Riesgos de auditoría: qué son, sus tipos y cómo se controlan

El riesgo de auditoría es la posibilidad de que el auditor emita una opinión equivocada porque no detectó errores materiales en la información que revisó. Se descompone en tres: inherente, de control y de detección. Solo el último depende del auditor, y de él dependen el alcance y la cantidad de evidencia que debe obtener. ¿Cómo se evalúa cada uno y qué hacer para reducirlos?

Qué es el riesgo de auditoría.

Es el riesgo de que el auditor concluya que la información está libre de errores materiales cuando no lo está, y exprese una opinión que no corresponde.

Ese riesgo nunca llega a cero. La auditoría trabaja con muestras y ofrece seguridad razonable, de modo que lo que el auditor hace es reducirlo a un nivel aceptablemente bajo, no eliminarlo.

Por eso el análisis del riesgo no es un formalismo de la planeación: es lo que determina cuánto se revisa, con qué procedimientos y en qué momento.

• Guía de propiedad horizontal
• Guía Laboral 2026
• Liquidador de intereses propiedad horizontal

Los tres tipos de riesgo de auditoría.

El riesgo de auditoría resulta de la combinación de tres componentes, y conviene distinguirlos porque el auditor actúa sobre uno solo:

Riesgo inherente.

Es la susceptibilidad de una partida a contener un error material, con independencia de los controles existentes. Depende del tipo de negocio, del volumen y complejidad de las transacciones, del grado de estimación que exija la cifra y de la calidad del recurso humano.

Una provisión por demandas o una medición a valor razonable tienen un riesgo inherente alto, porque dependen de juicios. Un saldo bancario, en cambio, lo tiene bajo.

Riesgo de control.

Es la posibilidad de que el control interno de la entidad no prevenga ni detecte a tiempo un error material. Depende de cómo esté diseñado y de si realmente opera, como explicamos en el artículo sobre el control interno.

Si el auditor evalúa este riesgo como bajo, debe comprobarlo con pruebas de controles antes de apoyarse en ellos. Si lo evalúa como alto, no puede confiar en el control y debe ir directo a las pruebas sustantivas.

Riesgo de detección.

Es la posibilidad de que los procedimientos del auditor no detecten un error material existente. Es el único que él controla, y lo hace con la naturaleza, la oportunidad y la extensión de sus pruebas.

De ahí la regla que gobierna la planeación: cuanto más altos sean el riesgo inherente y el de control, más bajo debe ser el riesgo de detección aceptable, y por lo tanto más evidencia debe obtener el auditor.

Cómo se combinan.

Los tres componentes se relacionan entre sí. El riesgo inherente y el de control existen antes de que el auditor llegue y son de la entidad; el de detección es su respuesta.

Por eso dos auditorías de empresas del mismo tamaño pueden tener alcances muy distintos: donde el control interno funciona, el auditor puede apoyarse en él y reducir sus pruebas sustantivas; donde no funciona, debe ampliarlas.

De acuerdo con nuestro criterio, el error más frecuente en la práctica es evaluar el riesgo de control como bajo sin probar los controles, apoyándose en la buena impresión que deja la administración. Esa evaluación no probada es la que después deja errores sin detectar.

El riesgo de fraude.

El fraude recibe un tratamiento propio, porque implica ocultamiento deliberado y puede eludir los controles. El auditor debe considerarlo al valorar los riesgos y mantener escepticismo profesional durante todo el trabajo, aunque la responsabilidad de prevenirlo y detectarlo sea de la administración, como precisamos en el artículo sobre la auditoría financiera.

Cómo se reducen los riesgos de auditoría.

Las medidas que realmente bajan el riesgo son de planeación, no de ejecución:

1. Conocer la entidad y su entorno antes de diseñar los procedimientos, y no después.
2. Evaluar el control interno y probar los controles en los que se piensa confiar.
3. Definir la materialidad y revisarla cuando aparezca información nueva.
4. Ajustar la naturaleza, la oportunidad y la extensión de las pruebas al riesgo evaluado de cada rubro.
5. Documentar en los papeles de trabajo la evaluación del riesgo y su relación con los procedimientos aplicados.
6. Supervisar y revisar el trabajo del equipo antes de emitir la opinión.

Las técnicas concretas con las que se obtiene esa evidencia las desarrollamos en el artículo sobre las técnicas y procedimientos de auditoría.

Riesgo de auditoría y riesgo de negocio.

No deben confundirse. El riesgo de negocio es la posibilidad de que la empresa no alcance sus objetivos por condiciones del mercado, de la competencia o de su operación.

Ese riesgo interesa al auditor porque puede derivar en errores materiales, por ejemplo cuando compromete el supuesto de negocio en marcha, pero no es el riesgo que él asume con su opinión.

A continuación respondemos las preguntas frecuentes de nuestros lectores.

• Liquidador de pensiones en Colpensiones
• Liquidador de intereses judiciales y comerciales
• Guía de arrendamiento sin riesgo
• Proyección y planeación pensional