Hallazgos de inspección AFM 2025: lo que necesitan saber las firmas de auditoría no EIP

Contenido

1. Las cinco deficiencias principales en firmas no EIP 2. Documentación del riesgo: el problema persistente 3. Procedimientos analíticos: donde más fallan las firmas 4. Los tres errores nuevos de 2025 5. Ejemplo práctico: expediente defendible 6. Lista de verificación para expedientes no EIP 7. Errores frecuentes que señalan los inspectores

La tesis, sin rodeos

Vaya por delante que los hallazgos de inspección en firmas no EIP no son un problema de formación. Son un problema de honorarios. Una firma de quince personas que cobra 7.000 euros por auditar una sociedad limitada con 12 millones de ingresos no puede permitirse que el socio dedique dos días a reevaluar materialidad al cierre. El socio necesita el cliente, y ambos saben que el margen no aguanta un trabajo exhaustivo. Por eso los papeles están flojos. No porque nadie haya leído la NIA-ES 315.

Algunos dirán que los despachos pequeños carecen de competencia técnica. En los encargos que he llevado, esa tesis no se sostiene: los socios conocen la norma, citan los párrafos, saben lo que falta. El problema es otro. Cuando uno firma siete auditorías antes de Semana Santa y cinco después, y el presupuesto total no da para un EQR (revisión de control de calidad del encargo) digno, se termina marcando la casilla. Y marcar la casilla es lo que el ICAC encuentra luego.

Las cinco deficiencias principales en firmas no EIP

Los datos internacionales muestran un patrón consistente en firmas que auditan entidades no EIP. La AFM documentó estas deficiencias en su informe 2025, y los inspectores del ICAC han observado patrones equivalentes en sus revisiones de calidad sobre despachos españoles inscritos en el ROAC (Registro Oficial de Auditores de Cuentas).

1. Documentación inadecuada de la evaluación de riesgo (47% de expedientes)

Qué encontraron los inspectores: los auditores identifican riesgos importantes pero no documentan cómo llegaron a esa conclusión ni qué procedimientos específicos diseñaron en respuesta. En la práctica, lo que ocurre es que el papel de trabajo (PT) de riesgos se hereda del año anterior con dos retoques cosméticos. El socio firma, el revisor firma, y el expediente queda.

La NIA-ES 315.25 exige una conexión explícita entre tres elementos: los factores específicos que llevaron a identificar el riesgo, la respuesta de auditoría diseñada, y la documentación de cómo esa respuesta aborda el riesgo. Si falta cualquiera de los tres, el PT no defiende el trabajo ante el ICAC.

Cómo corregirlo en el día a día de una firma de quince personas: antes de abrir el expediente, alguien (preferiblemente no el gerente del encargo del año anterior) debe leer las actas del consejo del ejercicio auditado y actualizar los factores de riesgo desde cero. Media jornada bien invertida. La alternativa es sacar adelante con lo que hay y cruzar los dedos.

2. Procedimientos analíticos sin expectativa suficientemente precisa (43% de expedientes)

Qué encontraron: los auditores comparan cifras del año actual con el anterior, documentan la variación, pero no desarrollan una expectativa independiente basada en información no financiera. Esto no es un procedimiento analítico bajo la NIA-ES 520.5. Es una comparación. Confundir lo uno con lo otro es la deficiencia más citada en los expedientes de control de calidad del BOICAC.

En mi caso, cuando reviso un expediente y veo "variación del 7% frente al año anterior, razonable", sé que ese procedimiento no va a aguantar. La NIA-ES 520.5 pide una expectativa formulada con información del negocio, del sector, de la regulación. La comparación interanual es el punto de partida, no el procedimiento.

Cómo corregirlo: documente la expectativa antes de mirar las cifras del cliente. Apóyese en el informe sectorial, en cambios regulatorios, en datos del INE si hace falta. Luego compare contra su expectativa, no contra el año anterior.

3. Escepticismo profesional insuficiente en respuestas de la dirección (39% de expedientes)

Qué encontraron: los auditores aceptan explicaciones de la dirección sin corroboración independiente, sobre todo en áreas de juicio contable. El Plan General Contable (PGC) deja zonas amplias al criterio del administrador, y ahí es donde el escepticismo se diluye.

Por qué ocurre, sin endulzarlo: el socio lleva quince años auditando al mismo cliente, cena con el administrador en Navidad, y el honorario del ejercicio ya está pactado antes de empezar. Pedir tres fuentes adicionales de corroboración significa veinte horas más de trabajo que nadie va a facturar. Hay quien dirá que esto se resuelve con formación en escepticismo. Por lo que he visto en los encargos que he llevado, se resuelve cambiando de socio responsable cada cinco años y ajustando honorarios. Lo demás es brindis al sol.

Cómo corregirlo a nivel de expediente: cada respuesta de la dirección a una consulta de auditoría debe incluir al menos una fuente de corroboración independiente documentada en el expediente. Una. No tres.

4. Pruebas de detalle insuficientes para riesgos importantes (36% de expedientes)

Qué encontraron: los auditores identifican correctamente riesgos importantes pero responden con procedimientos analíticos en lugar de pruebas de detalle. La NIA-ES 330.21 es explícita: los procedimientos analíticos solos no son suficientes para un riesgo importante. Hacen falta pruebas de detalle.

En la práctica, lo que realmente ocurre es que las pruebas de detalle cuestan horas. Horas que no están en el presupuesto. Y cuando el presupuesto aprieta, el procedimiento analítico es la vía rápida.

5. Documentación deficiente de la materialidad de ejecución (32% de expedientes)

Qué encontraron: los auditores calculan la materialidad global pero no documentan cómo determinaron la materialidad de ejecución ni cómo la aplicaron en procedimientos específicos. Aplicar el 75% por costumbre no cumple la NIA-ES 320.11. El auditor tiene que razonar los factores: historial de incorrecciones, riesgos específicos del sector, expectativa de error agregado.

En el ejercicio de nuestra práctica, el patrón se repite: el PT de materialidad trae el porcentaje preconfigurado en la plantilla, y falta chicha en el razonamiento. El inspector abre, mira, y saca la deficiencia.

Los tres errores nuevos de 2025

Los inspectores internacionales han identificado tres patrones emergentes que no aparecían en informes anteriores.

Error nuevo 1: evaluación inadecuada de la continuidad empresarial post-COVID

Las firmas evalúan la continuidad empresarial usando los mismos procedimientos que aplicaban en 2019, sin ajustar para riesgos emergentes: inflación persistente, tipos de interés, tensiones en cadenas de suministro. La NIA-ES 570.16 requiere considerar eventos y condiciones que puedan crear dudas sustanciales. En 2026 eso incluye, como mínimo, el impacto de los tipos del BCE sobre la deuda del cliente.

Error nuevo 2: dependencia excesiva en trabajo de auditoría interna sin evaluación actualizada

Los auditores confían en trabajo de auditoría interna evaluado en años anteriores sin reevaluar la competencia y objetividad del departamento, sobre todo cuando ha habido cambios de personal o reorganizaciones. En firmas familiares el departamento de auditoría interna rota más de lo que parece. El PT del año anterior no basta.

Error nuevo 3: documentación insuficiente de controles IT generales en entidades digitalizadas

Las entidades no EIP han acelerado su digitalización desde 2020, pero los auditores no han actualizado su evaluación de controles IT generales. Controles de acceso, seguridad de datos, migraciones a cloud. Estos son los expedientes donde, cuando el ICAC pregunta, se descubre que nadie revisó la segregación de funciones en el ERP nuevo.

Ejemplo práctico: expediente defendible

Imaginemos un caso real. Distribuciones Industriales Mediterráneas S.L., empresa familiar de Valencia con ingresos de 12,4 millones de euros, distribuye componentes industriales. Aumentó ingresos un 18% en 2024 pero el margen bruto cayó del 23% al 19%.

La complicación que casi nadie documenta

A mitad del trabajo sustantivo, el equipo descubre que dos de las quince referencias tienen rotación cero desde hace catorce meses y figuran a precio de compra. El presupuesto ya está gastado al 90%. ¿Qué se hace?

Por lo que conozco, hay dos respuestas honestas. La primera: ampliar la muestra, documentar la provisión adicional, facturar la desviación al cliente o asumirla. La segunda: dejar constancia en el PT de que se detectó la indicación, justificar con razonamiento profesional por qué no se amplía la muestra (materialidad, cobertura alternativa) y firmar. Ambas son defendibles si están bien documentadas. Cerrar en silencio y esperar no lo es, y ese es el expediente al que el ICAC le saca deficiencias hasta debajo de las piedras.

Este enfoque documenta el nexo entre riesgo identificado, procedimientos diseñados y evidencia obtenida. Un inspector puede seguir el razonamiento del auditor de principio a fin.

Lista de verificación para expedientes no EIP

1. Cada riesgo importante tiene conexión documentada entre factores de riesgo y procedimientos diseñados (NIA-ES 315.25)

2. Procedimientos analíticos incluyen expectativa desarrollada independientemente usando información no financiera, no solo comparación con año anterior (NIA-ES 520.5)

3. Respuestas de la dirección tienen al menos una fuente de corroboración independiente documentada en el expediente para áreas de juicio material

4. Riesgos importantes se abordan con pruebas de detalle, no solo procedimientos analíticos (NIA-ES 330.21)

5. Materialidad de ejecución incluye justificación específica basada en circunstancias de la entidad, no aplicación automática de un porcentaje fijo (NIA-ES 320.11)

6. Evaluación de continuidad empresarial refleja condiciones económicas actuales y considera riesgos post-COVID específicos del sector (NIA-ES 570.16)

Errores frecuentes que señalan los inspectores

- Usar plantillas obsoletas. Las plantillas de riesgo de 2019 no capturan riesgos digitales actuales ni el entorno económico post-pandemia.

- Documentar conclusiones sin proceso. Escribir "hemos evaluado el riesgo como alto" sin documentar qué factores específicos llevaron a esa conclusión.

- Confundir procedimientos analíticos con análisis de tendencias. Comparar año actual frente a anterior no es un procedimiento analítico bajo NIA-ES 520 sin expectativa independiente.

La discusión que no se resuelve

Queda una pregunta legítima, y conviene dejarla abierta. ¿Deberían las firmas no EIP estar sujetas al mismo estándar de EQR que las firmas que auditan EIP? Hay dos posiciones razonables.

La primera defiende la proporcionalidad. El riesgo sistémico de una auditoría sobre una S.L. familiar de doce millones no es comparable al de una cotizada del IBEX. Obligar al mismo nivel de revisión EQR encarece el servicio sin beneficio proporcional para los usuarios de las cuentas. Lo lógico es un régimen ajustado al tamaño y al impacto.

La segunda defiende el suelo de calidad. La NIA-ES es la misma norma para todos, y la persona que recibe las cuentas anuales (el banco que concede el préstamo, el inversor que entra en el capital) merece el mismo rigor independientemente del tamaño. Si el honorario no da para el trabajo bien hecho, el ICAC debería elevar el umbral mínimo por encargo, no rebajar el estándar.

Yo me inclino hacia la segunda, porque la proporcionalidad en la práctica se convierte en excusa para no hacer EQR en absoluto. Pero reconozco que la primera tiene argumentos serios, sobre todo para despachos rurales donde el honorario mínimo que propongo los sacaría del mercado.

Por qué los hallazgos recurren

Un último apunte. Los hallazgos de inspección no recurren porque los auditores no conozcan la NIA-ES 315. Recurren porque una firma de quince personas que cobra 7.000 euros por una auditoría no puede permitirse que un socio pase dos días reevaluando materialidad al cierre. El socio necesita el cliente, y ambos saben que el margen no aguanta un trabajo exhaustivo. Mientras esa ecuación no cambie, el informe AFM de 2027 dirá lo mismo que el de 2025. Y el de 2029 también.

Contenido relacionado

- Calculadora de materialidad NIA-ES 320: Herramienta para calcular y documentar materialidad global y de ejecución con justificación regulatoria. - Guía de evaluación de riesgo NIA-ES 315: Proceso paso a paso para identificar y documentar riesgos importantes de forma defendible. - Lista de verificación de procedimientos analíticos: Cómo desarrollar expectativas independientes y documentar procedimientos analíticos que superen revisiones.