Gestión de Riesgos II - Materialidad y Riesgos - PDF

Página 0 de 1 Unidad 1 Materialidad y riesgos Gestión de riesgos II  Página 1 de 26 Introducción..........................................................................

Página 0 de 1 Unidad 1 Materialidad y riesgos Gestión de riesgos II  Página 1 de 26 Introducción........................................................................................................................................ 2 1. Materialidad................................................................................................................................ 3 1.1. Antecedentes sobre el concepto materialidad................................................................... 4 1.2. Criterios para evaluar la materialidad................................................................................. 5 1.3. Desde una perspectiva financiera: ¿existen niveles de materialidad?............................... 7 1.3.1. Materialidad global..................................................................................................... 8 1.3.2. Materialidad de rendimiento...................................................................................... 9 1.3.3. Nivel mínimo de materialidad................................................................................... 10 1.4. Determinar los criterios de materialidad para un segmento (error aceptable)............... 11 1.4.1. Determinación de los criterios de materialidad para un segmento desde la perspectiva de la gestión de riesgos......................................................................................... 13 1.4.1.1. Definición de materialidad para un segmento.................................................. 13 1.4.1.2. Pasos para determinar los criterios de materialidad........................................ 13 2. Riesgo........................................................................................................................................ 16 2.1. Riesgo en auditoría............................................................................................................ 16 2.2. Componentes del riesgo de auditoría.................................................................................. 17 2.2.1 Riesgo inherente.............................................................................................................. 17 2.2.2 Riesgo de control.............................................................................................................. 18 2.3. Conceptos claves de riesgos en auditoría.............................................................................. 18 2.3.1. Riesgo de detección........................................................................................................ 18 2.3.2. Riesgo residual................................................................................................................ 19 2.3.3. Riesgo aceptable............................................................................................................. 20 2.4. Riesgo de auditoría y negocios del ente................................................................................. 20 2.6. Evaluación del riesgo en auditoría.................................................................................... 22 Conclusión......................................................................................................................................... 25 Referencias bibliográficas................................................................................................................. 26  Página 2 de 26 Introducción La unidad 1 del curso Gestión de riesgos II, titulado Materialidad y riesgo, tiene como fin que recordemos conocimientos básicos establecidos en Gestión del riesgo I, específicamente conceptos de riesgo y el análisis sobre la importancia relativa de que esos eventos se materialicen. Recordaremos y aplicaremos conceptos de riesgos en las organizaciones, para que el estudiante comprenda los niveles de materialidad y cuáles son los criterios para su determinación, con el objetivo de tener la capacidad de identificar los riesgos de la empresa en estudio. Por ello, en esta asignatura nos enfocaremos en el análisis de riesgo desde una perspectiva del auditor en una auditoría integrada. Una auditoría integrada busca evaluar de forma preventiva a la entidad, siendo una herramienta que permite validar en una organización los sistemas con los que genera su información. Para ello, se analizan aspectos administrativos, financieros, de cumplimiento y de gestión; en definitiva, se busca evaluar cómo una organización administra sus riesgos y presenta su información financiera. En este sentido, el trabajo del auditor independiente busca obtener evidencias que le permitan establecer que el ambiente de control sobre el cual se basa para elaborar su información financiera es satisfactorio o razonable. En esta unidad revisaremos el concepto de materialidad para una revisión integral, considerado para dos tipos de auditoría, es decir, se realizará revisión de la gestión de riesgos enfocada en la presentación de información financiera. La materialidad es la importancia que tiene un hecho sobre un asunto específico; por lo tanto, en general se define un umbral de tolerancia, el cual es definido con el objetivo de tener parámetros de alertas. Poder establecer una materialidad requiere del conocimiento de la entidad y su entorno, porque necesita consideraciones cualitativas y cuantitativas que sean representativas de esa entidad. Los riesgos, a su vez, son eventos que pueden afectar a las organizaciones, es por ello, que la gestión de riesgos implica tener la capacidad de dar respuesta a los mismos, ya sea para prevenir pérdidas o poder aprovechar oportunidades de negocio. Ingrese aquí el nombre de la asignatura  Página 3 de 26 1. Materialidad El concepto de materialidad ya lo han visto en la carrera, porque es un concepto básico utilizado por el auditor en su trabajo. Sin embargo, es necesario que veamos distintas acepciones de la palabra materialidad, para que comprendamos cómo otras personas que no sean auditores pueden comprenderlo y por qué. Esto es necesario, ya que la gestión de riesgos inicia en la cultura empresarial y se deben poder transmitir los conceptos a las personas que trabajan en la entidad. En general, cuando escuchamos el término materialidad pensamos en materia. De hecho, la RAE la define como: “Cualidad de material”, “Superficie exterior o apariencia de las cosas.” o “Sonido de las palabras. No atiende sino a la materialidad de lo que oye”. Recordemos que la gestión de riesgos es un proceso esencial en cualquier organización, porque permite identificar, evaluar y mitigar los riesgos que pueden afectar sus objetivos y actividades. Un componente crítico de la gestión de riesgos es la consideración de la materialidad, que se refiere a la importancia relativa de un riesgo o evento en relación con los objetivos y recursos de la organización. En este contexto, la materialidad juega un papel fundamental en la toma de decisiones informadas sobre la asignación de recursos para la gestión de riesgos. En esta unidad, exploraremos en detalle el concepto de materialidad desde la perspectiva de la gestión de riesgos, además de la visión que le dará el hacer una evaluación de auditoría integrada. El término de “materialidad” es sinónimo a “importancia relativa”. Desde la perspectiva de una auditoría integrada (tipo de auditoría que tiene por objetivo determinar la integridad, razonabilidad, adecuada valuación y presentación de los saldos financieros, para realizar sugerencias de mejora continua), la materialidad se entiende como “la cifra definida por el auditor que se establece como el umbral de posibles incorrecciones o errores materiales en los estados financieros en su conjunto y en determinados tipos de transacciones, saldos contables o información a revelar” (IAASB, 2019).  Página 4 de 26 Con base en lo anterior, se puede mencionar que la materialidad representa el error máximo que se puede tolerar en la razonabilidad de estados financieros, determinado con base al criterio profesional. La materialidad también es conocida como “importancia relativa” porque, como ya se mencionó, representa la importancia que un hecho tiene frente a un asunto concreto. Es necesario recordar, además, lo indicado por la Norma Internacional de Auditoría 320 (IAASB, 2019): Los errores, incluyendo omisiones, se consideran importantes si, individualmente o en forma acumulada, podrían de manera razonable influir sobre las decisiones económicas que los usuarios toman, basadas en los estados financieros. 1.1. Antecedentes sobre el concepto materialidad El concepto de materialidad en auditoría ha evolucionado a lo largo del tiempo y ha sido discutido y estudiado desde la perspectiva académica y profesional. Según lo expresa Martínez, 2011, la primera consideración del concepto de materialidad se dio en 1917, realizada por el American Institute of Accountants (AIA) dentro de las actualizaciones principales (Uniform Accounts) en la línea de elaborar procedimientos uniformes de auditoría. Lo anterior tuvo una difusión e influencia en actualizaciones posteriores. De hecho, uno de los primeros documentos técnicos sobre contabilidad y auditoría fue el Boletín de la Reserva Federal de 1917 (originalmente publicado como Uniform Accounting), elaborado en gran medida por un comité del AIA (actualmente llamado The American Institute of Certified Public Accountants - AICPA) sobre legislación federal; sin embargo, aunque pretendía promover la uniformidad, dejó la mayoría de las decisiones contables a juicio profesional. El Boletín fue revisado y reeditado en mayo de 1929. Por ende, podemos decir que el concepto de materialidad en auditoría tiene sus raíces en la necesidad que tenemos los auditores de evaluar la importancia relativa de la información financiera en un contexto de toma de decisiones. Por ello, es importante establecer qué información puede influir en las decisiones de los usuarios de los estados financieros.  Página 5 de 26 Sin perjuicio de lo anterior, la idea de materialidad se ha desarrollado en paralelo con la evolución de las normas de auditoría y la práctica profesional. Los primeros indicios de la consideración de la materialidad se encuentran en los informes de auditoría a fines del siglo XIX y principios del siglo XX. Sin embargo, no fue hasta mediados del siglo XX que se comenzó a abordar de manera más formal y sistemática. Uno de los hitos más importantes en la evolución del concepto de materialidad fue la emisión de la Declaración de Normas de Auditoría No. 1 (SAS 1) por parte del American Institute of Certified Public Accountants (AICPA) en 1972. Esta declaración estableció la importancia de la materialidad en el contexto de la planificación y ejecución de una auditoría. Diversos organismos, como el International Auditing and Assurance Standards Board (IAASB) han emitido normas y guías que proporcionan orientación sobre la aplicación del concepto de materialidad en la auditoría, como, por ejemplo: Norma Internacional de Auditoría 320. 1.2. Criterios para evaluar la materialidad La asignación de una materialidad adecuada se realiza considerando aspectos cualitativos y cuantitativos. La determinación de la probabilidad de ocurrencia es una ponderación de las veces que se podría presentar un riesgo específico, y el impacto es el efecto económico que tendrá ese evento en caso de su materialización. En ese sentido, para poder evaluar la materialidad de un riesgo, es necesario considerar varios criterios claves. Estos criterios pueden variar según la naturaleza y el contexto de la organización, pero algunos comunes incluyen:  Página 6 de 26 Algunos criterios para evaluar materialidad La materialidad de un riesgo se evalúa en función de su impacto financiero Impacto financiero potencial en la organización. Esto puede incluir pérdidas económicas, daños a la propiedad, costos de reparación o indemnización, entre otros. Los riesgos que pueden afectar la reputación y la imagen de la organización se consideran materialmente importantes. Esto puede Reputación y imagen incluir riesgos relacionados con la calidad del producto, la de la organización responsabilidad social, el incumplimiento normativo o cualquier otra situación que pueda dañar la percepción pública de la organización. Los riesgos que implican incumplimiento de leyes, regulaciones o normas Cumplimiento aplicables a la organización suelen tener una alta materialidad. Esto se normativo y legal debe a las posibles sanciones legales, multas o daños a la reputación asociados con el incumplimiento. Los riesgos que afectan directamente los objetivos estratégicos de la Impacto en los organización tienen una alta materialidad. Esto puede incluir riesgos que objetivos estratégicos podrían impedir el logro de metas clave o la implementación exitosa de iniciativas estratégicas. Fuente: Elaboración propia. En gestión de riesgos, la materialidad se aplica en todas las etapas de este proceso. En primer lugar, en la etapa de identificación de riesgos, se deben evaluar los riesgos potenciales, en términos de su materialidad, para priorizarlos adecuadamente. Durante la evaluación de riesgos, se analiza el impacto y la probabilidad de ocurrencia de cada riesgo para determinar su materialidad relativa. A continuación, en la etapa de tratamiento de riesgos, los recursos se asignan de manera proporcional a la materialidad de los riesgos, priorizando aquellos que se consideran más significativos. Es importante tener en cuenta que la materialidad es un concepto relativo y puede variar según la naturaleza y el contexto de la organización. Por lo tanto, es fundamental que la evaluación de la materialidad sea realizada por expertos en gestión de riesgos, utilizando enfoques basados en datos y considerando el conocimiento y la experiencia de la organización. Lo anterior refiere a que, si bien hay componentes de preferencias o subjetividades dadas por el evaluador de riesgos, este debe basarse prioritariamente en los datos ciertos.  Página 7 de 26 Tanto en una auditoría de gestión de riesgos como en una auditoría integrada, la materialidad representa un papel crítico, permitiendo una asignación eficiente de recursos para abordar los riesgos más significativos. Al evaluar la materialidad, es fundamental considerar el impacto financiero, la reputación, el cumplimiento normativo y legal, así como el impacto en los objetivos estratégicos. Al aplicar el concepto de materialidad en todas las etapas del proceso de gestión de riesgos, las organizaciones pueden tomar decisiones informadas y enfocar sus esfuerzos en los riesgos que tienen un mayor impacto potencial. Esto también permite anticiparnos a los riesgos. ¿Qué factores que pueden afectar a la identificación de una referencia adecuada? ¿Qué factores Elementos de los estados financieros que pueden (por ejemplo, activos, pasivos, afectar a la patrimonio neto, ingresos, gastos). identificación de una referencia Partidas en las que tiende a centrarse adecuada? la atención de los usuarios de los estados financieros. Naturaleza de la entidad. Estructura de propiedad de la entidad y la forma en la que se financia. Relativa volatilidad de la referencia. Fuente: Elaboración propia. 1.3. Desde una perspectiva financiera: ¿existen niveles de materialidad? Efectivamente, existen distintos niveles de materialidad, lo que nos permite tener umbrales de aceptación. Desde la perspectiva financiera, los niveles de materialidad están vinculados con los aspectos económicos y es la mejor manera de cuantificar los impactos.  Página 8 de 26 La NIA N° 320, titulada Importancia relativa o materialidad en la planificación y ejecución de la auditoría, está escrita en función de la revisión/auditoría de estados financieros realizada por un auditor. Pudiese ser una guía para auditorías de otra información financiera histórica, que debe analizar las circunstancias específicas para su aplicación. Indiscutiblemente será necesaria la experiencia del auditor para la determinación de la importancia relativa, porque tiene un factor importante asignado, y es precisamente el ejercicio o uso de su juicio profesional, el que se ve afectada por su percepción de las necesidades de información financiera de los usuarios de los estados financieros. Usualmente, se utilizan distintos niveles de materialidad en el trabajo de auditoría. El auditor emite una opinión de razonabilidad sobre estados financieros y, para ello, realiza sus revisiones considerando niveles de tolerancia mínima y máxima; así mismo, es calculado un nivel para transacciones específicas. 1.3.1. Materialidad global La materialidad global también es conocida como “materialidad general”. Según la NÍA N° 320, la determinación de la materialidad implica el ejercicio del juicio profesional; usualmente, se aplica un porcentaje a un punto de referencia, elegido punto de partida para determinar la importancia relativa de los estados financieros en su conjunto. En definitiva, la materialidad global es la magnitud de una omisión o declaración equivocada de la información contable que puede cambiar o influir en las decisiones económicas de los usuarios de los estados financieros. El benchmark es el elemento o componente de los estados financieros a los que se aplica un umbral para el cálculo de la importancia relativa. El resultado del ejercicio antes de impuestos se utiliza comúnmente para las entidades con fines de lucro. Sin embargo, este enfoque puede no ser siempre el más apropiado, dado que puede depender de la naturaleza de la entidad y las circunstancias particulares y usuarios de sus estados financieros. El objetivo es realizar una determinación de materialidad utilizando un punto de referencia más apropiado. Entre los puntos de referencia más usuales son: utilidad antes de impuesto, total de activos, activos netos, total ingreso, entre otros. La determinación de un porcentaje a ser aplicado a un punto de referencia elegido implica el ejercicio del juicio profesional. El porcentaje por aplicar, generalmente, está  Página 9 de 26 representado metodológicamente por cada entidad, sin embargo, el porcentaje y punto de referencia utilizado es finalmente determinado por el juicio profesional. El auditor puede considerar que 5% sobre su benchmark es apropiado para la empresa XYZ, dedicada a la industria EJEMPLO manufacturera. Mientras que para la ONG Vidas Alegres sería un 2% sobre benchmark por ser una entidad sin fines de lucro. Ambos porcentajes pueden ser considerados apropiados dependiendo las circunstancias. Se debe considerar al determinar el benchmark apropiado, factores cualitativos relevantes, tales como: Ganancias u otras tendencias. Consideración del usuario o analista. Estadísticas del mercado / industria. Entidad de Interés Público (PIE). 1.3.2. Materialidad de rendimiento La materialidad de rendimiento es la determinada para una clase particular de transacciones, saldo de cuenta o divulgación, que se establece para reducir a un nivel apropiadamente bajo la probabilidad de inexactitudes no corregidas y no detectadas en esa clase de transacciones, así como las revelaciones que excede al nivel de materialidad para esa clase particular de transacciones, saldo de cuenta o divulgación. Tal como se explica en la NIA N° 320, la determinación de la materialidad del rendimiento no es un simple cálculo matemático que se realiza de forma mecánica, porque implica el ejercicio del juicio profesional. Poder aplicar de mejor manera el juicio profesional, va a estar influenciada o afectada por la comprensión del auditor de la entidad, actualizada durante el desempeño de los procedimientos de evaluación de riesgos, por la naturaleza y extensión de errores identificados en las auditorías anteriores. y, por lo tanto, por las expectativas del auditor en relación con los posibles errores o equivocaciones en el período actual. Entre los factores que pueden indicar la existencia de una o más clases particulares de transacciones, saldos de cuentas o revelaciones en donde se pueden esperar equivocaciones menores están:  Página 10 de 26 La información financiera y no financiera incluida en los estados financieros (incluidas sus revelaciones), son declaraciones destinadas a comunicar los recursos económicos u obligaciones que tiene una entidad en un momento determinado o los cambios en ella durante un período de tiempo de acuerdo con un marco de información financiera. En auditoría existe además la auditoría de ejecución, que se establece como un corte de la materialidad global y tiene por objetivo marcar el inicio de los procedimientos de auditoría. Esto es importante porque marca el umbral de partida para los procedimientos a aplicar conforme al apetito de riesgo de cada auditor. 1.3.3. Nivel mínimo de materialidad Según la NIA 450 "El auditor acumulará las incorrecciones identificadas durante la realización de la auditoría, excepto las que sean claramente insignificantes". Estas serán de un orden de magnitud completamente distinto o de naturaleza totalmente distinta de las que se determinarían como materiales, y constituirán declaraciones erróneas que son claramente insignificantes, ya sean tomadas individualmente o en conjunto. El auditor puede determinar un importe por debajo del cual las incorrecciones son claramente insignificantes. Y, en este caso, no es necesario acumularlas, porque el auditor espera que su acumulación claramente no tenga un efecto material sobre los estados financieros. “Claramente insignificante” no es sinónimo de “no material” Es posible que sea necesario revisar la materialidad de los estados financieros en su conjunto como resultado de un cambio en las circunstancias ocurridas durante la auditoría. Esto significa que se debe revaluar la materialidad con saldos actuales, y compararlo con la materialidad determinada anteriormente, para establecer si es necesario realizar un cambio que represente o se adapte de mejor manera a la realidad de la organización.  Página 11 de 26 El auditor puede determinar un importe por debajo del cual las incorrecciones son claramente insignificantes. Y, en este caso, no es necesario acumularlas, porque el auditor espera que su acumulación claramente no tenga EJEMPLO un efecto material sobre los estados financieros. ¿Debe revisar la materialidad? Se debe revaluar en la medida que se confirme que los resultados reales han cambiado, pues con la mera suposición no se tendría información confiable para analizar un cambio. Es importante que se dejen documentados (por escrito, en papeles de trabajo del auditor) los criterios, antecedentes considerados y el análisis realizado para la determinación de la materialidad, de tal forma que se sustente el criterio profesional aplicado. Para ello, con base en lo indicado por la NIA N° 320, el auditor incluirá las siguientes cifras y los factores tenidos en cuenta: a. Importancia relativa para los estados financieros en su conjunto. b. Cuando resulte aplicable, el nivel o niveles de importancia relativa para determinados tipos de transacciones, saldos contables o información a revelar. c. Importancia relativa para la ejecución del trabajo. d. Cualquier revisión de las cifras establecidas en (a)–(c) a medida que la auditoría avanza. 1.4. Determinar los criterios de materialidad para un segmento (error aceptable) Arens et al. (2007), en su libro Auditoría. Un enfoque integral, mencionan que la frase “seguridad razonable” implica que existe algún riesgo de que los estados financieros no estén presentados con objetividad, aun cuando se haya emitido un dictamen sin salvedades. Asimismo, detallan que existen cinco pasos íntimamente relacionados en la aplicación de la materialidad, como sigue:  Página 12 de 26 Pasos íntimamente relacionados en la aplicación de la materialidad Establecer criterios preliminares sobre la 1 materialidad. Planeación 2 Asignar juicios preliminares sobre la del alcance materialidad a los segmentos. 3 Estimar el error total en un segmento. Evaluación 4 Estimar el error combinado. de resultados 5 Comparar el estimado combinado con el criterio preliminar o revisado sobre la materialidad. Fuente: Arens et al. (2007), en su libro Auditoría. Un enfoque integral. La explicación de los pasos anteriores, según Arens et al. (2007), en su libro Auditoría. Un enfoque integral, se puede resumir de la siguiente manera: Uso del criterio preliminar referente a la materialidad para segmentos (error tolerable) Asignar el criterio preliminar sobre la materialidad a segmentos es necesario porque la evidencia se acumula por segmentos y no para todos los estados financieros. Si los auditores tienen un criterio preliminar sobre la materialidad para cada segmento, esto les ayudará a decidir qué evidencias adecuadas para la auditoría acumular. Estimación del error y comparación con el criterio preliminar Cuando el auditor realiza procedimientos de auditoría para cada segmento, se conserva una hoja de trabajo de todos los errores encontrados. El total se conoce como “proyección” porque solo se examinó una muestra de la población. Los montos de errores proyectados para cada cuenta se combinan en la hoja de trabajo (paso 4) y posteriormente los errores combinados se comparan con el concepto de materialidad (paso 5).  Página 13 de 26 1.4.1. Determinación de los criterios de materialidad para un segmento desde la perspectiva de la gestión de riesgos La determinación de los criterios de materialidad para un segmento es esencial en el proceso de gestión de riesgos, ya que permite establecer un umbral claro para identificar aquellos riesgos que tienen un impacto significativo en el segmento en particular. En esta unidad, exploraremos cómo enseñar a los estudiantes a determinar los criterios de materialidad para un segmento desde la perspectiva de la gestión de riesgos. 1.4.1.1. Definición de materialidad para un segmento La materialidad para un segmento se refiere a la importancia relativa de un riesgo, en función de su impacto potencial en un segmento específico de la organización. Un segmento puede ser una división, un departamento, una línea de negocio o cualquier otra unidad organizativa identificable. La materialidad para un segmento se determina estableciendo criterios claros que ayuden a evaluar la importancia relativa de los riesgos para ese segmento en particular. 1.4.1.2. Pasos para determinar los criterios de materialidad I. Identificar los objetivos y metas del segmento: antes de determinar los criterios de materialidad, es fundamental comprender los objetivos y metas específicas del segmento. Esto permitirá establecer una base sólida para evaluar el impacto de los riesgos en relación con esos objetivos. II. Evaluar los factores clave de éxito: identificar los factores clave de éxito del segmento es crucial para determinar los criterios de materialidad. Estos factores pueden incluir métricas financieras, indicadores de rendimiento operativo, requisitos regulatorios, estándares de calidad, entre otros. Al considerar estos factores, se establecerán los umbrales o rangos aceptables para evaluar el impacto de los riesgos. III. Consultar a expertos y partes interesadas: es importante involucrar a expertos y partes interesadas relevantes en el proceso de determinación de los criterios de materialidad. Esto puede incluir a líderes del segmento, especialistas en gestión de riesgos, personal técnico y otros stakeholders clave. Sus conocimientos y perspectivas ayudarán a establecer criterios realistas y basados en la realidad del segmento.  Página 14 de 26 IV. Considerar el contexto y la tolerancia al riesgo: la determinación de los criterios de materialidad también debe tener en cuenta el contexto en el que opera el segmento y la tolerancia al riesgo de la organización. Algunos segmentos pueden ser más sensibles al riesgo que otros, por lo que es importante adaptar los criterios a esas consideraciones. V. Documentar y revisar los criterios de materialidad: una vez establecidos los criterios de materialidad, es fundamental documentarlos adecuadamente. Esto asegurará la consistencia y claridad en la evaluación de riesgos. Además, los criterios deben ser revisados y actualizados periódicamente para garantizar que sigan siendo relevantes y adecuados a medida que cambian las circunstancias del segmento y la organización. 1.4.2. Importancia relativa y riesgo de auditoría Se tienen en cuenta a lo largo de la auditoría financiera, en especial al: a. Identificar y valorar los riesgos de errores o equivocaciones o acciones fraudulentas consideradas materiales. b. Determinar la naturaleza, el momento oportuno para la realización y extensión de los procedimientos de auditoría posteriores. c. Evaluar el efecto de las errores o equivocaciones o acciones fraudulentas no corregidas, en su caso, sobre los estados financieros y en la formación de la opinión a expresar en el informe de auditoría. PREGUNTA ¿Cómo se vincula el concepto de materialidad financiera en una auditoría de gestión de riesgo?  Página 15 de 26 La materialidad financiera y la auditoría de gestión de riesgos son conceptos distintos, pero pueden estar relacionados en ciertos aspectos. La materialidad financiera se refiere a la importancia relativa de la información en los estados financieros. En el contexto de la auditoría de estados financieros, los auditores establecen un umbral de materialidad para determinar qué errores, irregularidades o información incorrecta pueden tener un impacto significativo en las decisiones de los usuarios de los estados financieros. Los auditores buscan identificar y evaluar los riesgos de incorrección material en los estados financieros y, posteriormente, determinan los procedimientos de auditoría adecuados para abordar esos riesgos. Por otro lado, la auditoría de gestión de riesgos se enfoca en evaluar la efectividad de los procesos de gestión de riesgos de una organización. El objetivo principal de esta auditoría es identificar y evaluar los riesgos operativos, estratégicos y de cumplimiento que enfrenta una organización, y evaluar la adecuación de los controles y acciones tomadas para mitigar dichos riesgos. Aunque son diferentes en su enfoque, hay una conexión entre la materialidad financiera y la auditoría de gestión de riesgos. En una auditoría de gestión de riesgos, la materialidad financiera puede considerarse al evaluar los riesgos financieros asociados con las operaciones de una organización. Esto implica identificar riesgos financieros significativos que podrían tener un impacto material en la capacidad de la organización para lograr sus objetivos financieros. En resumen, mientras que la materialidad financiera se aplica específicamente a la auditoría de estados financieros, puede tener implicaciones en una auditoría de gestión de riesgos cuando se consideran los riesgos financieros significativos. Sin embargo, es importante tener en cuenta que la auditoría de gestión de riesgos abarca un espectro más amplio de riesgos y controles que van más allá de los aspectos financieros.  Página 16 de 26 2. Riesgo Recordemos la definición de riesgo: situación en que puede darse esa posibilidad. Riesgo es un término proveniente del italiano, idioma que, a su vez, lo adoptó de una palabra del árabe clásico que podría traducirse como “lo que depara la providencia”. El término hace referencia a la proximidad o contingencia de un posible daño. La noción de riesgo suele utilizarse como sinónimo de peligro. Definición.com (2010) Comúnmente se hace referencia a la proximidad o contingencia de un posible daño. No obstante, recordemos que la ISO 31000 hace hincapié que los riesgos pueden ser positivos y negativos, por ello, debemos identificar el universo de riesgos, establecer los riesgos con efectos positivos, las llamadas “oportunidades”. Por otro lado, los riesgos con efectos negativos deben ser analizados para su gestión. 2.1. Riesgo en auditoría Existe un riesgo latente en auditoría y es la posibilidad de que el auditor exprese una opinión equivocada en su informe, eso puede pasar por diferentes motivos, como, por ejemplo: los estados financieros o la información suministrada a él estén afectados por una distorsión material o normativa, o porque no haya podido planificar los procedimientos de forma adecuada a la realidad de la entidad. El riesgo global en auditoría es el resultado de la conjunción de: Aspectos aplicables exclusivamente al negocio o actividad del ente, independiente de los sistemas de control desarrollados. Aspectos atribuibles a los sistemas de control. Aspectos originados en la naturaleza, alcance y oportunidad de los procedimientos de auditoría de un trabajo en particular.  Página 17 de 26 En la NIA 200, titulada Objetivos y Principios que Gobiernan la Auditoría de Estados Financieros, se establece que, cuando un auditor independiente emite una opinión acerca de la razonabilidad de los estados financieros de una entidad, este siempre se enfrentará a la posibilidad de que su opinión sea inapropiada. A esta probabilidad de error se le conoce como “riesgo de auditoría”. 2.2. Componentes del riesgo de auditoría Los riesgos de incorrección material en las afirmaciones tienen dos componentes: Riesgo inherente Riesgo de control Estos dos riesgos existen en las organizaciones de forma independiente a la auditoría que se pueda realizar en la entidad. El riesgo del auditor es conocido como riesgo de detección, que se refiere al riesgo de que se emita una opinión errónea sobre la revisión que se está realizando. 2.2.1 Riesgo inherente Susceptibilidad de que una declaración realizada sobre un tipo de transacción, saldo contable u otra revelación de información pueda ser errónea, y que dicha dicho error sea material, ya sea individualmente o de forma agregada con otros errores o hechos fraudulentos, antes de tener en cuenta los posibles controles correspondientes, es decir, es aquel riesgo propio del trabajo, que siempre está presente y se minimiza con acciones de gestión. Es propio del trabajo o proceso, no puede ser eliminado del sistema, es decir, en todo trabajo o proceso se encontrarán riesgos para las personas, sea cual sea el rubro en el que se encuentre. Auditool.org (2014)  Página 18 de 26 2.2.2 Riesgo de control Según la NIA N° 220, el riesgo de que un error que pudiera existir en una transacción, saldo contable u otra revelación de información, y que pudiera ser material, ya sea individualmente o de forma agregada con otras incorrecciones, no sea prevenida, o detectada y corregida oportunamente, por el sistema de control interno de la entidad. Existe un evidente riesgo de que el control interno de una entidad esté incapacitado para detectar, evitar y corregir errores o fraudes significativos en forma oportuna. Para un control interno fuerte y estructurado, la rigurosidad del auditor debe ser mayor. Los procedimientos deben ser mejor diseñados. Entre los elementos y/o factores que determinan el riesgo de control, se encuentran: Deficiencias en los sistemas de contabilidad. Deficiencias en los sistemas de información. Deficiencias en los sistemas de control. o Ambiente de control. o Supervisión. Mecanismos de evaluación de riesgos. 2.3. Conceptos claves de riesgos en auditoría Recordemos algunos conceptos de riesgos, que son útiles cuando evaluamos la gestión de riesgo de una entidad: 2.3.1. Riesgo de detección Riesgo de que los procedimientos aplicados por el auditor para reducir el riesgo de auditoría a un nivel aceptablemente bajo no detecten la existencia de errores o hechos fraudulentos que podrían ser materiales, considerados ya sea de manera individualmente o de forma agregada con otros eventos.  Página 19 de 26 Para un determinado nivel de riesgo de auditoría, el nivel aceptable de riesgo de detección es inversamente proporcional a los riesgos valorados de errores materiales en las afirmaciones, dicho en otras palabras: A mayor riesgo de errores material, menor será el riesgo de detección aceptable y, en consecuencia, la evidencia de auditoría requerida por el auditor deberá ser más convincente. Por lo tanto, el riesgo de detección solo puede reducirse, no eliminarse, debido a las limitaciones inherentes a la auditoría. Algunos de los aspectos que tiene que considerar el auditor para que su función sea eficaz en la ejecución de sus procedimientos de auditoría, son: Planear de forma adecuada. Asignar al personal idóneo al equipo del encargo. Aplicación del escepticismo profesional. Planear y ejecutar supervisión y revisión del trabajo de auditoría realizado. 2.3.2. Riesgo residual Este es el riesgo considerado como remanente de riesgo, posterior a que se han realizado acciones de administración de riesgo, para modificar los niveles de probabilidad o impacto del riesgo. Lo que se debe buscar es que el riesgo remanente o residual sea inferior o igual al riesgo aceptable, por lo que para ello, es importante establecer el punto de equilibrio entre los recursos y mecanismos que es preciso utilizar para dedicar a minimizar o mitigar estos riesgos, es decir, llevar el riesgo inherente a un riesgo controlable. Por lo explicado anteriormente, el riesgo residual debe ser medido. Para poder establecer su correcta gestión, el riesgo residual debería ser igual o menor al riesgo aceptable. Riesgo residual = riesgo inherente (–) efectividad de controles  Página 20 de 26 2.3.3. Riesgo aceptable Básicamente, el riesgo aceptable es el riesgo que una organización está dispuesta a asumir para realizar su misión (o visión). El nivel aceptable del riesgo debe estar por debajo de la capacidad de riesgo, con el objetivo de no poner en riesgo la continuidad de negocio. El riesgo aceptable debe ser determinado en función del apetito de riesgo de la entidad. 2.4. Riesgo de auditoría y negocios del ente El riesgo de auditoría está fuertemente vinculado con el riesgo general de negocios. La inestabilidad y la incertidumbre son riesgos constantes, a los que todas las entidades están expuestas por su naturaleza. Debido a la globalización y los cambios en el mercado, los riesgos deben ser evaluados frecuentemente, para asegurar que los nuevos riesgos están en control de la entidad. 2.5. Procedimientos de valoración del riesgo y actividades relacionadas Para poder identificar y valorar los riesgos de errores en la información financiera y no financiera de una entidad, es necesario poder establecer procedimientos en función de la aseveración y riesgo que se desea abordar. No obstante, los procedimientos de valoración del riesgo, por sí solos, no proporcionan evidencia de auditoría suficiente y adecuada en la que basar la opinión de auditoría. Los procedimientos de valoración del riesgo incluirán los siguientes:  Página 21 de 26 Procedimientos para identificar y valorar los riesgos Indagaciones.* Procedimientos analíticos. Observación e inspección. Fuente: Elaboración propia. * Las indagaciones mencionadas son entrevistas que se deben realizar con distintas personas en la entidad, que, a juicio del auditor, puedan disponer de información que pueda facilitar la identificación de los riesgos, debida a fraude o error. El proceso de valoración del riesgo por la entidad incluye obtener un conocimiento de: La identificación de los riesgos de negocio relevantes para los objetivos de la información financiera. La estimación de la significatividad de los riesgos. La valoración de su probabilidad de ocurrencia. La toma de decisiones con respecto a las actuaciones para responder a dichos riesgos. Factores primordiales para evaluar los posibles riesgos del negocio: ¿Cómo la entidad obtiene sus ingresos? ¿Cuáles son los aspectos estratégicos de su giro? ¿Cuáles son los principales componentes del costo de sus existencias? ¿Cuáles son los gastos principales para su funcionamiento? ¿Cómo es su interacción con la industria? Vulnerabilidades de la entidad o Legales (marco regulatorio aplicable) o Mercado  Página 22 de 26 2.6. Evaluación del riesgo en auditoría La evaluación de riesgos, para asignar una ponderación de nivel de riesgo es un proceso con componente subjetivo, porque para poder aplicarlo necesita del criterio, capacidad y experiencia del auditor, es decir, su juicio profesional, por lo cual, es necesario que se establezcan parámetros objetivos a forma de no sesgar la evaluación. Dentro de los elementos a considerar en el proceso de evaluación del nivel de riesgo. La importancia de los saldos y transacciones. Identificación de factores de riesgo y la importancia de esos hechos frente a la entidad. La probabilidad de ocurrencia de errores o fraudes, la cual se obtiene del conocimiento y experiencias anteriores. La combinación de los posibles estados de estos tres elementos brinda un marco para evaluar riesgo de auditoría. A nivel de ejemplo, podríamos evaluar de la siguiente manera: Ejemplo de combinación de factores para asignación de niveles de riesgo Niveles de Significatividad Probabilidad Factores de riesgo Usuarios riesgo Bajo Tolerable Improbable Existen algunos poco Internos importantes Medio Importante Posible Existen algunos Internos Alto Significativo Probable Existen algunos y son Internos y importantes externos Fuente: Elaboración propia. 2.6.1. Los efectos del riesgo de auditoría sobre el trabajo del auditor independiente Cuando el auditor está llevando a cabo un proceso de auditoría, se enfrenta a diferentes fases, en donde el nivel de riesgo que enfrenta estará presente en cada una de ellas, por lo que se ve vinculado directamente con los procedimientos y cómo enfrenta la auditoría misma. Por lo tanto, el nivel de riesgo incide directamente en los procedimientos que se planean realizar, podemos decir que, para dar respuesta al riesgo de detección, un auditor debe diseñar y ejecutar los siguientes procedimientos:  Página 23 de 26 a) Respuestas globales a los riesgos evaluados. b) Pruebas de control. c) Pruebas sustantivas. a) Respuestas globales a los riesgos evaluados En virtud de que un auditor enfrenta un alto nivel de riesgo de auditoría, debe implementar respuestas globales, las cuales son acciones transversales que le ayudarán a minimizar el riesgo, como, por ejemplo: Designar personal experimentado dentro de su equipo de trabajo. Enfatizar al equipo de trabajo la necesidad de mantener un alto nivel de escepticismo profesional al compilar y evaluar evidencia de auditoría. Utilizar expertos cuando las circunstancias del trabajo de auditoría lo ameriten. b) Pruebas de control El objetivo es poder comprobar la efectividad tanto de diseño como la operación de los sistemas de control implementados, por lo que, el nivel de riesgo de auditoría es básico para la definición de la naturaleza, extensión y oportunidad de los procedimientos a realizar. c) Pruebas sustantivas Estas pruebas están orientadas a que el auditor independiente pueda comprobar que el saldo de una partida de los estados financieros esté razonablemente valuada y presentada. Esto se realizará dependiente del nivel de riesgo asignado y el alcance que se desea tener; por ejemplo, en el caso de las cuentas por cobrar, un auditor, además de confirmar su saldo por medio de terceros, deberá realizar pruebas adicionales, como la verificación de: pago posterior y/u origen de la transacción. PREGUNTA ¿Cuáles es el principal riesgo que enfrenta un auditor al evaluar la gestión de riesgo de una entidad?  Página 24 de 26 El principal riesgo al que se enfrenta un auditor en una auditoría de gestión de riesgos es la falta de independencia e imparcialidad. La integridad y objetividad del auditor son fundamentales para realizar una evaluación precisa y justa de los riesgos en la organización. Si el auditor se ve influenciado por intereses personales o externos, existe el riesgo de que la evaluación de riesgos esté sesgada. Es importante que el auditor se mantenga libre de cualquier conflicto de intereses y evite cualquier presión indebida que pueda comprometer su independencia. El auditor debe actuar de manera ética y profesional, aplicando estándares de auditoría reconocidos y manteniendo la confidencialidad de la información obtenida durante el proceso de auditoría, por eso, en esta unidad abordamos las pruebas que realiza el auditor. Por otro lado, otros riesgos que pueden enfrentar los auditores en una auditoría de gestión de riesgos incluyen la falta de competencia técnica, la falta de acceso a la información relevante, la falta de recursos adecuados y la presión para llegar a conclusiones preestablecidas. Estos riesgos deben abordarse adecuadamente para garantizar la efectividad de la auditoría y la confiabilidad de sus resultados.  Página 25 de 26 Conclusión En esta unidad analizamos uno de los conceptos clave en nuestra formación como auditores: la materialidad que estamos dispuestos a utilizar en una auditoría de estados financieros y en una auditoría integrada, abordando la parte financiera y de control. La materialidad se convierte en una entrada o factor inicial importante para poder evaluar la razonabilidad de las cifras, establecer los puntos de foco de nuestro trabajo, entre otros. Sin embargo, debemos tener claridad de la diferencia entre una auditoría de estados financieros y una auditoría de gestión de riesgos y su relación con una auditoría integrada. La principal diferencia es que la auditoría en gestión de riesgo es más amplia, porque aborda, además de lo financiero, lo operacional, legal, estratégico. En tanto, otro de los conceptos clave revisados en esta unidad es el riesgo, que es lo que puede afectar a una organización. Los tipos de riesgo que debemos conocer son: Riesgos financieros, los cuales se refieren a la posibilidad de que los eventos financieros adversos afecten negativamente a una organización. Esto puede incluir la volatilidad de los precios, los cambios en los tipos de interés, la falta de liquidez, el riesgo crediticio o la exposición a divisas extranjeras. Riesgos operativos, que se relacionan con los procesos internos, los sistemas, las personas y las prácticas de una organización. Incluye riesgos asociados con fallas en la gestión de la cadena de suministro, interrupciones en la producción, errores humanos, incumplimiento normativo, fraude, ciberseguridad y desastres naturales. Riesgos estratégicos, que se refiere a la incertidumbre en relación con la dirección estratégica y las decisiones tomadas por una organización. Esto puede incluir riesgos asociados con la competencia en el mercado, cambios en la demanda del consumidor, avances tecnológicos, cambios regulatorios o cambios en el entorno económico y político. Riesgo reputacional, el cual se relaciona con la percepción y la imagen de una organización en el mercado y entre sus stakeholders. Puede surgir de eventos negativos como escándalos, malas prácticas, fallos éticos o problemas de calidad del producto. Riesgo legal y regulatorio, que se refiere a los riesgos asociados con el incumplimiento de leyes, regulaciones y normativas aplicables a una organización. Esto puede incluir riesgos legales, demandas, sanciones, multas y pérdida de licencias o permisos. Con estos conocimientos podríamos saber cuáles y cómo evaluar los riesgos en la entidad.  Página 26 de 26 Referencias bibliográficas American Institute of Certified Public Accountants (AICPA). (1972). Statement on Auditing Standards No. 1: Codification of Auditing Standards and Procedures. AICPA. Arens, A., Elder, R., Beasley, M. (2007). Auditoría. Un enfoque integral. (11ª. ed.). Pearson Educación. Auditool.org. (2014). ¿Qué es el riesgo, riesgo inherente y riesgo residual? https://www.auditool.org/blog/control-interno/que-es-el-riesgo-riesgo-inherente- y-riesgo-residual Definición.com (2010). Riesgo. Qué es, definición, tipos y escuelas. https://definicion.de/riesgo/ Martínez García, Francisco Javier. MATERIALIDAD Y RIESGO EN Auditoría. (2011). Instituto de Contabilidad y Auditoría de Cuentas - Ministerio De Economía y Hacienda. International Auditing and Assurance Standards Board (IAASB) (2019). International Standard on Auditing 200. Objetivos y Principios que Gobiernan la Auditoría de Estados Financieros. International Auditing and Assurance Standards Board (IAASB) (2019). International Standard on Auditing 320. Materiality in Planning and Performing an Audit. International Auditing and Assurance Standards Board (IAASB) (2019). International Standard on Auditing 450. Evaluation of Misstatements Identified during the Audit Organización Internacional de Normalización. (2010). Gestión de Riesgo (ISO 31000). Real Academia Española (s. f.). Palabra utilizada. En: Diccionario de la Lengua Española. 23.ª ed., [versión 23.6 en línea]. [18 de junio de 2023].  Página 1 de 1 Este material fue desarrollado por el docente Yeimi Reyes para la Universidad Mayor y ha sido diseñado para su lectura en formato digital. Última actualización agosto, 2023.  Página 0 de 1 Unidad 2 Control interno y riesgo de control Gestión de riesgos II  Página 1 de 20 Introducción........................................................................................................................................ 2 1. Control interno............................................................................................................................ 3 1.1. Otras definiciones de control interno................................................................................ 3 1.2. Antecedentes del control interno...................................................................................... 4 1.2.1. Perspectivas del control interno................................................................................... 6 1.3. Objetivos del control interno............................................................................................. 7 1.4. Componentes del control interno..................................................................................... 8 1.5. Evaluar riesgo de control................................................................................................. 12 1.6. Pruebas de control........................................................................................................... 14 1.7. Decisión de detección de riesgo planeado y diseño de pruebas sustantivas.................. 15 1.7.1. Riesgo de detección planeada..................................................................................... 16 Conclusión......................................................................................................................................... 19 Referencias bibliográficas................................................................................................................. 20  Página 2 de 20 Introducción El objetivo de esta unidad es profundizar sobre el control interno de una organización y cómo podemos ponderar aspectos significativos para valorar su ambiente de control. El control interno en las organizaciones es la forma planteada por medio del cual, buscan proteger sus recursos, así como prevenir y detectar fraudes y errores en sus procesos desarrollados en la empresa, en torno al cumplimiento de sus objetivos, a través de la implementación de principios, métodos y procedimientos que coordinados entre sí. Esta unidad es un recordatorio de Control Interno de Gestión de Riesgo I, pero con una mirada más profunda en la cual evaluaremos el ambiente de control de una entidad, ponderando los principios de cada componente aplicable en la organización. El control interno marca diferencia entre cada organización, es la manera en la que se gestiona el riesgo a través de la mitigación, por ello, es importante que se establezcan evaluaciones periódicas que certifiquen que los riesgos en las organizaciones están siendo gestionados de forma adecuada. Es posible evaluar la efectividad de una organización a través de establecer su capacidad de reacción ante los riesgos que enfrenta. Recordemos que los objetivos del control interno son mantener la salvaguarda de los activos, buscar la eficiencia operativa, tener información confiable y oportuna, así como cumplimiento normativo. Desde la perspectiva del auditor independiente, evaluamos la manera en la cual las organizaciones gestionan sus riesgos. De hecho, bajo el modelo de las tres líneas de defensa, representamos la tercera línea (cuando somos auditores internos) y “cuarta línea” (cuando somos auditores externos). Es importante la independencia en la evaluación, en la búsqueda de la generación de valor. Para evaluar la efectividad de los controles internos establecidos por la administración, el auditor independiente realiza pruebas de controles, enfocada a aquellos controles que se consideren adecuadamente diseñados para prevenir, detectar y/o corregir errores en la organización.  Página 3 de 20 1. Control interno En esta unidad revisaremos los conceptos de control interno y su evaluación en las organizaciones. Los riesgos en las entidades son eventos latentes que pueden tener efectos positivos y/o negativos en la organización y bajo ese entendido, debemos identificarlos, evaluarlos y dar respuesta a ellos. Una de las principales formas de gestión de riesgos en las organizaciones es la implementación de controles internos, porque representan menor costo en general. Además, son administrados con la Administración de la entidad y generalmente presentan la oportunidad de ser medidas preventivas. Los controles en las entidades son acciones que se establecen con un propósito claro, por lo que deben ser evaluados tanto en diseño como en su ejecución. Según la Norma Internacional de Auditoría NIA-N° 315 (2019), el control interno se define como: El proceso diseñado, implementado y mantenido por los responsables del gobierno de la entidad, la dirección y otro personal, con la finalidad de proporcionar una seguridad razonable sobre la consecución de los objetivos de la entidad relativos a la fiabilidad de la información financiera, la eficacia y eficiencia de las operaciones, así como sobre el cumplimiento de las disposiciones legales y reglamentarias aplicables. Cuando la norma se refiere al término "controles" indica o señala cualquier aspecto relativo a uno o más componentes del control interno. 1.1. Otras definiciones de control interno Un proceso de gestión Proceso ejecutado por todo integral, continuo y el personal de una entidad, dinámico diseñado para diseñado para proporcionar enfrentar riesgos. una seguridad razonable con el fin de lograr objetivos.  Página 4 de 20 El control interno en realidad es una herramienta de gestión en la entidad porque permite identificar factores de riesgo, en las áreas que se aplique; además, posibilita lograr un objetivo de control. Cada proceso tiene un objetivo claro, por lo que el sistema de control interno trabaja para ayudar en la organización a que sus procesos trabajen de buena manera y, por ende, ayudan a que sus objetivos sean cumplidos. Según el informe del programa básico de formación para auditores y abogados, emitido por el Instituto de Altos Estudios de Control Fiscal y Auditoría de Estado (COFAE), el sistema de control interno Es el conjunto que comprende tanto las bases organizativas como los principios, políticas, normas, métodos y procedimientos adoptados dentro de cada entidad para: salvaguardar sus recursos, verificar la exactitud y veracidad de la información financiera y administrativa, promover la eficiencia en las operaciones, estimular el acatamiento de las decisiones adoptadas y lograr el cumplimiento de las metas y objetivos programados (COFAE, s.f.). Podríamos definir al sistema de control interno como el conjunto de acciones, normas, políticas y métodos establecidos por las empresas con el fin de evitar riesgos en su entorno. Basado en COSO, abarca cinco componentes principales: ambiente de control, evaluación de riesgos, actividades de control, información y comunicación y monitoreo. Toda la entidad debe tener la responsabilidad del sistema de control interno, por lo que su buen funcionamiento debe ser operado y monitoreado por alta administración y sus auditores. En resumen, podríamos decir que se entiende por control interno, al proceso que se ejecuta con el fin de evaluar los procesos empresariales a través de sus operaciones, por lo que se evalúan las operaciones desde en tres categorías: efectividad y eficiencia operacional, confiabilidad de la información financiera y cumplimiento de políticas leyes y normas. La implementación de un sistema de control interno consta de tres fases: planificación, ejecución y evaluación. 1.2. Antecedentes del control interno Recordemos que se dice que el origen del control interno suele ubicarse en el tiempo con el surgimiento de la partida doble, que fue una de las medidas de control, pero no fue hasta fines del siglo XIX que se empezó a formar y establecer sistemas adecuados para la protección de sus intereses.  Página 5 de 20 El control interno ha mutado en el tiempo por la necesidad de tener un control sobre los distintos eventos. De hecho, la evaluación de control interno y su estructura ha sido fortalecido como respuesta a eventos que han desencadenado problemas empresariales e inclusive efectos macroeconómicos. Los casos emblemáticos como Enron, Leman Brothers, el colapso bancario a inicios del 2023 en Estados Unidos (Silvergate Bank, Silicon Valley Bank y Signature Bank), hackeo de bancos e instituciones públicas, son ejemplo de la necesidad que existe actualmente de proteger los bienes en las entidades. Es por ello, que la gestión de riesgo ha tomado un papel protagonista en las entidades, porque permite anticiparse a los riesgos y generar valor en las organizaciones. Algunos autores mencionan que el control interno moderno es una evolución de la actividad de controlar que se aplicó desde prácticamente el inicio de la civilización; pero que se ha venido trabajando en los últimos 30 años. Lo anterior es efectivo, porque los requerimientos de la industria cada vez son más exigentes, los avances tecnológicos son innovadores y por lo general son cambios frecuentes; por lo tanto, si las entidades desean ser competitivas tienen que trabajar por adaptarse al estándar internacional de buenas prácticas rápidamente. Por lo expresado anteriormente, se puede afirmar que el control interno se ha convertido en una preocupación de la mayoría de las entidades; independientemente que se realice con diferentes enfoques y terminologías. A lo largo de la vida de un proyecto y/o entidad existen riesgos, los cuales deben ser gestionados para generar valor a la entidad y evitar que se materialicen y representen problemas significativos en la organización. En ese sentido, son importantes las acciones preventivas que se realizan al interior de la entidad, pues genera un ambiente de control capaz de prevenir, detectar y/o corregir errores. Por lo tanto, si bien en un principio el control interno inició como parte de las funciones de la administración pública, hay indicios de que desde una época lejana se empleaba en las rendiciones de cuenta de los factores de los estados feudales y haciendas privadas. Dichos controles los efectuaba el auditor, persona competente que escuchaba las rendiciones de cuenta de los funcionarios y agentes, quienes por falta de instrucción no podían presentarlo por escrito.  Página 6 de 20 1.2.1. Perspectivas del control interno El control interno puede clasificarse o verse desde dos perspectivas, ya sea desde la perspectiva administrativa o perspectiva contable. Control interno administrativo Es un esfuerzo sistemático para establecer normas de desempeño con objetivos de planificación, para diseñar sistemas de información y para comparar los resultados reales con las normas previamente establecidas. Se relaciona con la eficiencia en las operaciones establecidas por la entidad. No está limitado al plan de la organización y procedimientos que se relaciona con el proceso de decisión que lleva a la autorización de intercambios. Debe estar orientado a una seguridad razonable de que: Las operaciones y transacciones se ejecuten de acuerdo con la autorización general o específica de la administración. Dichas transacciones se registren adecuadamente para permitir la preparación de estados financieros. El acceso a los bienes y/o disposiciones solo es permitido previa autorización de la administración. Los asientos contables se hacen para controlar la obligación de responder por los recursos, y su registro se compara periódicamente con los recursos físicos; por ejemplo, el inventario de mercancía. Control interno financiero (contable) Comprende aquella parte del control interno que influyen directa o indirectamente en la confiabilidad de los registros contables y la veracidad de los Estados Financieros. Las finalidades usuales del control interno financiero son: Custodia de activos o elementos patrimoniales.  Página 7 de 20 Salvaguardar los datos y registros contables, que sean efectivamente representativos de la realidad económica. Obtención de información financiera veraz, confiable y oportuna. 1.3. Objetivos del control interno El sistema de control interno se establece en las organizaciones para facilitar la gestión administrativa de las entidades, a través del logro del cumplimiento de la misión y objetivos de la entidad, así como obligaciones legales. Por lo tanto, se busca probar que cada uno de los procesos, políticas, metas y actividades se cumplan de acuerdo con lo preestablecido. Obtener información financiera Promover la eficiencia oportuna, confiable y suficiente organizacional de la entidad para como herramienta útil para la el logro de sus objetivos y misión. gestión y el control. Proteger los recursos de la Garantizar la eficiencia, economía organización, buscando su de las funciones y actividades adecuada administración ante definidas. posibles riesgos que los afecten. Asegurar la oportunidad y Garantizar la correcta evaluación y confiabilidad de la información y seguimiento de la gestión de sus registros. empresarial. En resumen, podemos decir que el control interno persigue los siguientes objetivos: Obtener información financiera correcta y segura, es decir, acceder a registros contables fidedignos, oportunos y exactos; Salvaguardar los activos, es decir, protegerlos adecuadamente; Buscar la eficiencia de las operaciones, lo cual implica que sus actividades se realicen eficiente y eficazmente de acuerdo con políticas, normas establecidas por la administración; y Cumplir con los requerimientos normativos.  Página 8 de 20 Adicionalmente, con el objetivo de comprender y gestionar de forma ágil, los objetivos de controles internos pueden agruparse en las siguientes categorías: Estratégicos De información financiera De operaciones De cumplimiento legal y reglamentos 1.4. Componentes del control interno Para profundizar sobre los componentes del control interno, es necesario que establezcamos que existen distintos marcos de referencia que pueden establecer como estructurar la evaluación de los componentes del control interno. El más utilizado y/o conocido es COSO, el cual en su versión COSO ERM, establece como componentes de control interno lo siguiente: En 2017, se realizó la actualización de COSO, el cual no elimina el framework anterior sino más bien, tiene un enfoque integrador, en donde toma la versión anterior e incluye perspectivas estratégicas, por lo que establece como componentes: Lo anterior, hace referencia a la evolución de la estructura del Sistema COSO ha sido efectiva a partir del año 1992, en cuyo año se denominó Marco del Control Interno (COSO I), para el año 2004 se da a conocer la mejora en el Sistema de COSO I con el Marco Integral de Riesgos (COSO II ERM), y para el año 2006 se da a conocer el Sistema de COSO III para pequeñas y medianas empresas. Posteriormente, en 2017, se dio una nueva actualización, la cual se enfoca al rol de la administración del riesgo empresarial en la definición y ejecución de la estrategia de la empresa, realzando la necesidad de una alineación entre el rendimiento organizacional y la administración del riesgo. En esta actualización (COSO ERM 2017) se convirtió en una versión superior de la anterior (COSO ERM 2004 -Marco Integrado de Gestión de Riesgos Corporativos) porque pone en  Página 9 de 20 evidencia la importancia que tiene considerar el riesgo en todo momento, es decir, durante el proceso de establecimiento de estrategias como en el desempeño de la administración. La revolución de COSO en general ha sido ambiciosa en cada actualización, de hecho, la versión COSO ERM 2004, ha sido valorada en gran medida, porque marcó un aporte técnico para la gestión de los riesgos en los últimos años. Por ello es que en general, los especialistas en gestión de riesgos hemos aprovechado las excelentes definiciones de COSO ERM 2004 a tal punto en que se convirtió en marco de referencia para el sistema de control interno. Sin perjuicio de lo anterior, actualmente la gestión de riesgos es un área que requiere especialización y mejoradas visiones, tanto técnicas como metodológicas; debido a que los riesgos existentes se han robustecido, a eso debemos sumarle que, con la globalización y apertura de mercados, nuevas formas de hacer negocios, nueva legislación, mayor automatización, nueva tecnología, etc., se han creado nuevos tipos de riesgos, a los cuales debemos hacerles frente. Se han ido creando requerimientos para que los gobiernos corporativos se involucren realmente en la administración de los riesgos empresariales. De hecho, su relevancia actual va más allá de la mera prevención de las amenazas y su tratamiento oportuno, sino que se ve como la oportunidad de producir un valor superior a la organización donde se aplique. Dado que la gestión de riesgos es un proceso que se interrelaciona con cada área y proceso, aplicar los principios establecidos en COSO 2017 puede proporcionar una expectativa al gobierno corporativo de que la organización entiende y se esfuerza por administrar los riesgos asociados con su estrategia y sus objetivos corporativos. La misión de COSO es: "... proporcionar liderazgo intelectual a través del desarrollo de marcos generales y orientaciones sobre la Gestión del Riesgo, Control Interno y Disuasión del Fraude, diseñado para mejorar el desempeño organizacional y reducir el alcance del fraude en las organizaciones." Los componentes y principios de COSO 2017 son:  Página 10 de 20 Estrategia y Información, Gobierno y Revisión y establecimiento Desempeño comunicación y cultura monitorización de objetivos reporte Ejerce la Analiza el Identifica Aprovecha la Evalúa los supervisión de contexto riesgos. información y la cambios riesgos a través empresarial. Evalúa la tecnología. significativos. del Consejo de Define apetito gravedad del Comunica Revisa el riesgo y Administración. de riesgos. riesgo. información el desempeño. Establece Evalúa Prioriza riesgos. sobre riesgos. Persigue la estructuras estrategias Implementa Informa sobre el mejora de la operativas. alternativas. respuestas ante riesgo, la cultura gestión del Define la cultura Establece los riesgos. y el desempeño. riesgo deseada. objetivos de Desarrolla una empresarial. Demuestra negocio. visión a nivel de compromiso con cartera. los valores clave. Atrae, desarrolla y retiene a profesionales capacitados. En síntesis: Gobierno y cultura: La gobernanza establece el tono de la organización, reforzando la importancia y estableciendo responsabilidades de supervisión para la gestión del riesgo empresarial. La cultura se refiere a valores éticos, comportamientos deseados y comprensión del riesgo en la entidad. Estrategia y objetivo: Para evaluar el ambiente de control de una entidad, se debe analizar y ponderar cada uno de los principios. Se debe establecer una metodología que permita establecer parámetros de medición y con ello determinar el nivel de maduración del ambiente de control de la entidad. Desempeño: Es necesario identificar y evaluar los riesgos que pueden afectar el logro de la estrategia y los objetivos empresariales. Los riesgos se priorizan por gravedad en el contexto del apetito por el riesgo. A continuación, la organización selecciona las respuestas de riesgo y toma una vista de cartera de la cantidad de riesgo que ha asumido. Los resultados de este proceso se informan a las principales partes interesadas en el riesgo.  Página 11 de 20 Revisión y supervisión: Al revisar el desempeño de la entidad, una organización puede considerar qué tan bien funcionan los componentes de administración de riesgos de la empresa a lo largo del tiempo a la luz de cambios sustanciales y qué revisiones se necesitan. Información, comunicación e informes: La gestión de riesgos empresariales requiere un proceso continuo de obtener y compartir la información necesaria, tanto de fuentes internas como externas, que fluyen hacia arriba, hacia abajo y en toda la organización. En general, en el marco de referencia COSO 2017, se abordan ciertos aspectos con mayor alcance: Cultura de riesgo Análisis de la estrategia Perfil de riesgos Integración de gestión de riesgo empresarial Visión global Utilización de la tecnología de la información Instaurar la cultura en una organización es un trabajo arduo y del día a día, es un cambio radical porque necesita que se introduzca desde sus bases un pensamiento basado en riesgo. Dado que se reconoce la importancia de la cultura para la gestión de riesgos, se aborda el creciente enfoque, atención e importancia de la cultura dentro de la gestión del riesgo empresarial. Además, describe el comportamiento de la cultura organizacional dentro de un nivel de riesgo y analiza los posibles efectos de la cultura en la toma de decisiones. El enfoque actual e integrador, tiene como foco la toma de decisiones, por lo que, explora cómo la gestión de riesgos empresariales la impulsa con conciencia de riesgo y destaca cómo la conciencia del riesgo optimiza y alinea las decisiones que afectan el desempeño. Pensar en que cada acción tiene una reacción, como causa y efecto; pues bien, en cada decisión que tomamos debemos analizar los pro y contra de ello. Por otro lado, podemos mencionar los componentes del control interno según NIA N° 315:  Página 12 de 20 Ambos (COSO y NIA) hacen referencia entre los componentes de control interno a una estructura base para que este sea un aporte y generador de valor en las organizaciones. Por ello, integran desde el entorno hasta las actividades mismas, supervisiones, roles y responsabilidades. PREGUNTA ¿Por qué es importante el control interno en las organizaciones para la gestión del riesgo? El control interno es de importancia para la estructura administrativa de una organización. Radica principalmente en permitir la utilización de los bienes, funciones e información de una organización, con el objetivo de generar una situación confiable en el mercado; es decir, ayuda a que los recursos disponibles, sean empleados en forma más eficiente. 1.5. Evaluar riesgo de control Para poder explicar a qué nos referimos y qué implica evaluar el riesgo de control, es necesario que recordemos el concepto de riesgo de control, el cual puede definirse como: El riesgo de que las acciones de mitigación implementadas por la organización (establecimiento de controles), no permitan prevenir, detectar y corregir los errores a tiempo. Por ello, es importante que el sistema de control interno de una organización sea robusto, con el objetivo de minimizar la posibilidad de errores o fraudes en las entidades. Por lo tanto, evaluar el riesgo de control significa que se evaluará el nivel de efectividad de los  Página 13 de 20 sistemas de contabilidad, organizacionales y de control interno de una entidad para prevenir o detectar y corregir hechos erróneos de importancia relativa. Las implicancias de un adecuado control interno y su evaluación son tan importantes, que de hecho por ejemplo en Estados Unidos, a través de la Ley Sarbanes-Oxley, en la Sección 404, requiere que los auditores de compañías públicas evalúen e informen acerca de la eficacia del control interno sobre los informes financieros, además de su informe referente a la auditoría de los estados financieros. La sección 404 también precisa que el auditor debe preparar un informe de auditoría referente a la evaluación de los controles internos de la administración, incluyendo la opinión del auditor acerca de la eficacia operativa de esos controles. Las Normas Internacionales de Auditoría, también se pronuncian al respecto. Para poder realizar una evaluación preliminar del ambiente de control interno y específicamente el riesgo de control, es necesario comprender cómo funciona una entidad, establecer el universo de procesos, con base en ello, priorizarlos para su análisis e identificar los riesgos de cada uno. Una vez individualiados los riesgos por proceso, es necesario evaluar su criticidad y establecer cómo la entidad determinó que era la mejor manera de gestionarlos, ya sea mitigándolos, eliminándolos, transfiriéndolos o aceptándolos. Para todos aquellos riesgos, que su método de gestión es la mitigación se instauran controles internos, los cuales son objeto de revisión. Es importante recordar que el control interno como mínimo debe contar con las siguientes características: oportuno, claro, sencillo, flexible/adaptable, objetivo y realista. Con el objetivo de poder lograr ser un aporte y generador de valor en la entidad. Así mismo, cuando evaluamos el riesgo de control, tenemos que recordar que si bien, un buen sistema de control interno ayuda a la organización a ser más eficiente y eficaz, tampoco es magia y por lo tanto tiene ciertas limitaciones, como por ejemplo: nunca garantiza el cumplimiento de sus objetivos; si bien, ayuda a que se logren no los puede asegurar con exactitud; no evita totalmente la potencialidad de colusión para evadir controles que dependen de la segregación de funciones, porque eso pasa más por los valores de las personas que colaboran en la entidad, por lo que solo brinda seguridad razonable, pero nunca absoluta; generalmente tiene foco en transacciones repetitivas, dejando descuidadas aquellas que no son tan frecuentes. Se puede presentar error humano por mal entendidos, descuidos, entre otros, así como omisión de aplicación de controles por parte de la alta dirección.  Página 14 de 20 Todo el conocimiento que el auditor obtiene de una organización, así como sus procedimientos y resultados, debe ser documentar en los papeles de trabajo de la auditoría que realice. Independiente de las conclusiones a las que llegue el auditor, este debería documentar la base para dichas conclusiones. La evaluación del riesgo de control debe ser realizado de forma objetiva, enfocándose en los procesos y no en quién lo efectúa, porque de esa manera evaluaremos como prioridad lo estructural del control interno. 1.6. Pruebas de control Las pruebas de controles se refieren a los procedimientos que se diseñan para evaluar la eficacia operativa de los controles, es decir, se verifica si se están ejecutando tal como fueron diseñados y a su vez, si aun responden al fin por el cual fueron establecidos (prevenir, detectar y/o corregir errores. Por lo tanto, para poder realizar pruebas de controles, debemos haber previamente probado el diseño del control. Con base en lo anterior, el auditor debe obtener evidencia que le permita respaldar sus conclusiones con respecto a cualquier evaluación del riesgo de control. Generalmente mientas más bajo o malo sea el resultado de la evaluación de riesgo de control, necesitamos contar con más evidencia para comprobar nuestras conclusiones y transmitir la importancia de su resolución. Por lo tanto, con base a los resultados de las pruebas de control, el auditor debe evaluar si los controles internos están diseñados y operando según se contempló en la evaluación preliminar de riesgo de control. En una auditoría de gestión de riesgo, estas conclusiones son informadas a través de un informe. Si hablamos de una auditoría integrada (auditoría financiera + análisis de ambiente de control) no solo significa un levantamiento a las observaciones de control interno, sino que también tiene un impacto en los procedimientos sustantivos que realizará, por lo que la oportunidad con la que se realizan las pruebas de control juega un rol importante. Generalmente, las pruebas de controles se convierten en evaluaciones continuas, y constituyen un proceso por medio del cual se comprueba a lo largo de un período. De esta manera, podremos identificar las posibles fallas, errores o riesgos, y poder determinar los correctivos necesarios para minimizar las probabilidades de ocurrencia o impactos que se puedan generar.  Página 15 de 20 Recordemos que las pruebas de controles se realizan sobre los tres tipos de controles, según la clasificación general de controles: preventivos, detectivos y correctivos. Controles preventivos Son aquellos que reducen la frecuencia con que ocurren las causas del riesgo, permitiendo cierto margen de violaciones. Controles detectivos Son aquellos que no evitan que ocurran las causas del riesgo sino que los detecta luego de ocurridos. Son los más importantes para el auditor. En cierta forma, sirven para evaluar la eficiencia de los controles preventivos. Controles correctivos Ayudan a la investigación y corrección de las causas del riesgo. La corrección adecuada puede resultar difícil e ineficiente, siendo necesaria la implantación de controles detectivos sobre los controles correctivos, debido a que la corrección de errores es en sí una actividad altamente propensa a errores. 1.7. Decisión de detección de riesgo planeado y diseño de pruebas sustantivas A continuación, evaluaremos cuál es el impacto del resultado de la evaluación del control interno para el auditor. Pero para ello, recordemos el concepto de riesgo de detección: “Riesgo de que un auditor no detecte una representación errónea que exista en una aseveración y que pudiera ser de importancia relativa, ya sea en lo individual o cuando se acumula con otras representaciones erróneas”. (Federación Internacional de Contabilidad, 2007, p. 105).  Página 16 de 20 Para un auditor, es muy importante evaluar de forma profunda y exhaustiva, cuáles son los riesgos y el nivel de riesgo de auditoría al cual se enfrenta, cuando emitirá una opinión, debido a que su fe social está en juego. Comprender el nivel de riesgo de auditoría es la base para la definición de la naturaleza, extensión y oportunidad de los procedimientos que se realizarán en las auditorías. Por lo tanto, tiene por objetivo comprobar la efectividad tanto del diseño como de la operación de los sistemas de control implementados por la entidad auditada. Cuando nos enfrentamos como auditores a riesgos altos de auditoría, debemos diseñar diversos procedimientos para comprobar si el diseño es adecuado y si la operación de los controles resulta eficaz. Con el objetivo de lograrlo, podríamos probar un mismo control de formas diferentes, combinando procedimientos como procedimientos analíticos o ejecutando de nuevo los procedimientos de control establecidos por la administración. Si tenemos mayor riesgo de auditoría, tendremos que hacer más pruebas para poder estar conformes y concluir, por lo que debemos ampliar el tamaño de las muestras que hemos seleccionado para la verificación de dichos controles y deberíamos extender la aplicación de los procedimientos de auditoría a lo largo de todo el período auditado. 1.7.1. Riesgo de detección planeada Es una medida de riesgo, en el cual las evidencias de auditoría no detectarán los errores del control interno. Los factores que determinan el riesgo detección son: Ineficiencia en la planificación y/o ejecución de procedimientos de auditoría. Inadecuada determinación del alcance y oportunidad de los procedimientos. Para reducir el riesgo de detección es necesario contar con evidencia más contundente. Para ello, hacemos pruebas de controles, según lo mencionado en el punto anterior; y en caso de auditorías integradas, además de las pruebas de controles, debemos hacer procedimientos sustantivos. a. Procedimientos sustantivos: son pruebas realizadas por el auditor, con el objetivo de obtener evidencia de auditoría para detectar errores importantes o materiales en la información financiera, y son de dos tipos: I. Procedimientos analíticos sustantivos; II. Pruebas de detalles (transacciones y balances). Cuando hablamos de procedimientos analíticos sustantivos son procedimientos que realiza el auditor, con el objetivo de evaluar la razonabilidad de in saldo contable y  Página 17 de 20 consisten en comparar el saldo contable contra las expectativas del auditor. Estos procedimientos se deben realizar primero que las pruebas de detalle ya que el resultado puede determinar el alcance de las pruebas de detalle. La decisión del auditor sobre qué procedimientos debería utilizar dependerá, según su juicio profesional, de su expectativa de efectividad y eficiencia de los procedimientos disponibles. Esto dependerá de qué tan efectivo y eficiente sea el procedimiento (que proporcione evidencia de auditoría y fácil de aplicar); es decir, que se logre cumplir con los objetivos de la auditoría, de la manera más rápida y eficiente. Hay dos procedimientos sustantivos más utilizados: Análisis de Pruebas de tendencias razonabilidad Las cuales pueden evitar o reducir Consiste en revisar el las pruebas de detalle, que comportamiento de determinada implican una mayor inversión de cuenta de los estados financieros tiempo para el auditor en los durante un período con el fin de casos en donde no hay confianza identificar variaciones en controles o no realizamos significativas. pruebas a los controles. La combinación de procedimientos le dará mayor seguridad sobre el tema evaluable. Sin embargo, en la auditoría, no debemos perder el foco en lo importante, haciendo los procedimientos de forma eficiente y eficaz, para el logro de los objetivos. PREGUNTA ¿Cuál es el impacto de las pruebas de control en una auditoría?  Página 18 de 20 Las pruebas de control son una parte fundamental de una auditoría. Su impacto es significativo, ya que permiten evaluar la efectividad de los controles internos implementados en una organización. Estas pruebas implican revisar y analizar los procedimientos y controles establecidos para mitigar los riesgos operativos, financieros y de cumplimiento. El objetivo de las pruebas de control es verificar si los controles internos están diseñados adecuadamente y si se están aplicando de manera efectiva. Esto implica examinar la documentación, realizar entrevistas, observar la ejecución de los procesos y realizar pruebas sustantivas. El impacto de estas pruebas radica en proporcionar una evaluación objetiva de la calidad y la eficiencia de los controles internos. Al realizar estas pruebas, los auditores pueden identificar deficiencias o debilidades en los controles y recomendar mejoras. Esto ayuda a la organización a fortalecer su sistema de control interno, reducir el riesgo de errores, fraudes y pérdidas, y garantizar el cumplimiento de las regulaciones y políticas aplicables. Además, las pruebas de control también brindan tranquilidad a los accionistas, inversionistas y otras partes interesadas, ya que demuestran que se están tomando medidas para salvaguardar los activos de la organización y garantizar la integridad de la información financiera. En resumen, las pruebas de control en una auditoría tienen un impacto importante al evaluar la efectividad de los controles internos, identificar áreas de mejora y brindar seguridad a las partes interesadas en cuanto a la confiabilidad de los procesos y la información financiera.  Página 19 de 20 Conclusión El control interno es un proceso fundamental en las organizaciones que tiene como objetivo proporcionar seguridad razonable en cuanto a la consecución de los objetivos empresariales, la fiabilidad de la información financiera, la eficacia y eficiencia de las operaciones y el cumplimiento de las disposiciones legales y normativas. Los controles internos son herramientas de gestión que permiten identificar riesgos, implementar medidas preventivas y salvaguardar los recursos de la organización. La evaluación del control interno es esencial para identificar los riesgos de control y determinar su efectividad. Para ello, se deben evaluar los componentes del control interno, como el ambiente de control, la evaluación de riesgos, las actividades de control, la información y comunicación, y el monitoreo. Estos componentes ayudan a establecer normas de desempeño, salvaguardar los activos, obtener información financiera veraz y cumplir con los requisitos normativos. La evaluación del riesgo de control y las pruebas de control son procesos clave en una auditoría. La evaluación del riesgo de control permite determinar la efectividad de los sistemas de control implementados por la entidad auditada, mientras que las pruebas de control verifican si los controles están operando de acuerdo con su diseño y si cumplen con su propósito de prevenir, detectar y corregir errores. El resultado de las pruebas de control tiene un impacto significativo en la auditoría, ya que ayuda a determinar el nivel de riesgo de detección y la naturaleza, extensión y oportunidad de los procedimientos sustantivos que se deben aplicar. Estas pruebas permiten evaluar la razonabilidad de las cuentas contables y detectar representaciones erróneas en los estados financieros. En resumen, el control interno y su evaluación son fundamentales para la gestión del riesgo en las organizaciones. Mediante la implementación de controles internos efectivos y la realización de pruebas adecuadas, las organizaciones pueden fortalecer su sistema de control interno, reducir los riesgos y garantizar la integridad de la información financiera y el cumplimiento normativo.  Página 20 de 20 Referencias bibliográficas Barrio, S. (2019). Nuevas tendencias en la gestión de riesgos del control interno. Auditoría Pública, 73, 43-51. https://asocex.es/wp-content/uploads/2019/06/Revista- Auditoria-Publica-n%C2%BA-73.-pag-43-a-51.pdf Committee of Sponsoring Organizations of the Treadway Commission (COSO). https://www.coso.org/ Federación Internacional de Contabilidad (2007). Normas Internacionales de Auditoría. Editorial Instituto Mexicano de Contadores Públicos, A.C. Hernández, D. F. (2018). Gestión del riesgo y control, una mirada tridimensional. Revista Científica Hermes, 22, 449-465. International Auditing and Assurance Standards Board (IAASB) (2019). NIA 315 - I