Cómo funciona
El análisis de causa raíz responde a la pregunta: ¿cuál es el problema central que generó este síntoma? Por ejemplo, si el balance no concilia al cierre, la síntoma es una diferencia en los números. La causa raíz podría ser que la entidad no procesó una factura de ajuste, o que los registros de dos sistemas no se sincronizaban automáticamente, o que el personal de tesorería no tenía tiempo suficiente para completar la conciliación antes del cierre.
La ISA 220.20 establece que el socio de auditoría debe estar seguro de que se han seguido procedimientos apropiados de control de calidad en todos los asuntos significativos. Esto incluye no solo detectar que algo está mal, sino entender por qué. Una auditoría de calidad requiere investigación disciplinada de las deficiencias, no su enumeración.
El análisis efectivo de causa raíz en auditoría sigue este patrón: (a) describir el hallazgo con precisión, (b) buscar el factor o factores que lo causaron, (c) evaluar si ese factor afecta a otras áreas del expediente, (d) documentar la conclusión y las implicaciones. Sin este enfoque, la auditoría puede reportar 20 hallazgos cuando en realidad hay 3 causas raíz subyacentes comunes a todos ellos.
Ejemplo práctico: Estudio de Caso Cía. Textil Vallejana S.L.
Cliente: Fabricante español de textiles técnicos, con sede en Alcalá de Guadaíra (Sevilla). Ingresos FY2024: €18,6 millones. Reporta bajo PGC (Plan General de Contabilidad).
Hallazgo identificado: Durante las pruebas de existencia de inventario, el equipo de auditoría encontró un lote de tela cruda con cantidad registrada de 8.400 metros, pero en el almacén solo existían 5.100 metros. Diferencia: 3.300 metros, importe: €47.520.
Síntoma: Sobrestimación de inventario.
Análisis de causa raíz, paso a paso:
Paso 1: Ubicar el error en el sistema de registros
El auditor verificó cuándo y cómo se contabilizó el lote. El material ingresó en el sistema contable el 15 de octubre. Documentación: Se consultó el albarán de entrada de proveedores y el asiento manual de reversión.
Paso 2: Rastrear la entrada inicial
Se encontró que en el parte de entrada del almacén estaba registrado: "Lote 447, entrada: 8.400 metros, proveedor: Fibras Textiles Internacionales." Pero en noviembre se había efectuado una devolución parcial (3.300 metros) que nunca fue registrada en contabilidad. Documentación: Se localizó el albarán de devolución firmado, pero no había memo de reversión contable.
Paso 3: Investigar por qué no se procesó la reversión
Entrevista con el responsable de almacén: la devolución se gestionó porque el material llegó dañado por humedad. El almacén informó al departamento de compras, pero no se creó un flujo de comunicación formalmente documentado entre almacén y contabilidad. El proveedor aceptó la devolución verbalmente, y el almacén actuó, pero contabilidad no fue notificada. Documentación: se verificó que no existía un registro de despacho de devolución en el sistema de gestión de almacén; todo fue comunicado por correo electrónico no archivado en expediente de compras.
Paso 4: Evaluar si esta causa afecta a otras áreas
El auditor ejecutó una prueba adicional: verificó todas las devoluciones de los últimos tres ejercicios. Encontró 11 devoluciones más que no fueron contabilizadas. Importe total: €94.280. Documentación: Se creó un resumen analítico de todas las devoluciones sin contabilizar, fechadas y vinculadas a álabaes de devolución en almacén.
Paso 5: Conclusión y recomendación
La causa raíz no fue "error de inventario." Fue "ausencia de un procedimiento de notificación de devoluciones entre almacén y contabilidad." El auditor:
Conclusión: Sin análisis de causa raíz, el auditor habría reportado un error de inventario aislado de €47.520. Con análisis de causa raíz, el auditor identificó una deficiencia del control interno que afectaba a €94.280 de transacciones, cuyo origen era un procedimiento ausente, y cuya recomendación era ahora procesable.
- Ajustó el balance por €94.280
- Documentó que el defecto de control es crítico (no hay segregación de funciones ni flujo de información formal)
- Recomendó a la entidad: implementar un flujo de solicitud formal de devolución que requiera firma del responsable de compras antes de que almacén proceda
- Evaluó si esto afecta a cuentas por pagar (¿se está reconociendo el crédito del proveedor correctamente?) e identificó una segunda línea de deficiencia en el pasivo
Lo que reguladores y auditores diagnostican mal
- Confundir síntoma con causa raíz. Un auditor identifica que falta documentación de una aprobación y reporta "falta de aprobación." La causa raíz podría ser que el sistema no fue configurado para obligar la aprobación, o que el responsable no sabía que debía aprobar, o que existía una excepción temporal nunca documentada. Señalar solo la falta de aprobación no permite que la entidad impida que vuelva a ocurrir. La ISA 220.A5 requiere evaluación de si el defecto es aislado o sistémico.
- Realizar auditoría de conclusión, no de investigación. Algunos equipos de auditoría documentan "el procedimiento de inventario fue deficiente" sin investigar qué específicamente fue deficiente (¿la física? ¿el corte? ¿la evaluación? ¿la segregación de funciones?). Esto cumple literalmente con ISA 220, pero no proporciona información útil para el cliente o para el regulador que revisa el trabajo.
- No escalar hallazgos aparentemente aislados a deficiencias sistémicas. Los inspectores del ICAC y la FRC frecuentemente encuentran auditorías que documentan 15 ajustes de inventario sin investigar si hay una causa raíz común. Si todos los 15 errores ocurrieron porque la entidad no cuenta inventario en sitios remotos, el hallazgo es que el procedimiento de inventario es inefectivo en esos sitios, no que hay 15 errores aislados.
Análisis de causa raíz vs. Hallazgo aislado
| Aspecto | Hallazgo aislado | Análisis de causa raíz |
|---|---|---|
| Qué describes | El error observado | Por qué ocurrió el error |
| Alcance de la recomendación | Específico al error | Aplicable a la clase de transacciones |
| Implicación para la auditoría | Ajuste contable + fin del tema | Evaluación de si el defecto de control es general |
| Valor para el cliente | Bajo (no evita que se repita) | Alto (el cliente sabe qué arreglar) |
| Exigencia regulatoria | ISA 220.20 (control de calidad) | ISA 220.20 + ISA 265 (comunicación de deficiencias) |
Cuándo el análisis de causa raíz es crítico en el expediente
El auditor debe investigar causa raíz en estos escenarios:
- Hallazgos de control interno: Si existe una excepción al control, no basta documentar que ocurrió. Investiga si fue un evento aislado (la persona responsable estaba enferma ese día) o un fallo sistémico del diseño (el control nunca funcionó).
- Errores de corte (transacciones posteriores al cierre registradas en período): Antes de ajustar, investiga si la entidad no entiende las reglas de corte, si no tuvo tiempo para procesar transacciones antes del cierre, o si existe un defecto en el sistema de información. La recomendación es diferente en cada caso.
- Conciliaciones sin cuadre: No registres un ajuste por la diferencia. Investiga por qué existe. ¿Se trata de un error de encuadre entre dos sistemas? ¿De un procesamiento duplicado? ¿De una transacción no registrada en uno de los sistemas? La ISA 240.A2 requiere considerar si hay riesgo de fraude; el análisis de causa raíz es tu defensa.
- Excepciones en muestras de pruebas: Si una muestra de 30 pólizas producida 2 excepciones de falta de aprobación, investigas si estas 2 ocurrieron en un período específico (cuando la persona responsable estaba ausente) o si representan un defecto general del control.
Relacionados
---
- Deficiencia de control interno: la clasificación formal de un fallo identificado
- ISA 220 Revised 2024: norma que exige los procedimientos de control de calidad donde el análisis de causa raíz es obligatorio
- Procedimientos analíticos: herramienta que a menudo se usa para identificar síntomas (como inversiones anormales de ratios) cuya causa raíz luego se investiga
- Riesgo de incorrección material: el contexto en el cual el auditor decide si un hallazgo individual apunta a un riesgo sistémico
- Comunicación de deficiencias de control: cómo se reportan formalmente los hallazgos de causa raíz al cliente
- Pruebas de detalle: procedimiento que genera hallazgos cuya causa raíz debe investigarse