Definition
Casi todas las entidades dicen que tienen monitoreo continuo. Casi ninguna lo tiene documentado de forma que un auditor pueda confiar en él. La afirmación se repite en las cartas de control interno, en las descripciones de procesos y en las entrevistas con la dirección, pero cuando se pide el procedimiento escrito y la evidencia de ejecución, la conversación se enfría.
Cómo funciona
El monitoreo continuo ocurre dentro de los procesos operativos normales. A diferencia de la evaluación separada (que puede ser un proyecto anual), sucede de forma automática o en el curso ordinario de las operaciones. Un especialista en crédito que revisa cada mañana los saldos pendientes y marca excepciones está haciendo monitoreo continuo. Un gerente de nómina que reconcilia el archivo de empleados activos con el registro de RR. HH. cada semana está haciendo monitoreo continuo.
La NIA-ES 315.18 exige que el auditor obtenga una comprensión del monitoreo continuo de la entidad. Esto no significa que la entidad tenga un departamento bautizado así o tecnología sofisticada. Significa que el auditor debe entender qué controles operan de forma continua, quién los ejecuta, cómo se documenta su funcionamiento y cómo se obtiene evidencia de que las excepciones se resuelven.
En la práctica, esto requiere documentación. Un memorándum que describe "el gerente de tesorería revisa cada día los movimientos de caja" es monitoreo continuo documentado. Una excepción automática registrada en una hoja de cálculo que alguien revisa cada viernes es monitoreo continuo documentado. Un gerente que dice "yo veo qué está mal" sin dejar rastro escrito no está cumpliendo con lo que la NIA-ES 315 contempla. Por lo que conozco, este es el punto donde se rompe el 80% de las afirmaciones de monitoreo: la entidad afirma que ocurre, pero el papel no aparece.
La NIA-ES 330 exige luego que el auditor evalúe si el monitoreo continuo proporciona evidencia de auditoría suficiente sobre la efectividad operativa de los controles. Lo que realmente ocurre es que muchos equipos asumen que sí, sin documentar la prueba que sostiene esa conclusión. Si el monitoreo continuo está bien diseñado y se ejecuta, puede reducir el alcance de los procedimientos sustantivos sobre ese control concreto.
Ejemplo práctico: Viñedos del Duero S.A.
Cliente: bodega española con sede en Valladolid, ingresos de 7,2 millones de euros, NIIF, almacenes en tres ubicaciones (la nave central junto a la bodega y dos almacenes auxiliares en pueblos cercanos).
Paso 1: Identificar dónde ocurre el monitoreo continuo La entidad tiene un sistema de gestión de inventario que genera un informe diario de movimientos de existencias. Cada mañana, el gestor de almacén revisa estos movimientos contra los registros de entrada y salida. Cuando hay discrepancias, las anota en un log de excepciones que firma con fecha.
Nota de documentación: En la carpeta de control interno se observó el procedimiento documentado "Revisión diaria de excepciones de inventario", con fecha de última revisión de febrero de 2024. Se seleccionaron veinte días de trabajo al azar y se verificó que el log contuviera anotaciones legibles fechadas y firmadas por el gestor de almacén.
Paso 2: Obtener evidencia de que el monitoreo continuo funciona Se inspeccionaron los registros de excepciones de los últimos seis meses. El patrón mostró que las excepciones se detectaban dentro de las dos horas siguientes al movimiento. Se entrevistó al gestor de almacén sobre tres excepciones seleccionadas al azar. En dos casos explicó el motivo (un ajuste por merma de evaporación natural; una transposición de dígitos corregida en el momento). En un caso, la excepción llevaba diez días sin resolución y se elevó al equipo de auditoría interna de la entidad para investigación posterior.
Aquí aparece la complicación. En septiembre, el gestor de almacén tuvo una baja por enfermedad de seis semanas. La gestora suplente, una administrativa que normalmente lleva facturación, asumió la revisión diaria. Por lo que se vio en los papeles, durante esas seis semanas el log de excepciones siguió firmándose, pero las anotaciones eran más cortas, no siempre incluían el número de referencia del movimiento y, en dos días concretos, faltaba directamente la firma., un recuento físico realizado en octubre arrojó una diferencia de 4.300 € en una de las naves auxiliares (concretamente, en mosto sin embotellar) que el monitoreo diario no había marcado como excepción durante el periodo de la baja.
Nota de documentación: Se evidenció la efectividad del monitoreo de enero a agosto mediante muestra de diez días con tres excepciones detectadas, registradas y resueltas dentro del protocolo. Se identificó una ruptura del control en el periodo de septiembre a mediados de octubre durante la baja del responsable, con dos días sin firma y una diferencia física no detectada de 4.300 €. La efectividad operativa no se puede afirmar para todo el ejercicio.
Paso 3: Evaluar si el monitoreo continuo proporciona evidencia suficiente El auditor concluyó que el control había operado de forma efectiva durante ocho meses pero se había roto durante el periodo de cobertura por baja. La consecuencia práctica fue doble: el alcance sustantivo sobre precisión de inventario se mantuvo en el nivel previsto inicialmente para el periodo septiembre-diciembre (sin reducción por confianza en el control), y se documentó una deficiencia de control interno que se comunicó a la dirección con propuesta de procedimiento de cobertura para futuras ausencias del responsable. La diferencia de 4.300 € se investigó por separado y se concluyó que correspondía a un error de medición en una bomba de trasiego, no a desvío.
La lección que el equipo se llevó es que un control que depende de una sola persona y de su disciplina personal no es un control de la entidad: es una rutina del individuo. Si el manual no establece quién cubre la revisión cuando el titular falta, ni cómo se valida que la cobertura mantiene la misma calidad, el control existe sobre el papel pero no en el diseño.
Qué auditores y revisores confunden habitualmente
- Confundir monitoreo continuo con monitoreo separado. Una auditoría interna que evalúa controles una vez al año es monitoreo separado. El monitoreo continuo va integrado en los procesos normales. La NIA-ES 315.18 distingue claramente entre ambos. Un auditor que etiqueta una revisión trimestral de efectividad de control como "monitoreo continuo" está clasificando mal el tipo de monitoreo. En la práctica, esto suele ocurrir cuando el equipo no quiere reabrir el papel de comprensión del entorno de control y aprovecha la etiqueta más cómoda.
- Permitir que la entidad reclame monitoreo continuo sin documentación. Muchos equipos describen sus actividades de revisión como monitoreo continuo, pero cuando se les pide el procedimiento escrito o el registro de ejecución, la respuesta es "no tenemos eso por escrito". Solíamos aceptar este tipo de afirmación verbal como evidencia suficiente, hasta que el ICAC señaló en una inspección que "los papeles están flojos" en el área de control interno y obligó a rehacer todo el ciclo. La NIA-ES 315.18 presupone que el auditor pueda ver el monitoreo. Sin documentación, no puede evaluar si ocurrió ni si fue efectivo. Una entidad puede hacer monitoreo de facto, pero si no está documentado, el auditor debe tratarlo con escepticismo profesional.
- Suponer que el monitoreo continuo existe porque existe una función de control interno. Que una entidad tenga un departamento de cumplimiento o un gerente de riesgos no significa que tenga monitoreo continuo de controles operativos concretos. El monitoreo continuo exige incorporar revisiones de control en los flujos de trabajo normales. Un departamento de cumplimiento que revisa la política de caja una vez al año no está haciendo monitoreo continuo sobre los controles de caja. Una tesorería que cada día antes de cerrar la caja hace una conciliación y registra el resultado sí lo está. Lo que realmente ocurre es que el organigrama acaba sustituyendo al control efectivo en la cabeza del auditor revisor.
Monitoreo continuo vs. evaluación separada
| Dimensión | Monitoreo continuo | Evaluación separada |
|---|---|---|
| Frecuencia | Integrada en operaciones normales (diaria, semanal) | Anual, trimestral o puntual |
| Quién lo realiza | Personal operativo como parte de su trabajo | Auditoría interna o especialista de cumplimiento |
| Documentación requerida | Procedimiento escrito y registro de ejecución firmado | Documentación de hallazgos y conclusiones |
| Utilidad para el auditor | Evidencia continua de efectividad operativa, si la cobertura por ausencias está prevista | Evidencia puntual del estado del control en una fecha |
| Riesgo de detección reducido | Sí, cuando el auditor confía en él tras prueba | Requiere procedimientos sustantivos adicionales |
Cuándo la distinción importa en un encargo
Imaginemos un nuevo cliente: un distribuidor de equipos médicos con tres centros de distribución que afirma tener "monitoreo continuo fuerte de la precisión de inventario". El equipo pide la documentación del proceso de control interno y encuentra una sola línea: "El gerente de cada centro verifica la precisión de inventario de manera continua." No hay procedimiento escrito, no hay registro de qué se verificó ni cuándo, no hay rastro firmado.
Si el auditor acepta esta afirmación como monitoreo continuo documentado y reduce el alcance de la prueba sustantiva sobre precisión de inventario, está colocando su confianza sobre aire. Si en una visita posterior a uno de los tres centros descubre que no existe registro alguno, la confianza queda desautorizada. Y si, peor, durante la auditoría aparece un error material de inventario que el monitoreo "supuestamente efectivo" no detectó, el auditor habrá documentado una deficiencia de control importante que se podría haber evitado aplicando procedimientos adecuados desde el principio. Al final, si llega el ICAC, no puedes mostrarle un proceso que solo existe verbalmente.
Aquí cabe un desacuerdo legítimo entre socios. El Socio A acepta como evidencia de efectividad un log diario de excepciones firmado por el responsable durante el ejercicio, porque entiende que la firma diaria, sostenida en el tiempo, es un indicador robusto de ejecución. El Socio B exige que el auditor seleccione una muestra de excepciones registradas y trace cada una hasta su resolución documentada, porque sostiene que la firma puede ser rutinaria y la pregunta relevante no es si se revisaron los movimientos, sino si las excepciones detectadas se resolvieron correctamente. Las dos posiciones son razonables. La diferencia entre ambas determina las horas de prueba de control que el equipo presupuesta.
Hay un segundo problema, menos visible. El monitoreo continuo no documentado es la causa más frecuente de que un auditor sobrevalore los controles de entidad y luego se quede corto en pruebas sustantivas al cierre, porque el coste de exigir documentación adecuada al cliente es bajo, pero los socios no presionan a la entidad para que la cree, ya que documentarla traslada trabajo a verificarla y nadie quiere asumir esa carga en un presupuesto ya ajustado.
Términos relacionados
- Evaluación separada del control interno: La revisión periódica formal de la efectividad de los controles, distinta del monitoreo continuo integrado en operaciones. - Procedimientos analíticos: Procedimientos de auditoría comparativos que pueden formar parte del monitoreo continuo cuando la entidad los usa como control operativo. - Deficiencia de control interno: La clasificación de una debilidad de control que el monitoreo continuo está diseñado para identificar y remediar. - Control determinante: Un control de alto riesgo que típicamente requiere tanto monitoreo continuo documentado como evaluación separada. - Efectividad operativa de controles: Lo que el monitoreo continuo busca demostrar al auditor. - NIA-ES 315: Identificación y valoración de riesgos: La norma que exige la comprensión del monitoreo continuo de la entidad.
---