Cómo funciona
Una respuesta de calidad comienza con la identificación de un riesgo. El estándar ISQM 1.32 requiere que la firma identifique los riesgos que pudieran afectar el logro de los objetivos de calidad. Ese riesgo es documentado. Luego, la firma diseña e implementa una respuesta, que es el conjunto de acciones que mitiga ese riesgo.
La estructura es simple en teoría, compleja en la práctica. ISQM 1.33 distingue entre dos tipos de respuestas: respuestas de diseño (procedimientos establecidos en el manual de calidad) y respuestas de aplicación (cómo se ejecutan esos procedimientos en los encargos). Una respuesta de calidad efectiva requiere que ambas sean consistentes. Un director técnico que escribe un procedimiento de revisión de cálculos de materialidad ha respondido al riesgo a nivel de diseño. Si los socios no aplican ese procedimiento en los encargos, la respuesta no existe en la práctica, y ISQM 1 la considera inefectiva.
ISQM 1.34 detalla los componentes de una respuesta de calidad: descripción del riesgo, evaluación de su importancia relativa, descripción de la respuesta, designación de responsabilidades, y determinación de cómo se evaluará la efectividad. Sin estos cinco componentes documentados, los inspectores de auditoría consideran la respuesta incompleta.
Ejemplo práctico: Talleres Mediterráneos S.L.
Cliente: Firma de auditoría independiente, Valencia, España. 15 socios, 120 colaboradores, ingresos de facturación 3,8 millones de euros. Audita empresas de manufactura y logística entre 8 y 150 millones de euros.
Riesgo identificado: Los socios observan que los encargos de auditoría de entidades medianas (entre 30 y 80 millones de euros de ingresos) frecuentemente incluyen evaluaciones de provisiones por litigio sin suficiente evidencia de auditoría. Asignación de horas insuficiente a procedimientos sobre estimaciones contables.
Nota de documentación: Se registra en el Registro de Riesgos de Calidad, identificador CR-2024-07-PROV, evaluación de riesgo: mediano-alto (riesgo de aseveración material, impacto en opinión de auditoría).
Paso 1: Diseño de la respuesta
La firma decide que todo encargo de auditoría donde las provisiones por litigio superen el 5 por ciento del resultado neto debe incluir:
Nota de documentación: Se añade a la Manual de Control de Calidad, sección 6.4.2. Se asigna al Director Técnico la responsabilidad de aplicación en cada encargo.
Paso 2: aplicación
Se programa una capacitación de 90 minutos en junio de 2024 para los 18 auditores que participan en encargos de entidades medianas. Se describe el riesgo, se distribuye la respuesta, se indican las excepciones (ninguna sin aprobación escrita del socio responsable).
Nota de documentación: Registro de asistencia a capacitación. Cada auditor firma que ha comprendido el requisito.
Paso 3: Control de aplicación
En octubre de 2024, se realizó revisión de 8 encargos cerrados en el semestre donde la respuesta debería haber sido aplicada. Resultado: 6 de 8 incluían las revisiones de correspondencia legal y la aprobación del socio. 2 de 8 no registraban tiempo suficiente en provisiones, lo que se determinó durante la revisión y se corrigió antes de la firma.
Nota de documentación: Resultado de revisión anotado en matriz de monitoreo ISQM 1, trimestre III 2024. Deficiencia menor identificada y resuelta.
Conclusión: La respuesta de calidad existe cuando la firma documenta el riesgo, describe cómo lo mitiga a nivel de procedimiento, verifica que los auditores implementen el procedimiento, y evalúa si la aplicación fue efectiva. Sin cualquiera de estos pasos, ISQM 1 considera la respuesta ausente o inefectiva, independientemente de si está escrita en el manual.
- Revisión obligatoria de correspondencia con asesores legales (ISQM 1.37 requiere que las respuestas sean "diseñadas e implementadas")
- Tiempo presupuestado mínimo de 12 horas en procedimientos analíticos y de detalle
- Aprobación del socio antes de la firma del informe
Qué revisores y practicantes entienden mal
- Confundir documento con ejecución. Un procedimiento escrito en el manual de calidad sin evidencia de que se aplicó en los encargos no es una respuesta de calidad. ISQM 1.36 requiere que las respuestas de diseño se implementen de verdad. Inspecciones del ICAC han identificado en 2023 firmas que contaban con procedimientos de revisión de estimaciones documentados pero no registraban ninguna revisión realizada en los papeles de trabajo.
- Omitir la documentación de responsabilidades y métricas de efectividad. ISQM 1.34 lista cinco componentes requeridos. Las firmas con frecuencia documentan cuatro y olvidan quién es responsable de ejecutar la respuesta o cómo se evaluará si funcionó. Sin estos detalles, la respuesta es incompleta de acuerdo con el estándar.
- Ignorar que el riesgo evoluciona. Una respuesta de calidad que fue efectiva en 2023 puede no serlo en 2024 si el portafolio de clientes cambió, las normas se revisaron, o los procedimientos de trabajo se actualizaron. ISQM 1.38 exige que la firma evalúe periódicamente si las respuestas continúan siendo apropiadas. Muchas firmas documentan respuestas una sola vez y luego las ignoran.
Respuesta de diseño vs. respuesta de aplicación
Una respuesta de diseño es el procedimiento tal como aparece en el manual de calidad o la política escrita de la firma. Una respuesta de aplicación es cómo ese procedimiento se ejecuta en los encargos. ISQM 1 exige que ambas sean consistentes. Una firma puede tener una respuesta de diseño excelente pero una aplicación pobre. Por ejemplo:
Respuesta de diseño: "Todo encargo por encima de 10 millones de euros debe contar con revisión de riesgo de fraude por el equipo de riesgos."
Respuesta de aplicación deficiente: El procedimiento existe pero los papeles de trabajo no registran cuándo se realizó, quién lo hizo, o cuál fue el resultado. No hay evidencia de que la respuesta se aplicó de verdad.
Respuesta de aplicación efectiva: Existe un formulario de revisión de riesgos de fraude que se completa, se archiva en el expediente, y se revisa durante la supervisión de calidad. La evidencia de aplicación está disponible.
Términos relacionados
---
- Evaluación del riesgo de control de calidad: la identificación del riesgo es el primer paso; la respuesta es la acción que sigue.
- Monitoreo de control de calidad: después de implementar una respuesta, la firma debe verificar que fue efectiva.
- ISQM 1: el marco completo de control de calidad que requiere que las respuestas estén diseñadas e implementadas.
- Revisión de control de calidad en el encargo: un tipo específico de respuesta a riesgos en encargos individuales.
- Deficiencia de control de calidad: cuando una respuesta no se implementó o fue inefectiva.
- Objetivos de calidad: las metas que las respuestas de calidad pretenden lograr.
Etiquetas de Interfaz
- `qualityResponsesDefinition`: Respuesta de calidad
- `designedResponse`: Respuesta de diseño
- `implementedResponse`: Respuesta de aplicación
- `riskIdentification`: Identificación del riesgo
- `responseDocumentation`: Documentación de la respuesta
- `effectivenessMonitoring`: Monitoreo de efectividad
- `complianceVerification`: Verificación de cumplimiento
- `qualityControl`: Control de calidad
- `isqmStandard`: ISQM 1
- `auditFirm`: Firma de auditoría
- `riskMitigation`: Mitigación del riesgo
- `designComponent`: Componente de diseño
- `implementationComponent`: Componente de aplicación
- `relatedGlossaryLink`: Términos relacionados