Cómo funciona
La estrategia de auditoría es el documento de nivel superior que responde a tres preguntas centrales: ¿Qué voy a auditar? ¿Cuándo lo voy a hacer? ¿Quién lo va a hacer?
De acuerdo con la NIA-ES 300.08, la estrategia debe considerar la naturaleza y el alcance de la auditoría, los riesgos importantes identificados, la estructura de la entidad (incluyendo filiales y divisiones), y los sectores en los que opera. No es suficiente decir "vamos a seguir un enfoque basado en riesgos." La estrategia debe ser específica: debe identificar qué componentes de la entidad (sedes, centros de costes, procesos) se van a someter a procedimientos de validación completa, cuáles a procedimientos limitados, y cuáles se cubrirán mediante procedimientos analíticos o pruebas de cumplimiento.
En la práctica, la estrategia de auditoría es el primer documento que un socio o gerente de auditoría escribe cuando se acepta un nuevo cliente o se renueva un encargo existente. Define el nivel de materialidad, determina el enfoque de auditoría (sustantivo, de cumplimiento, o mixto), identifica los riesgos que se conocen por el sector o la entidad, y establece quién realiza cada tipo de trabajo. Una estrategia clara reduce de forma notable el riesgo de que se omitan procedimientos principal.
La NIA-ES 300.11 requiere que la estrategia sea documentada y que el equipo de auditoría la entienda antes de comenzar el trabajo de campo. Esto no significa una presentación formal, pero sí significa que cada miembro del equipo debe conocer su responsabilidad específica y por qué está haciendo el trabajo que le ha sido asignado.
Ejemplo práctico: Talleres Mecánicos Mediterráneos S.L.
Cliente: Empresa de fabricación de componentes de automoción, con sede en Valencia, facturación de 18,5 millones de euros, reporta bajo PGC.
Paso 1: Identificar el alcance y los riesgos principales
El auditor examina la estructura de la entidad: una sede central en Valencia, un taller de producción, un almacén de distribución, y tres centros de servicio post-venta en diferentes ciudades. El volumen de transacciones de ingresos es de aproximadamente 42.000 facturas al año. Los gastos de operación están dispersos entre múltiples centros de coste.
Nota de documentación: "Se identificaron tres localizaciones con transacciones significativas (Valencia, Barcelona, Zaragoza). El ciclo de ingresos presenta volumen alto y riesgo moderado de error debido a la complejidad de los acuerdos de garantía. El ciclo de gastos está disperso, lo que requiere procedimientos en los tres centros de costes principales."
Paso 2: Determinar el nivel de materialidad y de materialidad de desempeño
A partir de la facturación de 18,5 millones de euros, el auditor establece materialidad general en 370.000 euros (2% de ingresos, que es el estándar para manufactura). Materialidad de desempeño se establece en 222.000 euros (60% de la materialidad general).
Nota de documentación: "Materialidad general: 370.000 EUR basada en ingresos de 18,5M. Materialidad de desempeño: 222.000 EUR. Umbral de trivialidad: 37.000 EUR. Justificación: el sector manufactura y el historial de cliente demuestran errores menores pero controles internos adecuados."
Paso 3: Clasificar componentes por nivel de auditoría
El auditor asigna:
Nota de documentación: "Asignación de responsabilidades: Socio responsable de ingresos (Valencia) y nómina. Gerente de auditoría responsable de compras y gastos (tres centros). Junior responsable de activos fijos y efectivo bajo supervisión. Cronograma: semana 1-2 (planificación), semana 3-6 (trabajo de campo), semana 7 (revisión y conclusiones)."
Paso 4: Determinar la oportunidad de los procedimientos
El auditor planifica dos visitas al cliente: una visita de planificación de dos días en noviembre (para completar los procedimientos de aceptación y renovación, obtener la confirmación bancaria, revisar los contratos principales); una visita de auditoría de tres semanas en enero (trabajo sustantivo completo, después de que la entidad cierre sus registros). Se planifica una tercera visita de 3 días en marzo (trabajo de cierre, revisión final, y reunión de conclusiones).
Nota de documentación: "Oportunidad: Visita 1 (Nov): aceptación, procedimientos de planificación, observación de toma de inventario. Visita 2 (Ene): trabajo sustantivo 85%, revisión de transacciones posteriores al 31/12. Visita 3 (Mar): conclusiones, revisión del socio, reunión de opinión."
Conclusión: Una estrategia específica y documentada como la anterior reduce el riesgo de omisiones procedimentales y permite que el equipo de auditoría trabaje de forma ordenada. Si esta estrategia no hubiera sido documentada claramente, el equipo de auditoría hubiera corrido el riesgo de malinterpretar el alcance de su trabajo en los centros de coste de Barcelona y Zaragoza, lo que hubiera resultado en procedimientos insuficientes.
- Auditoría completa (100% de procedimientos sustantivos): ciclo de ingresos en Valencia (43% de ingresos consolidados) y ciclo de nómina (riesgo elevado por cumplimiento normativo)
- Auditoría parcial (procedimientos selectivos): ciclo de gastos por centro de coste y ciclo de compras
- Revisión analítica (procedimientos analíticos y pruebas de cumplimiento limitadas): ciclo de activos fijos (bajo volumen de cambios año a año) y ciclo de efectivo (transacciones simples y bien documentadas)
Lo que los revisores y auditores suelen pasar por alto
- Estrategia genérica que no direcciona procedimientos específicos. Muchos equipos escriben una estrategia que dice "aplicar NIA-ES" sin indicar qué procedimientos se van a realizar en qué localizaciones o qué riesgos se van a abordar. Esto no satisface la NIA-ES 300.11, que exige que la estrategia guíe el trabajo del equipo. La ICAC ha señalado en informes de inspección que la ausencia de una estrategia documentada específica es señal de que el equipo de auditoría no tiene dirección clara.
- Falta de alineación entre la estrategia y el plan de auditoría. La estrategia dice que se va a realizar auditoría completa del ciclo de ingresos, pero el plan de auditoría asigna solo 40 horas a ese ciclo cuando se requieren 120. Esta desalineación indica que la estrategia no fue pensada con los recursos disponibles en mente.
- No revisar ni actualizar la estrategia cuando la aceptación del cliente o la evaluación del riesgo cambian durante el año. Un cliente nuevo que se adquiere a mitad del año afecta la estrategia general, pero muchos auditores dejan la estrategia original sin cambios. La NIA-ES 300.12 requiere que el auditor revise la estrategia cuando información nueva indique que los riesgos han cambiado.
Estrategia de auditoría vs. Plan de auditoría
La estrategia responde "¿Cuál es mi enfoque general?" El plan de auditoría responde "¿Qué procedimientos voy a realizar, cuándo, y en cuántas horas?" La estrategia es el mapa general. El plan de auditoría es el itinerario detallado. Una entidad puede tener una única estrategia de auditoría anual, pero múltiples planes de auditoría si se auditan diferentes áreas en diferentes momentos o con equipos diferentes.
Términos relacionados
- Plan de Auditoría: el documento que especifica los procedimientos sustantivos, de cumplimiento y analíticos que se van a ejecutar para cada riesgo identificado
- Riesgo de Auditoría: la combinación de riesgo de error significativo en la entidad y el riesgo de que el auditor no lo detecte
- Materialidad: el monto por debajo del cual los errores o irregularidades no afectarían la opinión del auditor
- Procedimientos Analíticos: el análisis de ratios, tendencias y agregados para identificar anomalías o cambios inesperados
- Evaluación del Riesgo: el proceso de identificar y evaluar los riesgos de error significativo a nivel de entidad y de aseveración
- Componente: una filial, división, unidad operativa o función que es auditada como parte de la auditoría consolidada
Referencias normativas
NIA-ES 300 (Planificación de la auditoría de estados financieros) establece que la estrategia de auditoría debe ser documentada antes de comenzar el trabajo de campo. Los párrafos principal son:
---
- NIA-ES 300.08: Define los elementos que debe contener la estrategia
- NIA-ES 300.11: Requiere que la estrategia sea documentada y que el equipo la comprenda
- NIA-ES 300.12: Establece que la estrategia debe ser revisada si hay cambios en la evaluación del riesgo o en otros factores