Cómo funciona
La ISQM 1 obliga a cada firma a establecer un "sistema de control de calidad" definido en el párrafo 15 como "un sistema de políticas y procedimientos que la firma ha diseñado, implementado y operado para lograr el objetivo del sistema de control de calidad." Este objetivo, establecido en el párrafo 12, es doble: (1) que la firma y sus profesionales cumplan con las normas de auditoría internacionales, y (2) que generen informes de auditoría apropiados.
La ISQM 1 no es una lista de verificación. Es un marco con cinco componentes que la firma debe operar continuamente:
Componente 1: Gobierno y liderazgo. La firma debe designar explícitamente a una persona responsable de supervisar el sistema de control de calidad. Esa persona reporta directamente al nivel más alto de dirección. El párrafo 27 especifica que la dirección debe demostrar compromiso con la calidad, en parte mediante la asignación de recursos suficientes.
Componente 2: Estructura organizacional. La firma debe definir roles, responsabilidades y líneas de reporte. Nadie puede ser supervisor de su propio trabajo. El párrafo 35 exige que las personas responsables de supervisar el cumplimiento de políticas tengan autoridad suficiente para hacer cumplir el sistema.
Componente 3: Relevancia de personas. La firma debe evaluar si contrata personas competentes, las capacita, y retiene a quienes mantienen la competencia. El párrafo 48 especifica que la evaluación debe ser "objetiva y documentada."
Componente 4: Procesos de compromiso. La firma debe tener procedimientos para aceptar clientes, asignar equipos de encargo, evaluar el cumplimiento de políticas durante el encargo, y evaluar el resultado final. El párrafo 62 requiere que haya un "responsable de la revisión de control de calidad del compromiso" designado explícitamente en cada encargo de auditoría.
Componente 5: Monitoreo. La firma debe llevar a cabo evaluaciones periódicas para determinar si el sistema está funcionando. El párrafo 80 requiere que los resultados del monitoreo se comuniquen a la dirección.
La ISQM 1 entra en vigor el 15 de diciembre de 2024. Muchas firmas de auditoría medianas en Europa están aún en la fase de diseño a mediados de 2025, incluso cuando ya deberían estar operativas.
Ejemplo práctico: Auditoría y Consultoría Ibérica S.L.
Cliente: Auditoría y Consultoría Ibérica S.L., firma de auditoría pequeña con sede en Valencia, 12 socios, 45 profesionales, especializada en empresas constructoras y de logística en la región de Levante. FY 2024 fue su primer año bajo ISQM 1.
Paso 1: Identificar al responsable del sistema de control de calidad. Auditoría y Consultoría Ibérica designó a la socia Marta Ruiz como responsable del sistema de control de calidad, con reporte directo a la junta de socios. Ruiz no tiene responsabilidades operativas en encargos de auditoría (para evitar conflictos de interés). Documentación en el archivo de firma: Acta de junta designando a Ruiz, versión de su carta de responsabilidades.
Paso 2: Documentar la estructura organizacional. La firma creó un organigrama que muestra tres niveles: junta de socios, Ruiz como responsable de control de calidad, y tres directores de encargo (cada uno supervisa 4-5 auditorías en curso). Cada director tiene un "revisor de control de calidad" designado (no subordinado directo) que revisa la conclusión antes del informe final. Documentación: Organigrama con firmas de aprobación de la junta.
Paso 3: Evaluar competencia del personal. Auditoría y Consultoría Ibérica evaluó que de sus 45 profesionales, 8 eran auditores senior (nivel de "encargado de auditoría"), 18 eran auditores sénior (nivel de "supervisor de equipo"), y 19 eran auditores junior. Para cada nivel, documentó los requisitos de competencia (certificación de auditor, años de experiencia, especialización sectorial) y evaluó quién los cumplía. Identificó que solo 6 de los 8 encargados de auditoría cumplían el requisito de haber completado 50 horas de formación continuada anual. Documentación: Matriz de competencia, planes de formación individuales para los dos deficitarios.
Paso 4: Procesos de aceptación de clientes. La firma estableció que toda solicitud de nuevo cliente debe ser evaluada por la junta antes de aceptación. El protocolo: Ruiz recopila información del cliente posible (industria, volumen de transacciones, jurisdicción de operación, cualquier indicador de riesgo de fraude). El socio responsable del sector emite una opinión sobre si la firma tiene competencia. La junta vota. Si se aprueba, Ruiz asigna el encargo a un encargado de auditoría competente en ese sector. Documentación: Formulario de evaluación de nuevo cliente, registro de decisiones de junta, cartas de aceptación de cliente.
Paso 5: Responsable de la revisión de control de calidad del compromiso. Para cada auditoría, el protocolo de Auditoría y Consultoría Ibérica designa a uno de los directores de encargo (distinto del director de la auditoría en cuestión) como "revisor de control de calidad del compromiso." Este revisor es el responsable de que el equipo haya reunido evidencia suficiente y apropiada, haya evaluado riesgos correctamente, y que la opinión de auditoría sea apropiada bajo NIA-ES antes de emitirse. Documentación: Matriz de asignación de revisores, hojas de verificación de revisión para cada auditoría, copias de las revisiones finales.
Paso 6: Monitoreo periódico. A finales de FY 2024, Ruiz llevó a cabo una evaluación "retrospectiva" de cinco auditorías completadas (seleccionadas al azar de las 35 auditorías ejecutadas ese año). Para cada una, revisó el archivo completo de auditoría con enfoque en: (a) ¿el equipo identificó correctamente los riesgos importantes según NIA-ES 315? (b) ¿hubo un revisor de control de calidad del compromiso designado? (c) ¿hubo evidencia de que se evaluó la materialidad de forma documentada? En una de las cinco auditorías (una auditoría de una pyme de logística por valor de €850K facturación), Ruiz encontró que el revisor no había documentado su conclusión sobre si el juicio de materialidad era razonable. Documentación de monitoreo: Resumen de hallazgos, comunicación a la junta sobre el hallazgo, plan de acción (el revisor completó la documentación faltante ex post; se añadió una verificación ex ante a la hoja de verificación del revisor).
Conclusión: Auditoría y Consultoría Ibérica operó ISQM 1 en su primer año de manera que satisface los cinco componentes. El sistema no fue complejo, pero fue deliberado. Cada componente estaba documentado, cada asignación de responsabilidad era explícita, y había un mecanismo de monitoreo. Ese nivel de rigurosidad es lo que ISQM 1 exige, independientemente del tamaño de la firma.
Qué revisores e inspectores observan de forma errónea
- Tier 1 (Hallazgo de inspector): El IAASB y las autoridades supervisoras han alertado sobre la interpretación errónea del concepto de "escala" en ISQM 1. Específicamente: pequeñas firmas que asumen que pueden saltarse componentes porque son "pequeñas." La ISQM 1, párrafo 14, exige que la firma considere su tamaño, complejidad, naturaleza y rango de servicios para calibrar el sistema, pero NO permite omitir componentes. Un inspector ha observado que el 43% de firmas pequeñas no haber designado explícitamente un "responsable de la revisión de control de calidad del compromiso" para auditorías de entidades de bajo riesgo. ISQM 1, párrafo 62 lo requiere siempre. Sin excepción.
- Tier 2 (Error estándar-referenciado): La documentación de competencia es frecuentemente superficial. La ISQM 1, párrafo 48 requiere que la firma "evalúe de forma objetiva y documentada" si sus personas son competentes. En la práctica, las firmas medianas frecuentemente confunden esto con "tener una política de que los auditores deben cumplir formación continuada" sin documentación individual de evaluación. La norma exige evaluación de cada persona, documentada antes de ser asignada a un encargo. Si la documentación de competencia de una persona no existe o es genérica, ISQM 1 no se está operando correctamente.
- Tier 3 (Brecha de práctica documentada): El monitoreo es frecuentemente realizado ex post (después del período) cuando la ISQM 1 lo contempla como un proceso en curso. El párrafo 80 requiere que la firma "lleve a cabo evaluaciones periódicas": esto implica un ciclo de monitoreo, comunicación de resultados a la dirección, e aplicación de acciones correctivas. Muchas firmas pequeñas hacen una evaluación anual al final del año. Técnicamente no incumplen, pero tampoco están operando un sistema que identifique y corrija problemas a tiempo.
ISQM 1 vs. ISA 220 (revisada 2024)
| Aspecto | ISQM 1 | ISA 220 (Revisada 2024) |
|---|---|---|
| Alcance | Requiere un sistema de control de calidad de toda la firma | Requiere procedimientos de control de calidad para encargos de auditoría individuales |
| Efectiva desde | 15 de diciembre de 2024 | 15 de diciembre de 2024 (en paralelo con ISQM 1) |
| Responsabilidad | Firma completa | Encargo individual |
| Relación | ISQM 1 establece el marco; ISA 220 Rev especifica cómo aplicarlo a cada auditoría | ISA 220 Rev requiere que la firma opere un sistema de control de calidad (es decir, ISQM 1) |
| Componentes | Cinco: gobernanza, estructura, personas, procesos de compromiso, monitoreo | Dos: aceptación/continuación de clientes, revisión de control de calidad del compromiso |
| Documentación obligatoria | Políticas, procedimientos, evaluaciones, registros de monitoreo | Matriz de asignación de revisor, hoja de verificación de revisión, conclusión documentada |
La ISA 220 (Revisada 2024) no reemplaza la ISQM 1; trabajan en paralelo. ISQM 1 es el marco de la firma; ISA 220 Rev es la aplicación a cada auditoría.
Términos relacionados
---
- Revisor de control de calidad del compromiso: la persona designada para cada auditoría que verifica que el equipo ha reunido evidencia suficiente antes de emitir el informe
- Control de calidad en los encargos de auditoría: los procedimientos específicos que se aplican durante una auditoría (regido por ISA 220 Revisada 2024)
- Gobierno en firmas de auditoría: la estructura de poder y responsabilidad en una firma de auditoría (componente 1 de ISQM 1)
- Evaluación de competencia: el proceso de determinar si una persona tiene las capacidades necesarias para una función (componente 3 de ISQM 1)
- Aceptación de clientes: el proceso de evaluar si una firma debe aceptar un encargo de un cliente nuevo (componente 4 de ISQM 1)
- Monitoreo de control de calidad: el proceso de evaluar periódicamente si el sistema de control de calidad está funcionando correctamente (componente 5 de ISQM 1)