto oficial.
La revisión en desarrollo sobre confirmaciones externas aún no es efectiva. En Ecuador se debe verificar la adopción local, regulación del organismo competente, marco contable, código de ética y circunstancias del encargo.