Seguridad razonable

Cómo funciona

La NIA-ES 200.13 define la seguridad razonable como el nivel de certeza alcanzado cuando el auditor ha obtenido evidencia suficiente y adecuada para reducir el riesgo de auditoría a un nivel aceptablemente bajo. Aceptablemente bajo, no cero. La diferencia importa: por lo que conozco, una parte de los hallazgos en inspección viene de auditores que documentan como si hubieran eliminado el riesgo cuando lo que hicieron, en realidad, fue gestionarlo.

En la práctica, alcanzar seguridad razonable es una secuencia: fijar materialidad y materialidad de ejecución (NIA-ES 320), identificar los riesgos significativos del encargo (NIA-ES 315), diseñar respuestas que ataquen esos riesgos a nivel de aseveración (NIA-ES 330), ejecutar pruebas de controles cuando aporta, ejecutar pruebas sustantivas siempre, y evaluar la suficiencia y adecuación de la evidencia obtenida antes de cerrar (NIA-ES 500). Cada paso deja rastro en el papel; sin ese rastro, la afirmación de "se obtuvo seguridad razonable" es retórica.

¿Por qué razonable y no absoluta? Porque una auditoría del 100% sería imposible y, sobre todo, contraproducente. La materialidad existe precisamente para concentrar el esfuerzo donde un error podría cambiar la decisión del usuario de las cuentas. Auditar el saldo de "Otras inmovilizaciones materiales" con la misma intensidad que el saldo de ingresos es un mal uso del tiempo y una señal, también, de que el equipo no diferencia lo importante de lo accesorio.

Lo que dice la norma frente a lo que pasa

La NIA-ES 200.A2 admite explícitamente que existe riesgo residual. Lo que ocurre realmente en muchos despachos es que la conclusión final del expediente se redacta como si todo riesgo se hubiera eliminado: "se ha obtenido seguridad razonable de que las cuentas anuales están libres de incorrecciones materiales." Bien. Pero si los papeles documentan que la muestra de ingresos era de 25 elementos, que tres tenían excepciones, y que el auditor concluyó "no significativo" sin hacer la cuantificación que pide la NIA-ES 530.13, ese "se ha obtenido" es un trámite. La diferencia entre seguridad razonable bien lograda y seguridad razonable solo afirmada vive en cinco o seis decisiones de evidencia que el revisor de calidad debe poder reconstruir.

Ejemplo práctico: Martínez & Asociados Distribución S.L.

Cliente: distribuidora de productos de consumo con sede en Valencia. Ingresos 2024: 18,7 M€. Reporta bajo PGC. Auditor: socio firmante, un sénior y dos junior; encargo no EIP.

Paso 1. Materialidad y riesgo aceptable El equipo determina materialidad de 420.000 € (aproximadamente el 2,2% de ingresos) conforme a la NIA-ES 320.A5, y materialidad de ejecución de 280.000 €. El riesgo de auditoría aceptable se fija implícitamente al firmar la metodología: se admite el 5% como nivel asumible de error en la opinión.

Nota de documentación: PT 1.1. Memorando de planificación. Justificación de materialidad: 2,2% de ingresos por estabilidad relativa del margen y por uso primario por entidades financieras (estado de tesorería). Materialidad de ejecución del 67% de la materialidad por riesgo de control evaluado como medio.

Paso 2. Identificación de riesgos significativos Bajo NIA-ES 315.27R, el equipo identifica el reconocimiento de ingresos como riesgo significativo. Razones: volumen de transacciones, presencia de descuentos por volumen aplicados retroactivamente al cierre del trimestre, y una experiencia previa donde el auditor anterior identificó cut-off problemático en 2022.

Nota de documentación: PT 1.2. Matriz de riesgos. Reconocimiento de ingresos marcado como riesgo significativo, aseveraciones afectadas: ocurrencia, exactitud y corte (cut-off).

Paso 3. Diseño de procedimientos Para ingresos, el equipo combina prueba de controles (validación de pedidos, segregación de funciones entre facturación y cobro) con pruebas sustantivas: prueba de detalle sobre 60 elementos (40 dirigidos a transacciones cercanas al cierre, 20 estadísticos), procedimientos analíticos sobre margen bruto mensual, y prueba de cut-off bidireccional con cinco días de margen.

Paso 4. Donde se complica En la prueba de cut-off, el junior detecta tres facturas de diciembre con albaranes de entrega con fecha de enero. El sénior revisa: los productos salieron del almacén en enero, pero se facturaron en diciembre por presión comercial para alcanzar el objetivo del trimestre. Importe agregado: 168.000 €. Por debajo de la materialidad de ejecución de 280.000 €, pero por encima del umbral de incorrecciones triviales (4.200 €). El auditor agrega esta incorrección a la lista de incorrecciones acumuladas (NIA-ES 450.5) y, al cierre, llega a un total de 312.000 €. Por debajo de la materialidad de 420.000 €, pero ya en zona de discusión: ¿se solicita ajuste a la dirección?

El socio firmante decide solicitar el ajuste. La dirección lo registra. Las cuentas se reformulan antes de la formulación. Nota de documentación: PT 7.4. Resumen de incorrecciones acumuladas; PT 7.5. Carta de manifestaciones revisada; ajuste contable propuesto y aceptado.

Paso 5. Conclusión Al cierre, el equipo evalúa la suficiencia y adecuación de la evidencia (NIA-ES 500.6). La conclusión documentada es específica: "se ha obtenido evidencia suficiente y adecuada de que el saldo de ingresos, tras el ajuste de cut-off de 168.000 €, está libre de incorrecciones materiales." No se afirma haber eliminado el riesgo: se afirma haberlo reducido.

Conclusión Opinión sin salvedades emitida en marzo de 2025. La trazabilidad permite a un revisor externo reconstruir cómo se llegó a la opinión: materialidad justificada, riesgo significativo identificado, respuesta diseñada, excepción detectada, ajuste solicitado y aceptado, evaluación de suficiencia documentada. Esto es lo que la NIA-ES 200.13 quiere decir con seguridad razonable: no afirmarla, sino dejar el rastro.

Lo que se les escapa a revisores y profesionales

Confundir seguridad razonable con certeza absoluta. El auditor que documenta como si hubiera eliminado todo riesgo está, en la práctica, ocultando el juicio profesional que ejerció. La NIA-ES 200.A2 reconoce el riesgo residual; pretender que no existe debilita la propia opinión. Lo que el ICAC y la inspección internacional miran no es la afirmación final, es la evaluación del riesgo aceptado: si la materialidad de ejecución está justificada, si el muestreo es proporcionado al riesgo, si las excepciones se cuantificaron y se trataron.

Aplicar un programa estándar sin ajustarlo al riesgo identificado. La NIA-ES 315.31 obliga a responder a los riesgos significativos con procedimientos diseñados específicamente. En la práctica, muchos equipos heredan el programa del año anterior, le cambian la fecha y lo aplican. Si el cliente cambió de proveedor de ERP en marzo, los controles del año pasado no son los de este año, pero el programa sigue siendo el mismo. Esa es una de las maneras de reducir, sin saberlo, el nivel real de seguridad alcanzado por debajo del que el informe afirma. Es marcar la casilla en su versión más sutil.

Documentar conclusiones que la evidencia no sostiene. El hallazgo recurrente. Los papeles dicen "se ha obtenido seguridad razonable" pero no muestran la cadena: ¿cuánta muestra?, ¿qué excepciones?, ¿qué hizo el auditor con esas excepciones?, ¿se cuantificaron en la lista del NIA-ES 450? Cuando esa cadena no está, la opinión queda apoyada solo en la firma. Vaya por delante que esto no es un defecto de diligencia individual: es, casi siempre, un defecto de tiempo. Cuando la planificación se solapa con la ejecución y el cierre llega antes de cerrar la documentación, los papeles flojos son la consecuencia.

Seguridad razonable vs. seguridad limitada

La distinción importa cuando el usuario del informe necesita un nivel de certeza concreto. Una entidad obligada por la LAC a someterse a auditoría no puede sustituirla por una revisión limitada por mucho que el coste sea inferior: el nivel de seguridad que la ley pide al usuario de las cuentas anuales (acreedores, socios minoritarios, fisco) no se alcanza con consulta y analítico.

Lo que detectan los inspectores como flojo

Alcance desproporcionado al riesgo. El equipo invierte horas en tesorería y gastos administrativos (riesgo bajo) y reduce muestreo en ingresos y existencias (riesgo significativo). El nivel real de seguridad alcanzado queda por debajo del que el informe afirma. La NIA-ES 330.7 obliga a lo contrario: a más riesgo, más extensión y profundidad de prueba.

Muestreo sin justificación documentada. La NIA-ES 530.7 pide determinar el tamaño de muestra a partir de riesgo de muestreo, error tolerable y error esperado. En la práctica, muchos equipos seleccionan tamaños "estándar" (25 o 30 elementos) sin documentar el cálculo. Cuando aparece una excepción, no hay marco para evaluar si la muestra era representativa, así que la conclusión sobre la población se sostiene sobre una asunción que no se hizo explícita.

Excepciones no cuantificadas y no acumuladas. La NIA-ES 450 pide acumular las incorrecciones identificadas y compararlas con la materialidad antes de formar la opinión. Donde esto se descuida, la opinión termina firmada con el equivalente a un saldo deudor que nadie ha sumado: las pequeñas excepciones que individualmente no eran materiales pueden, al agregarse, atravesar el umbral.

Términos relacionados

- Importancia relativa. Umbral cuantitativo y cualitativo que define qué error es lo suficientemente grande para afectar a la opinión. - Riesgo de auditoría. Combinación de riesgo inherente, riesgo de control y riesgo de detección que el auditor evalúa al planificar. - Seguridad limitada. Nivel de certeza más bajo que se entrega en encargos de revisión bajo la NIA-ES 2400. - Opinión de auditoría. Conclusión formal que comunica al lector el nivel de seguridad obtenido. - Aseveraciones. Categorías (ocurrencia, integridad, exactitud, corte, presentación) que el auditor evalúa en cada saldo. - Procedimientos sustantivos. Pruebas de detalle y procedimientos analíticos que detectan incorrecciones materiales.

---