Análisis de Causa Raíz en Calidad de Auditoría

Cómo funciona

Lo que veo en los encargos que llevo es lo siguiente: el equipo detecta una diferencia de inventario, la documenta, ajusta y cierra el papel de trabajo. Marcar la casilla. Fin. Nadie ha preguntado por qué la diferencia existe, si afecta a otras pruebas, ni si el control que falló está fallando también en cuentas a cobrar. Esa secuencia, repetida en quince áreas, es el material con el que el ICAC redacta sus cartas.

La NIA-ES 220.20 exige que el socio del encargo concluya, antes de emitir el informe, que se han seguido procedimientos apropiados de control de calidad en todos los asuntos significativos. En la práctica, eso significa que si tiene 22 ajustes propuestos en inventario y no ha mirado el patrón, su conclusión no está soportada (da igual lo que firme el socio: el regulador va a leer los papeles, no la firma).

Aquí es donde vive la zona gris. La norma no le dice cuándo un hallazgo es aislado y cuándo es sistémico. Esa es una decisión del auditor. Por lo que conozco, el criterio que sostiene una revisión es algo así: si encuentra el mismo tipo de error en dos muestras independientes o en dos áreas distintas del mismo cliente, ya no es aislado. Pero no lo va a leer así en ninguna NIA-ES. Lo que realmente ocurre es que el auditor decide bajo presión de campaña, y "sacar adelante con lo que hay" pesa más que escalar el hallazgo.

El análisis efectivo de causa raíz responde, entonces, a una pregunta distinta de la de los papeles de trabajo habituales: ¿cuál es el problema central que generó este síntoma? Si el balance no concilia al cierre, el síntoma es una diferencia en los números. La causa raíz puede ser que la entidad no procesó una factura de ajuste, que los registros de dos sistemas no se sincronizaban, o que el personal de tesorería no tenía tiempo material para completar la conciliación antes del cierre. Tres causas, tres recomendaciones distintas. Y el papel que dice "diferencia de €12.400, ajustada" no distingue entre las tres.

El patrón razonable es: (a) describir el hallazgo con precisión, (b) buscar el factor o factores que lo causaron, (c) evaluar si ese factor afecta a otras áreas del expediente, (d) documentar la conclusión y las implicaciones. Sin este recorrido, una auditoría puede reportar 20 hallazgos cuando hay 3 causas raíz comunes a todos ellos, y eso es exactamente lo que el inspector va a marcar en rojo.

Ejemplo práctico: Estudio de Caso Cía. Textil Vallejana S.L.

Cliente: Fabricante español de textiles técnicos, con sede en Alcalá de Guadaíra (Sevilla). Ingresos FY2024: €18,6 millones. Reporta bajo PGC (Plan General de Contabilidad).

Hallazgo identificado: Durante las pruebas de existencia de inventario, el equipo de auditoría encontró un lote de tela cruda con cantidad registrada de 8.400 metros, pero en el almacén solo existían 5.100 metros. Diferencia: 3.300 metros, importe: €47.520.

Síntoma: Sobrestimación de inventario.

Análisis de causa raíz, paso a paso:

Paso 1: Ubicar el error en el sistema de registros El auditor verificó cuándo y cómo se contabilizó el lote. El material ingresó en el sistema contable el 15 de octubre. Documentación: Se consultó el albarán de entrada de proveedores y el asiento manual de reversión.

Paso 2: Rastrear la entrada inicial Se encontró que en el parte de entrada del almacén estaba registrado: "Lote 447, entrada: 8.400 metros, proveedor: Fibras Textiles Internacionales." En noviembre se había efectuado una devolución parcial (3.300 metros) que nunca fue registrada en contabilidad. Documentación: Se localizó el albarán de devolución firmado, pero no había memo de reversión contable.

Paso 3: Investigar por qué no se procesó la reversión (donde se complica) Entrevista con el responsable de almacén. Aquí dejó de ser un papel limpio. El responsable contestó con evasivas: primero dijo que la devolución la había gestionado un encargado anterior, luego que el correo "se debió perder", luego que él avisó a contabilidad pero no se acordaba a quién. Tres versiones en quince minutos. El auditor consideró si estaba ante una ocultación intencional (lo que activaría la NIA-ES 240) o ante mala gestión documental.

Se decidió por una segunda prueba antes de escalar: pidió los correos del responsable durante noviembre, pidió hablar con el director de compras sin presencia del responsable de almacén, y revisó si el patrón aparecía en otras devoluciones. La conversación con compras fue limpia y consistente: nunca recibieron notificación. El patrón en otras devoluciones (paso 4) confirmó que el problema era estructural, no individual. La conclusión del auditor: no hay evidencia de fraude, sí hay un control ausente y un responsable que no quiere reconocerlo. Se documentó la duda inicial y por qué se descartó. Eso es lo que la NIA-ES 230.8 considera evidencia de juicio profesional aplicado.

Documentación: se verificó que no existía un registro de despacho de devolución en el sistema de gestión de almacén; todo fue comunicado por correo electrónico no archivado en expediente de compras. Se incluyó memo de las tres versiones del responsable y la base para descartar fraude.

Paso 4: Evaluar si esta causa afecta a otras áreas El auditor ejecutó una prueba adicional: verificó todas las devoluciones de los últimos tres ejercicios. Encontró 11 devoluciones más que no fueron contabilizadas. Importe total: €94.280. Documentación: Se creó un resumen analítico de todas las devoluciones sin contabilizar, fechadas y vinculadas a albaranes de devolución en almacén.

Paso 5: Conclusión y recomendación La causa raíz no fue "error de inventario." Fue "ausencia de un procedimiento de notificación de devoluciones entre almacén y contabilidad." El auditor: - Ajustó el balance por €94.280 - Documentó que el defecto de control es severo (no hay segregación de funciones ni flujo de información formal) - Recomendó a la entidad establecer un flujo de solicitud formal de devolución que requiera firma del responsable de compras antes de que almacén proceda - Evaluó si esto afecta a cuentas por pagar (¿se está reconociendo el crédito del proveedor correctamente?) e identificó una segunda línea de deficiencia en el pasivo

Conclusión: Sin análisis de causa raíz, el auditor habría reportado un error de inventario aislado de €47.520. Con análisis de causa raíz, el auditor identificó una deficiencia del control interno que afectaba a €94.280 de transacciones, cuyo origen era un procedimiento ausente, y cuya recomendación era ahora procesable. Y, sobre todo, dejó documentado el momento en que estuvo cerca de escalar a fraude y por qué no lo hizo. Eso es lo que el inspector quiere ver.

Lo que reguladores y auditores diagnostican mal

- Confundir síntoma con causa raíz. Un auditor identifica que falta documentación de una aprobación y reporta "falta de aprobación." La causa raíz puede ser que el sistema no fue configurado para obligar la aprobación, que el responsable no sabía que debía aprobar, o que existía una excepción temporal nunca documentada. Señalar solo la falta de aprobación no permite que la entidad impida que vuelva a ocurrir. La NIA-ES 220.A5 requiere evaluación de si el defecto es aislado o sistémico. En la práctica, eso significa que si el auditor escribe "Sr. Martínez no aprobó la factura 2024-1187 de Suministros Berga por €18.300", el papel está flojo: no ha contestado por qué no aprobó.

- Realizar auditoría de conclusión, no de investigación. Algunos equipos documentan "el procedimiento de inventario fue deficiente" sin investigar qué fue específicamente deficiente (¿la física? ¿el corte? ¿la valoración? ¿la segregación de funciones?). Esto cumple literalmente con NIA-ES 220, pero no aporta información útil ni para la entidad ni para el inspector que revisa el trabajo. Yo creo que el ICAC saca tantos hallazgos repetidos en revisiones de control de calidad porque las firmas pequeñas confunden RCA con aplicar la lupa al error concreto, cuando lo que toca es subir el zoom y mirar el patrón.

- No escalar hallazgos aparentemente aislados a deficiencias sistémicas. Los inspectores del ICAC encuentran con frecuencia auditorías que documentan 15 ajustes de inventario sin investigar si hay una causa raíz común. Si los 15 errores ocurrieron porque la entidad no cuenta inventario en sitios remotos, el hallazgo es que el procedimiento de inventario es inefectivo en esos sitios, y no que hay 15 errores aislados. Lo que realmente ocurre es que documentar 15 ajustes individuales tarda tres horas; analizar el patrón y reescribir la conclusión tarda dos días. El socio necesita el cliente, la campaña aprieta, y el papel sale como sale.

Donde dos profesionales razonables discrepan

Hay un debate que no se resuelve en las normas y que conviene tener claro antes de entrar en una revisión.

Posición A (firmas medianas y pequeñas): El RCA debe documentarse formalmente con metodología "5 porqués" o equivalente, dejando rastro explícito de cada nivel de profundización. El argumento: la NIA-ES 230 exige documentación suficiente para que un auditor experimentado entienda el trabajo realizado, y un inspector del ICAC no puede leer la mente del socio. Si no está escrito, no existe.

Posición B (firmas grandes y socios con experiencia internacional): El "5 porqués" mecánico es teatro de papeles. El RCA real es una conversación con el equipo del cliente y con el equipo del encargo, y se documenta solo el resultado (la causa raíz identificada y por qué se descartaron alternativas). El argumento: documentar cada porqué genera papeles que el inspector lee como "fue un trámite", porque parecen rellenados a posteriori. Mejor un memo corto y razonado que un árbol de cinco niveles que nadie cree.

¿Cuál es más defendible? Desde mi experiencia, la Posición B aguanta mejor una revisión del ICAC cuando el memo está bien escrito, porque demuestra juicio. Pero la Posición A protege más al manager joven que aún no tiene la mano para escribir un memo de juicio en tres párrafos. La elección depende del nivel del equipo, no de la sofisticación de la firma. Y si el equipo es mixto (lo habitual), conviene la A.

Análisis de causa raíz vs. Hallazgo aislado

Cuándo el análisis de causa raíz es crítico en el expediente

Hay que investigar causa raíz en estos escenarios:

1. Hallazgos de control interno. Si existe una excepción al control, no basta documentar que ocurrió. Investigue si fue un evento aislado (la persona responsable estaba enferma ese día) o un fallo sistémico del diseño (el control nunca funcionó). Lo que veo en los encargos que llevo es que el 70% de las "excepciones aisladas" no son aisladas; son la primera que el equipo ha mirado.

2. Errores de corte (transacciones posteriores al cierre registradas en período). Antes de ajustar, investigue si la entidad no entiende las reglas de corte, si no tuvo tiempo material para procesar transacciones antes del cierre, o si existe un defecto en el sistema de información. La recomendación es distinta en cada caso.

3. Conciliaciones sin cuadre. No registre un ajuste por la diferencia. Investigue por qué existe. ¿Se trata de un error de encuadre entre dos sistemas? ¿De un procesamiento duplicado? ¿De una transacción no registrada en uno de los sistemas? La NIA-ES 240.A2 obliga a considerar si hay riesgo de fraude; el análisis de causa raíz es su defensa. En la práctica, eso significa que si firma un papel diciendo "diferencia neta inmaterial de €4.300, ajustada" sin investigar, y el año siguiente sale un fraude de tesorería, ese papel suyo es lo primero que el inspector va a citar.

4. Excepciones en muestras de pruebas. Si una muestra de 30 pólizas produjo 2 excepciones de falta de aprobación, investigue si las 2 ocurrieron en un período específico (cuando la persona responsable estaba ausente) o si representan un defecto general del control. Las excepciones sin RCA son bombas de relojería: el año siguiente vuelven, pero ya con el patrón consolidado.

El problema no es que las firmas no sepan hacer RCA. Es que no hay tiempo en campaña, y al final "sacar adelante con lo que hay" se traduce en documentar el síntoma y rezar para que no vuelva. Lo veo cada año, en firmas serias, con socios competentes. La presión de fechas se come el juicio profesional antes que ninguna otra cosa.

El problema estructural que conviene nombrar: la NIA-ES 220.20 exige RCA pero la NIA-ES 230 no obliga explícitamente a documentar el descarte de causas alternativas. Esa asimetría es el hueco por donde se cuela el "fue un trámite", y es también la razón por la que las inspecciones del ICAC encuentran tantos expedientes con conclusiones razonables y soporte flojo.

Relacionados

- Deficiencia de control interno: la clasificación formal de un fallo identificado - NIA-ES 220 Revisada: norma que exige los procedimientos de control de calidad donde el análisis de causa raíz es obligatorio - Procedimientos analíticos: herramienta que a menudo se usa para identificar síntomas (como inversiones anormales de ratios) cuya causa raíz luego se investiga - Riesgo de incorrección material: el contexto en el cual el auditor decide si un hallazgo individual apunta a un riesgo sistémico - Comunicación de deficiencias de control: cómo se reportan formalmente los hallazgos de causa raíz a la entidad auditada - Pruebas de detalle: procedimiento que genera hallazgos cuya causa raíz debe investigarse

---