Cómo funciona
Un CUEC existe cuando el cliente mantiene un control que produce datos auditables antes de que el auditor los necesite. Por ejemplo, un gerente de almacén verifica la cuenta de inventario física contra el sistema, marca errores, y el departamento de contabilidad no registra el inventario hasta que esa verificación está completa. El auditor, en lugar de hacer un conteo físico completo de 3.000 artículos, puede:
El párrafo ISA 500.A34 subraya que esto es válido solo si el cliente ha diseñado y mantiene controles específicos para procesar los datos. No se puede usar CUEC si el cliente ejecuta un procedimiento cuando el auditor lo solicita. Debe ser un control operativo permanente.
- Evaluar si el proceso de verificación del cliente es suficientemente sólido (documentado, ejecutado cada período, con seguimiento de excepciones)
- Probar el control (elegir 20 artículos de la lista de excepciones del cliente y verificar que el cliente identificó correctamente la diferencia)
- Confiar en los datos resultantes
Ejemplo práctico: Distribuidora Mediterránea S.L.
Cliente: Distribuidora Mediterránea S.L., Barcelona, facturación 18,5 millones de euros, distribuidor de artículos de ferretería, NIIF.
Contexto: El cliente mantiene un control de conciliación mensual entre la cuenta de deudores en el mayor general y el detalle subyacente de facturas no pagadas. Un analista de crédito verifica que cada factura registrada tiene un deudor identificable, que el deudor está activo en el sistema, y que el importe coincide. Las excepciones se documentan en un informe mensual de "excepciones de conciliación."
Paso 1: Evaluación del control
El auditor obtiene los informes de excepciones de los últimos 12 meses. Confirma que:
Nota de documentación: PT 6.3.1, "Evaluación del CUEC. Deudores." Conclusión: el control está documentado, se ejecuta consistentemente, y los errores son excepcionales.
Paso 2: Prueba del control
El auditor selecciona 15 excepciones documentadas de los últimos seis meses. Para cada una:
Resultado: 15 de 15 excepciones fueron identificadas correctamente. Ningún error no detectado.
Nota de documentación: PT 6.3.2, "Prueba del CUEC. Excepciones de Deudores." Muestra de 15. Conclusión: control operativo efectivo.
Paso 3: Confianza en los datos
En lugar de hacer una confirmación de deudores del 100% o un muestreo de procedimientos sustantivos de deudores individuales, el auditor realiza:
Nota de documentación: PT 6.4, "Procedimientos sustantivos de Deudores." Explicación: CUEC evaluado y probado en PT 6.3. Los procedimientos sustantivos se dirigen a la integridad de la información de excepciones del cliente (¿captura el cliente todas las diferencias?) en lugar de al contenido de la población de deudores.
Conclusión: El auditor ha reducido de forma notable el procedimiento de deudores mediante un CUEC validado. El riesgo de auditoría se desplaza hacia "¿El cliente identificó todas las excepciones?" en lugar de "¿Toda la población de deudores es precisa?" Si el control tiene un fallo (el cliente permite deudores duplicados), ese fallo sería capturado en la prueba de excepciones.
- El control se ejecuta cada mes (observación de tres meses)
- Las excepciones se resuelven documentadamente (archivo de seguimiento)
- El responsable tiene experiencia y acceso a los sistemas correctos
- Recupera la transacción original que generó la excepción
- Verifica que el error identificado por el cliente fue correctamente identificado (p. ej., deudor duplicado, importe incorrecto)
- Confirma que la excepción fue resuelta antes del cierre
- Una conciliación de la cuenta de deudores del mayor general al balance de comprobación (verificación de aritmética)
- Una revisión analítica de la antigüedad de deudores mes a mes (verificación de cambios inesperados)
- Una prueba de una muestra de 20 deudores posteriores al cierre para cobro (procedimiento de realización)
Qué confunden revisores y auditores
- Confusión de control operativo con solicitud de auditoría: Los auditores a veces diseñan un procedimiento y piden al cliente que lo ejecute ("hagan un conteo físico para nosotros" o "verifiquen la conciliación bancaria"). Esto no es un CUEC. Un CUEC debe ser un control operativo que el cliente ya mantiene por razones de negocio (el deudor verifica la calidad porque necesita saber qué no está disponible). Si el cliente solo lo hace cuando el auditor lo pide, el auditor debe auditarlo directamente, no esperar el resultado.
- Documentación insuficiente del CUEC evaluado: El párrafo ISA 330.24 requiere que el auditor documente la evaluación del control y la conclusión sobre su eficacia. Un auditor que escribe "El cliente tiene un procedimiento de verificación y lo usamos" sin describir cómo fue evaluado (quién, cuándo, qué prueba, qué excepciones fueron encontradas) no ha cumplido con la norma.
- Saltar las pruebas del control: Un CUEC diseñado por el cliente pero nunca probado es una aseveración sin respaldo. El auditor debe seleccionar una muestra de excepciones documentadas y verificar que el cliente las identificó correctamente. Sin esto, no hay base para confiar en el control.
CUEC vs. Control de Usuario Final Manual
Aunque a veces se usan de forma intercambiable, la distinción importa:
| Aspecto | CUEC (Control de Excepción) | Control Manual de Usuario Final |
|---|---|---|
| Resultado | El cliente produce una lista de excepciones; el auditor audita la precisión de esa lista | El cliente produce un resultado final (un saldo, un total); el auditor audita el resultado |
| Auditoría requerida | Prueba del control (¿El cliente identificó excepciones?); procedimientos sustantivos limitados | Procedimientos sustantivos completos del resultado |
| Ejemplo | Sistema genera lista de deudores duplicados; cliente verifica y resuelve; auditor prueba la lista | Gerente hace recuento físico; proporciona recuento final; auditor verifica el recuento |
| ISA | ISA 330.24, ISA 500.A34 | ISA 500.A36 |
En la práctica, muchos "controles manuales de usuario final" incluyen un componente de excepción. Un gerente que verifica una conciliación e identifica diferencias está realizando tanto un control de verificación (¿coinciden los números?) como un control de excepción (¿qué diferencias no coinciden?). La distinción es menor en uso pero importante en documentación.
Documentación en papeles de trabajo
El enfoque estándar para documentar un CUEC:
PT X.X.1: Descripción del Control
Describir: (1) qué datos procesa el cliente, (2) qué está diseñado para detectar el control, (3) con qué frecuencia se ejecuta, (4) quién es responsable, (5) cómo se documentan las excepciones.
PT X.X.2: Evaluación del Diseño del Control
Concluir: (1) el control está documentado en la política de la empresa, (2) el control es apropiado para el riesgo (¿es suficientemente sensible?), (3) el control fue ejecutado durante el período.
PT X.X.3: Prueba del Control
Seleccionar una muestra de excepciones documentadas. Verificar que cada una fue identificada correctamente. Documentar la conclusión sobre la eficacia operativa.
PT X.X.4: Procedimientos Sustantivos
Describir cualquier procedimiento sustantivo adicional realizado. Si se realiza un CUEC efectivo, los procedimientos sustantivos pueden ser limitados (p. ej., revisión analítica, procedimiento de eventos posteriores, prueba de una muestra de detalles). Si el CUEC no es confiable, los procedimientos sustantivos deben ser más extensos.
Términos relacionados
---
- Control de Usuario Final: un control operativo mantenido por el usuario de negocio (no el auditor) sobre datos que el auditor necesita [/es/glossary/control-usuario-final]
- Procedimiento Analítico: una comparación de cifras contra expectativas, a menudo usado junto con un CUEC efectivo [/es/glossary/procedimientos-analíticos]
- Excepción: un elemento que no cumple con los criterios del control, capturado y documentado por el cliente [/es/glossary/excepcion]
- ISA 500: la norma que aborda la evidencia de auditoría y el uso de procedimientos de la entidad [/es/glossary/isa-500]
- ISA 330: la norma que aborda los procedimientos de respuesta al riesgo evaluado [/es/glossary/isa-330]