Curso de capacitación virtual de IDI para la

"Implementación de las ISSAI de Auditoría de Cumplimiento"

Curso de capacitación virtual de la IDI para la

"Implementación de las ISSAI de Auditoría de Cumplimiento"

MANUAL DE IMPLEMENTACIÓN DE LAS ISSAI

AUDITORÍA DE CUMPLIMIENTO

Versión preliminar 1. 0

Programa de Certificación en las ISSAI Página 1

Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

Índice
Acerca de este manual 4
Capítulo 1: Introducción y elementos básicos de las auditorías de
cumplimiento 6
1.1 Introducción 7
1.2 Elementos de la auditoría de cumplimiento 8
1.3 ¿Qué es lo que el auditor busca en las diferentes auditorías? 10
1.4 Diferentes formas de llevar a cabo una auditoría de cumplimiento 11
1.5 Cómo ayudan las ISSAI a realizar una auditoría de cumplimiento de calidad 13
1.6 Principios de la auditoría de cumplimiento 14
1.7 Proceso de la auditoría de cumplimiento 17
1.8 Conclusión 18

Capítulo 2: Principales conceptos de las auditorías de cumplimiento 19

2.1 Introducción 20
2.2 Definición de auditoría y de auditoría de cumplimiento 20
2.3 Objeto de la revisión e información del objeto de la revisión 20
2.4 Disposiciones legales y normativas y criterios 22
2.5 Las tres partes 24
2.6 Aseguramiento 24
2.7 Compromisos de atestiguamiento y compromiso de elaboración de informes directos 27
2.8 Aseveraciones y la auditoría 32
2.9 Juicio profesional y escepticismo 33
2.10 Conclusión 34

Capítulo 3: Planificación y diseño de una auditoría de cumplimiento 35

3.1 Introducción 36
3.2 Consideraciones iniciales para la planificación 36
3.3 Proceso de planificación 39
3.4 Determinando la importancia relativa en la fase de planificación 50
3.5 Estrategia de auditoría y plan de auditoría 53
3.6 Conclusión 55

Capítulo 4: Obtención de la evidencia de auditoría 56

4.1 Introducción 57
4.2 Evidencia de auditoría 57
4.3 Técnicas para la recopilación de evidencia 60
4.4 Consideración de incumplimiento que pueda indicar la existencia de fraude o actos ilícitos 64
4.5 Conclusión 66

Capítulo 5: Evaluación de la evidencia y formación de conclusiones 66

5.1 Introducción 67
5.2 Evaluación de la evidencia y formación de conclusiones 67
5.3 Conclusión 69

Capítulo 6: Documentación y comunicación 70

6.1 Introducción 71
6.2 Documentación 71
6.3 Comunicación 74
6.4 Conclusión 76

Página 2
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

Capítulo 7: Informes de una auditoría de cumplimiento 77

7.1 Introducción 78
7.2 Informes de una auditoría de cumplimiento 78
7.3 Tipos de informes de una auditoría de cumplimiento 79
7.4 Contenido de un informe de auditoría de cumplimiento 79
7.5 Conclusiones/opiniones de una auditoría de cumplimiento 82
7.6 Ejemplo de un informe breve de una auditoría de cumplimiento 87
7.7 Seguimiento de la auditoría 88
7.8 Conclusión 90

Capítulo 8: Estrategias de implementación de las ISSAI para auditorías de

cumplimiento 91
8.1 Introducción 92
8.2 Proceso de formulación de la estrategia de implementación de las ISSAI 96
8.3 Formulación de un plan de acción 106
8.4 Compromiso de la alta dirección en la implementación del plan de acción 107
8.5 Lineamientos para la preparación del plan de acción 107
8.6 Conclusión 108

Lista de tablas
Tabla 2.1: Niveles de aseguramiento y tipos de auditoría de cumplimiento
Tabla 4.1: Técnicas de recopilación de evidencia
Tabla 8.1: iCAT de la EFS X (paso 1) en la que se muestran requisitos de las ISSAI de Nivel 4 con
estatus "Cumplido"
Tabla 8.2: iCAT de la EFS X (paso 1) en la que se muestran requisitos de las ISSAI de Nivel 4 con
estatus "No Cumplido / Parcialmente Cumplido"
Tabla 8.3: Análisis FODA de la EFS X
Tabla 8.4: Ejemplo y formato de preparación de un plan de acción

Lista de figuras
Figura 1.1: Disposiciones legales y normativas relacionadas con un acuerdo constitucional
específico de la EFS
Figura 1.2: Las disposiciones legales y normativas son la fuente de los criterios de auditoría
Figura 1.3: Las tres partes de la auditoría
Figura 1.4: Principios generales de las auditorías de cumplimiento
Figura 1.5: Juicio profesional y escepticismo
Figura 1.6: Proceso de la auditoría de cumplimiento
Figura 3.1: Relación entre el objeto de la revisión, el alcance y los criterios
Figura 4.1: Proceso de toma de decisiones
Figura 8.1: Proceso de toma de decisiones para la implementación de las ISSAI de auditoría de
cumplimiento
Figura 8.2 Marco de referencia para la estrategia de implementación de las ISSAI de auditoría de
cumplimiento
Figura 8.3: Los cuatro dominios principales conforme a las ISSAI de Nivel 2
Figura 8.4: Factores que determinan la selección de las opciones estratégicas para la
implementación de las ISSAI

Lista de Referencias
ISSAI 100
ISSAI 400
ISSAI 4000
ISSAI 4100
ISSAI 4200
ISSAI 1000-1999
Normas Internacionales sobre Compromiso de Aseguramiento (ISAE) 3000 (Versión revisada)

Página 3
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
Acerca de este
manual
1.1 Introducción
La Fase 1 del Programa 3i facilita la implementación de
las Normas Internacionales de las Entidades
Fiscalizadoras Superiores (ISSAI) por parte de las
Entidades Fiscalizadoras Superiores (EFS) con un
programa integral de creación de capacidades para las
ISSAI de Nivel 2 (Requisitos Previos para el
Funcionamiento de las Entidades Fiscalizadoras
Superiores) y las ISSAI de auditoría financiera, auditoría
de cumplimiento y auditoría de desempeño de Nivel 4.
Este manual sobre la auditoría de cumplimiento es parte
de la fase 1 del Programa 3i para el proceso de
implementación de las ISSAI 400/4100/42001.
1.2 Objetivos
Este manual se ha escrito con el fin de facilitar la
implementación de las ISSAI para auditorías de
cumplimiento a los nivel 2, 3 y 4 en las EFS. En este
sentido, el manual busca lograr dos objetivos:
1. Explicar la naturaleza de las auditorías de
cumplimiento en el sector público y servir de guía
a través de consideraciones estratégicas para la
implementación de las normas de auditoría de
cumplimiento en las EFS.
2. Proporcionar una guía y ejemplos sobre el
proceso, las herramientas y los documentos de
trabajo que pueden usarse en la ejecución de una
auditoría de cumplimiento con base en las ISSAI.
El objetivo de este documento no es servir como un
manual de auditoría de cumplimiento. Por lo tanto, no
sustituye a las políticas, estrategias y manuales de
auditoría. Cada EFS será responsable de describir su
propia metodología tomando en cuenta su mandato, sus
recursos, las necesidades de los usuarios y el ambiente
regulatorio.
El objetivo de este manual es explicar los conceptos de
la auditoría de cumplimiento relacionándolos con la
1ISSAI 400, Principios Fundamentales de las Auditorías
de Cumplimiento
ISSAI 4000-4200, Directrices Generales para las
Auditorías de Cumplimiento
práctica de campo. Con ello los usuarios serán capaces
de reconocer los elementos y conceptos elaborados en
el manual con sus prácticas de auditoría. También
podrán apreciar el grado de alineamiento de sus
prácticas actuales con los requisitos de las ISSAI para
auditoría de cumplimiento.
Los usuarios de este manual deberán tomar en
consideración los siguientes puntos. En primer lugar, las
explicaciones proporcionadas sólo son una forma de
interpretar las normas de las auditorías de cumplimiento.
En segundo lugar, las normas de las auditorías de
cumplimiento representan un trabajo en desarrollo, por
lo que el proceso completo aún necesitará explicarse
con otras normas. Las interpretaciones del manual
representan un intento preliminar de elaborar el proceso
de auditoría de cumplimiento basado en la ISSAI 400:
Principios Fundamentales de las Auditorías de
Cumplimiento, y las ISSAI 4000-4200.
1.3 Usuarios
Este manual está dirigido a las EFS que han decidido
iniciar la implementación de las ISSAI a nivel 3 y 4, así
como las EFS que ya están en camino de
implementarlas y desean seguir mejorando sus
procesos de auditoría de cumplimiento con base en las
ISSAI.
Dentro de una EFS el manual está dirigido tanto al
personal de nivel ejecutivo (dirección) como a los
profesionales en ejercicio de las auditorías de
cumplimiento (auditores y especialistas en metodología).
1.4 Enfoque
Este manual utiliza un estudio de caso que cubre todos
los aspectos de las auditorías de cumplimiento
(planificación, recopilación de evidencia, evaluación de
la evidencia, formación de conclusiones y elaboración
de informes) para ilustrar los conceptos descritos en los
capítulos. Asimismo, se describen las ISSAI
correspondientes al proceso de auditoría, así como
éstas pueden ser usadas en la auditoría descrita en el
estudio de caso.
Página 4
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

1.5 Contenido
El manual se divide en ocho capítulos:

Capítulo 1: Introducción y elementos básicos de las

auditorías de cumplimiento
Capítulo 2: Conceptos fundamentales de las auditorías
de cumplimiento
Capítulo 3: Planificación y diseño de una auditoría de
cumplimiento
Capítulo 4: Recopilación de la evidencia de auditoría
Capítulo 5: Evaluación de la evidencia y formación de
conclusiones
Capítulo 6: Documentación y comunicación
Capítulo 7: Elaboración de informes
Capítulo 8: Estrategias de implementación de las ISSAI
para auditorías de cumplimiento

1.6 Vínculo entre el manual y la

iCAT de auditoría de
cumplimiento
Para ayudar a las EFS a integrar las ISSAI en sus
procesos de auditoría de cumplimiento, este manual
proporciona un proceso paso a paso que requiere que
cada EFS adopte diferentes estrategias y planes de
acción de acuerdo a su mandato, necesidades de los
usuarios, leyes nacionales, reglamentos, etc.

El primer paso para una EFS es tener un panorama

completo de su mandato, las necesidades de los
usuarios y su entorno. Si la EFS decide referirse a las
ISSAI de Nivel 4, entonces el primer paso será
determinar los requisitos de las ISSAI y evaluar el
estado de la EFS con respecto a los requisitos de las
normas para las auditorías de cumplimiento. A
continuación la EFS debe identificar las causas o
razones del incumplimiento y lo que necesita para
cumplir con dichos requisitos.

La Herramienta para el Diagnóstico del Cumplimiento de

las ISSAI (iCAT), desarrollada bajo la Fase 1 del
Programa 3i, ayuda a las EFS a mapear su práctica
actual con respecto a los requisitos de las Directrices
para Auditorías de Cumplimiento, es decir, las ISSAI de
Nivel 4. El Capítulo 8 del manual muestra la forma de
pasar de la identificación de las brechas en las prácticas
actuales al proceso de implementación, determinando
las prioridades, continuando con la elaboración de una
estrategia y plan de acción, y superando algunas de las
dificultades que las EFS pudieran encontrar en la fase
inicial.

Página 5
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

Capítulo 1:

Introducción y Elementos Básicos de

la Auditoría de Cumplimiento

Página 6
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
1.1 INTRODUCCIÓN
El propósito de este capítulo introductorio es
ayudar a los lectores a familiarizarse con los
conceptos básicos de las auditorías de
cumplimiento, de manera que puedan pasar a un
nivel más avanzado en los siguientes capítulos.
Este capítulo explica brevemente: (a) la auditoría
de cumplimiento, sus elementos, sus principios y
su importancia en el sector público; (b) el objetivo y
propósito de las ISSAI en lo que respecta a la
forma en que ayudan a conducir auditorías de
cumplimiento de calidad; c) formas en las que las
EFS pueden adoptar las ISSAI para las auditorías
de cumplimiento; (d) diferencias entre la auditoría
de cumplimiento y otros tipos de auditorías, así
como la manera en que pueden combinarse en la
práctica; y (e) el proceso de la auditoría de
cumplimiento. Como se señaló arriba, los
conceptos descritos en este capítulo se describen
con mayor detalle por medio de ejemplos en los
siguientes capítulos.
1.1.1 Las auditorías de
cumplimiento en el sector
público
Para definir lo que es una auditoría de
cumplimiento necesitamos considerar primero lo
que es la auditoría de sector público, ya que en ella
se basa la auditoría de cumplimiento.
Las auditorías del sector público pueden
describirse como un proceso sistemático para
obtener y evaluar de manera objetiva evidencia
que permita determinar si la información o las
condiciones actuales se ajustan a los criterios
establecidos1. La auditoría de cumplimiento se
basa en esta definición con un enfoque específico
en el cumplimiento de los criterios derivados de las
disposiciones legales y normativas.
La auditoría de cumplimiento es una evaluación
independiente para determinar si un asunto dado
cumple con las disposiciones legales y normativas
aplicables identificadas como criterios. Como
auditores, debemos evaluar si las actividades, las
operaciones financieras y la información cumplen,
1 4
ISSAI 100.18.
en todos los aspectos importantes, con las
disposiciones legales y normativas que regulan a la
entidad auditada2. Los auditores de las auditorías
de cumplimiento buscan desviaciones sustantivas
de los criterios establecidos con base en leyes y
reglamentos, en principios para una sólida
administración financiera o en el comportamiento
de los funcionarios públicos.
Como auditores necesitamos entender el contexto
de las auditorías de cumplimiento. Los conceptos y
el establecimiento de la auditoría son inherentes a
la administración de las finanzas públicas, ya que
el manejo de los fondos públicos representa una
responsabilidad. La auditoría no es un fin en sí
mismo, sino una parte indispensable del sistema
regulador cuyo objetivo es señalar oportunamente
las desviaciones de las normas aceptadas y las
infracciones a los principios de legalidad, eficiencia,
eficacia y economía de la administración financiera
con tiempo suficiente para tomar acciones
correctivas en casos individuales, hacer que los
responsables acepten su parte de responsabilidad,
obtener una compensación o tomar los pasos
necesarios para prevenir – o al menos hacer que
sean más difíciles – dichas infracciones3.
La auditoría del sector público es esencial para su
administración, ya que el manejo de los fondos
públicos está al cuidado de funcionarios
gubernamentales y su uso está regulado por
principios, reglas y normas que en conjunto
constituyen las disposiciones legales y normativas.
Se espera por lo tanto que los funcionarios actúen
en interés de la sociedad aplicando los fondos para
los fines propuestos y en línea con las
disposiciones legales y normativas.
Es responsabilidad de los organismos del sector
público y de sus funcionarios actuar de forma
transparente y rendir cuentas ante los ciudadanos
por los fondos que se les confiaron, así como
ejercer una gestión adecuada de dichos fondos4.
La forma y el modo en que los administradores del
sector público cumplen con sus responsabilidades
no es un asunto de confianza absoluta. Las
auditorías de cumplimiento desempeñan un papel
importante al asegurar que los principios de
2
ISSAI 400.12
3
ISSAI 4100, Sección 1.
ISSAI 400.16.
Página 7
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
transparencia, rendición de cuentas y gestión se
cumplan adecuadamente.
Las auditorías de cumplimiento promueven la
transparencia al proporcionar informes confiables
respecto a si los fondos públicos se utilizaron en
línea con las disposiciones legales y normativas
aplicables. Promueven asimismo la rendición de
cuentas al informar sobre posibles desviaciones e
infracciones a las disposiciones legales y
normativas. Esta información permite tomar
acciones correctivas y hacer responsables a los
funcionarios públicos por sus actividades.
Finalmente las auditorías de cumplimiento
promueven una gestión adecuada al identificar los
puntos débiles y las desviaciones de las leyes y
reglamentos, así como al evaluar el
comportamiento de los funcionarios.
Las auditorías de cumplimiento pueden tratar sobre
la regularidad (cumplimiento con los criterios
formales tales como leyes, reglamentos y
convenios) o sobre la gestión o comportamiento
(observancia de los principios generales que rigen
una administración financiera sólida y el
comportamiento de los funcionarios públicos).
Mientras que la regularidad es el punto focal de las
auditorías de cumplimiento, la gestión o
comportamiento también puede ser pertinente
dado el contexto del sector público, en el que
existen ciertas expectativas relacionadas con la
administración financiera y el comportamiento de
los funcionarios. Dependiendo del mandato de la
EFS y de la naturaleza de las leyes y reglamentos,
el alcance de la auditoría puede, por lo tanto, incluir
aspectos relativos a la gestión o comportamiento.
1.2 ELEMENTOS DE LA
AUDITORÍA DE CUMPLIMIENTO
La ISSAI 100 describe los elementos de las
auditorías del sector público. Todas ellas tienen los
mismos elementos básicos: el auditor, la parte
responsable y los usuarios previstos, es decir, las
tres partes de la auditoría, los criterios para evaluar
el objeto de la revisión y la información resultante
sobre la materia. Las auditorías del sector público
pueden clasificarse en dos tipos diferentes:
trabajos de certificación (compromisos de
atestiguamiento) y trabajos de información directa
(compromiso de elaboración de informes directos).
Ambos se describen en capítulos posteriores. Por
lo pronto, en esta sección se describen los
aspectos adicionales de los elementos relevantes
para las auditorías de cumplimiento que el auditor
debe identificar antes de comenzar la auditoría.
1.2.1 Disposiciones legales y
normativas (autoridades)
Las disposiciones legales y normativas o normas
jurídicas (autoridades) son leyes o resoluciones del
poder legislativo u otros instrumentos,
instrucciones y directrices emitidas por organismos
del sector público con poderes estatutarios y con
las cuales se espera que cumpla la entidad
auditada. Estas disposiciones legales y normativas
pueden incluir leyes, políticas, reglas, reglamentos
y otros instrumentos que deben seguir los
funcionarios o las organizaciones para las cuales
se establecieron. En ocasiones estos elementos se
refieren en conjunto como normas legislativas o
disposiciones legales y normativas. Por otra parte,
no deben confundirse con las autoridades en el
sentido de órganos o personas que ejercen algún
poder o mando, como por ejemplo las
disposiciones legales y normativas encargadas de
hacer cumplir la ley o las disposiciones legales y
normativas regulatorias.
Por ejemplo, los gobiernos de muchos países
cuentan con leyes que le proporcionan ayuda
económica a personas que cumplen con ciertos
requisitos de elegibilidad. Estas leyes sirven como
disposiciones legales y normativas en el caso de
las auditorías de cumplimiento de los programas de
ayuda económica.
DISPOSICIONES LEGALES
Y NORMATIVAS
EL EJECUTIVO
DISPOSICIONES LEGALES
Y NORMATIVAS
LA ENTIDAD 0
DISPOSICIONES LEGALES
Y NORMATIVAS
AUDITORÍA DE CUMPLIMIENTO
Figura 1.1: Disposiciones legales y normativas
relacionadas con un acuerdo constitucional
específico de la EFS.
Página 8
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
Los criterios son los parámetros o puntos de
referencia utilizados para evaluar o medir el asunto
de manera consistente y razonable. Las
disposiciones legales y normativas son la fuente de
dichos criterios, los cuales pueden derivarse de
leyes, políticas, reglas, reglamentos y otros
instrumentos, y usarse para evaluar su
cumplimiento o falta de cumplimiento.
Por ejemplo, en el caso del programa de ayuda
económica mencionado arriba, una condición para
la elegibilidad podría ser que sólo aquellos que
ganan menos de $800 dólares al mes y mantienen
a cuatro personas recibirán $500 dólares al mes
como ayuda económica.
Disposiciones legales
y normativas
Criterios
Figura 1.2: Las disposiciones legales y normativas
son la fuente de los criterios de auditoría.
1.2.2 Objeto (materia o asunto)
El objeto (materia o asunto) se refiere a la
información, situación o actividad que se mide o
evalúa de acuerdo con determinados criterios.
Pueden ser actividades, operaciones financieras o
información.
Por ejemplo, dentro del contexto del programa de
ayuda económica el objeto, asunto o materia
podría ser:
a. La actividad, que sería el propio programa de
ayuda económica y sus operaciones, o
b. Las operaciones financieras del programa, o
c. Información, como los estados financieros, o
los informes y cuentas anuales del programa
de ayuda económica que la dirección pone a
disposición de los auditores.
1.2.3 Las tres partes
Las auditorías de cumplimiento se basan en una
relación de tres partes, en la que el auditor trata de
obtener evidencia de auditoría suficiente y
apropiada con el fin de expresar una conclusión
que permita aumentar el grado de confianza de los
usuarios previstos, diferentes a la parte
responsable, en la medición o evaluación del
objeto de la revisión conforme a los criterios
establecidos. En todas las auditorías de
cumplimiento tenemos:
• Una parte responsable/entidad auditada
(normalmente una agencia gubernamental)
que recibe fondos para actividades
específicas,
• Los usuarios previstos (Parlamento/Congreso)
que asignan los fondos a las agencias
gubernamentales y esperan que dichos fondos
se usen conforme a las disposiciones legales y
normativas establecidas y con estricta
observancia de los principios generales que
rigen una administración financiera sólida y el
comportamiento de los funcionarios públicos, y
• Las EFS que llevan a cabo la auditoría en
representación del Parlamento/Congreso y que
determinan si los fondos se usaron o no
conforme a los criterios.
En el caso de nuestro ejemplo, la Oficina del
Programa de Ayuda Económica es la parte
responsable, mientras que el presunto usuario es
el Parlamento/Congreso.
Parlamento/Congreso
USUARIO
PREVISTO
La El Gobierno
ELEMENTOS
EFS DE UNA
AUDITORÍA
AUDITOR PARTE
RESPONSABLE
Figura 1.3: Las tres partes de una auditoría
Página 9
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
1.2.4 Nivel de seguridad
Los usuarios previstos desean tener la seguridad
de que la información que se les proporciona es lo
suficientemente confiable y relevante como para
tomar decisiones. Por lo tanto, las auditorías deben
proporcionarles información basada en evidencia
suficiente y apropiada. Es por eso que los
auditores necesitan llevar a cabo procedimientos
que les permitan reducir o administrar el riesgo de
llegar a conclusiones inadecuadas y proporcionar
información confiable a los usuarios previstos de
manera que éstos puedan tomar decisiones
informadas, de lo contrario podría confundirlos y
hacer que tomaran decisiones equivocadas. Por
ejemplo, el presunto usuario
(Parlamento/Congreso) autoriza al gobierno a
cobrar y usar los impuestos con el objetivo de
proporcionar servicios básicos. El
(Parlamento/Congreso) desea saber si la parte
responsable (la agencia gubernamental) ha usado
los fondos que le han sido asignados conforme a
las disposiciones legales y normativas aplicables
(leyes, reglamentos, etc.). Para ello el
Parlamento/Congreso desea que una tercera parte
le dé la seguridad de que dichos fondos se han
usado de esta manera. En este caso, las EFS de
todo el mundo son las más capacitadas para
proporcionar esta seguridad con base en su
trabajo.
En el ejemplo del programa de ayuda económica,
la EFS puede dar la seguridad de que el dinero
asignado a la agencia se ha empleado conforme a
las disposiciones legales y normativas aplicables.
El nivel de seguridad que se puede dar al presunto
usuario debe comunicarse de manera
transparente. Sin embargo, debido a las
limitaciones inherentes, las auditorías nunca
pueden dar una seguridad absoluta. En una
auditoría la seguridad puede ser razonable o
limitada. Asimismo, la seguridad razonable es alta
pero no absoluta. Estos elementos se explican con
detalle en el siguiente capítulo que trata sobre los
principales conceptos de las auditorías de
cumplimiento.
1.3 ¿QUÉ ES LO QUE EL
AUDITOR BUSCA EN LAS
DIFERENTES AUDITORÍAS?
Normalmente las EFS llevan a cabo tres tipos de
auditoría: auditorías financieras, auditorías de
cumplimiento y auditorías de desempeño. La
definición y contexto de la auditoría de
cumplimiento ya se ha dado arriba. Aquí es
importante entender las auditorías financieras y de
desempeño, así como la forma en que son
diferentes de las auditorías de cumplimiento y lo
que los auditores buscan en particular en cada una
ellas.
Auditoría financiera
La auditoría financiera (financial audit en inglés)
trata de determinar si la información financiera de
una entidad se presenta en conformidad con el
marco regulatorio y de información financiera
aplicable5.
Para ello los auditores buscan irregularidades y
representaciones erróneas que pudieran tener un
impacto significativo en la información presentada
en los estados financieros. Una irregularidad o
representación errónea de importancia relativa es
algo que pudiera forzar a los individuos con un
conocimiento promedio del objeto de la revisión a
cambiar sus puntos de vista sobre las
aseveraciones hechas en los estados financieros.
Auditoría de desempeño
La auditoría de desempeño o rendimiento
(performance audit en inglés) es un análisis
independiente, objetivo y confiable que permite
determinar si los proyectos, sistemas, operaciones,
programas, actividades u organizaciones del
gobierno están operando en conformidad con los
principios de economía, eficiencia y eficacia, y si
hay lugar para mejoras6.
Aquí los auditores revisan cualquier objeto, materia
o asunto desde el punto de vista de la economía,
5
ISSAI 100.22
6
ISSAI 300.9
Página 10
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
eficiencia y eficacia. ¿El gobierno está usando los
recursos de manera económica al manejar un
asunto? ¿La relación de entradas y salidas en las
operaciones cubiertas por la auditoría es óptima?
¿La entidad gubernamental es capaz de alcanzar
los resultados y efectos esperados?
Auditoría de cumplimiento
La auditoría de cumplimiento (compliance audit en
inglés) es una evaluación independiente para
determinar si un asunto dado cumple con las
disposiciones legales y normativas aplicables
identificadas como criterios. Esto se hace
evaluando si las actividades, operaciones
financieras e información cumplen, en todos los
aspectos importantes, con las disposiciones
legales y normativas que regulan a la entidad
auditada7.
Así pues, ¿qué es lo que el auditor busca en una
auditoría de cumplimiento? ¿Trata de saber si el
objeto de la revisión cumple con las disposiciones
legales y normativas que rigen una administración
financiera sólida y el comportamiento de los
funcionarios públicos?
1.4 DIFERENTES FORMAS DE
LLEVAR A CABO UNA
AUDITORÍA DE CUMPLIMIENTO
En la práctica muchas EFS hacen su auditoría
anual incluyendo diferentes tipos de auditorías o
combinando auditorías financieras, de
cumplimiento o de desempeño. De este modo, la
auditoría de cumplimiento también puede
combinarse con la auditoría financiera y de
desempeño. La ISSAI 100 señala que las EFS
pueden conducir auditorías combinadas
incorporando aspectos financieros, de desempeño
y/o cumplimiento. A continuación se describen
diferentes formas en que se puede conducir una
auditoría de cumplimiento:
7 8
ISSAI 400.12
1.4.1 La auditoría de
cumplimiento como una
actividad independiente
Algunas EFS llevan a cabo auditorías de
cumplimiento como un trabajo independiente. Esto
significa que la auditoría de cumplimiento se hace
sola sin estar en combinación con una auditoría
financiera o de desempeño. Las ISSAI estipulan
que las auditorías de cumplimiento llevadas a cabo
de forma separada pueden planearse, realizarse y
reportarse independientemente de las auditorías de
estados financieros y de las auditorías de
desempeño. Asimismo pueden realizarse de
manera regular o sobre una base ad-hoc como
auditorías distintas y claramente definidas, cada
una relacionada con un asunto específico8.
La ISSAI 4100 describe las consideraciones clave
aplicables a auditorías de cumplimiento realizadas
por las EFS como un trabajo independiente, lo cual
se explicará con mayor detalle en los siguientes
capítulos.
1.4.2 La auditoría de
cumplimiento junto con otros
tipos de auditorías
Las auditorías de cumplimiento pueden realizarse
no sólo de forma separada sino también en
combinación con otros tipos de auditorías, por
ejemplo, en conjunto con una auditoría de estados
financieros o con una auditoría de desempeño.
Diferentes EFS pueden usar distintos enfoques
para llevar a cabo auditorías combinadas. Puede
ser relevante ver cómo las ISSAI tratan el combinar
auditorías de cumplimiento con los otros dos tipos
de auditoría.
Las auditorías de cumplimiento
en relación con la auditoría de
estados financieros
Muchas EFS siguen la práctica de combinar sus
auditorías de estados financieros con aspectos de
ISSAI 400.25
Página 11
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
cumplimiento dentro de un solo proceso. Las
auditorías de cumplimiento abarcan mucho más
que las auditorías financieras y le permiten al
auditor tener una imagen más amplia. El poder
legislativo, como parte del proceso democrático,
establece las prioridades para los ingresos y
egresos del sector público, así como para el
cálculo y asignación de los mismos. Las premisas
de los órganos legislativos y las decisiones que
toman son la fuente de las disposiciones legales y
normativas que regulan los flujos de efectivo en el
sector público. El cumplimiento de dichas
disposiciones legales y normativas constituye una
perspectiva más amplia junto con la auditoría de
estados financieros en la ejecución presupuestaria.
Combinar las auditorías financieras y de
cumplimiento le permite al auditor tener la
seguridad de que no sólo los estados financieros
están libres de representaciones erróneas de
importancia relativa, sino también de que las
actividades, operaciones financieras e información
cumplen, en todos los aspectos importantes, con
las disposiciones legales y normativas o leyes que
rigen a la entidad auditada.
Las leyes y reglamentos son importantes tanto en
las auditorías de cumplimiento como en las
auditorías financieras. Sin embargo, mientras que
en una auditoría de estados financieros, son
relevantes sólo aquellas leyes y reglamentos que
tienen un efecto directo e importante en los
estados financieros, en las auditorías de
cumplimiento puede aplicarse cualquier ley y
reglamento relevante para el objeto de la revisión9.
La ISSAI 4200 señala que el auditor debe
considerar todos los asuntos que se incluyen en
una auditoría combinada del sector público. Es
importante que esta norma se lea y comprenda
junto con las ISSAI 1000-2999 de auditoría
financiera. Cuando se aplica en combinación con
las Directrices de Auditoría Financiera, la ISSAI
4200 le proporciona a los auditores un conjunto
completo de lineamientos para las auditorías de los
estados financieros del sector público.
9 10
ISSAI 400.23
Auditorías de cumplimiento en
combinación con auditorías de
desempeño
Cuando las auditorías de cumplimiento son parte
de una auditoría de desempeño, el cumplimiento
se ve como uno de los aspectos de la economía,
eficiencia y eficacia10. En las auditorías
combinadas de este tipo, los auditores deben hacer
uso de su juicio profesional para decidir si el
desempeño o el cumplimiento son el objetivo
principal de la auditoría y determinar el alcance y
los criterios de la misma.
Las siguientes son algunas de las diferencias que
hay entre las auditorías de desempeño y las
auditorías de cumplimiento que nos pueden ayudar
a entender mejor al momento de decidir el enfoque
primario de una auditoría:
• En una auditoría de desempeño un
incumplimiento puede ser la causa, explicación
o consecuencia del estado de las actividades
sujetas a auditoría, mientras que en una
auditoría de cumplimiento el auditor evalúa el
grado con el que la entidad auditada (a través
de sus funcionarios) sigue las reglas, leyes y
reglamentos, políticas, códigos o términos
acordados que regulan dicha entidad.
• En una auditoría de desempeño los auditores
buscan saber si la entidad auditada está
operando o no de manera económica, eficiente
y eficaz. Estos parámetros son una parte
integral de la definición de las auditorías de
desempeño. El concepto básico es que si una
entidad auditada utiliza los recursos de manera
económica genera más valor para los insumos
que recibe y logra el impacto deseado. En las
auditorías de desempeño el principal enfoque
está en lograr resultados, aunque los aspectos
de economía y eficiencia también son
relevantes. Por lo tanto, los criterios de
desempeño normalmente se basan en
consideraciones económicas, de eficiencia y
eficacia.
ISSAI 400.26
Página 12
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
• En las auditorías de cumplimiento los auditores
buscan casos de incumplimiento con las
disposiciones legales y normativas definidas
(es decir, las leyes, políticas, reglas,
reglamentos, procedimientos, términos
contractuales o acuerdos aplicables) que
pudieran tener un efecto importante en los
objetivos de la entidad auditada.
1. 5 CÓMO AYUDAN LAS ISSAI
A REALIZAR UNA AUDITORÍA
DE CUMPLIMIENTO
Dentro del contexto anterior no resulta difícil ver
que las auditorías de cumplimiento no son algo
nuevo en el campo de la fiscalización. Sin
embargo, podemos ver grandes variaciones en la
práctica de las diferentes EFS. Las Normas
Internacionales de Entidades Fiscalizadoras
Superiores (ISSAI, por sus siglas en inglés) para
las auditorías de cumplimiento11 son principios,
normas y lineamientos generales que proporcionan
un marco común de referencia para las EFS y
facilitan la convergencia hacia normas y prácticas
comunes. Las ISSAI se basan en la experiencia
histórica de las EFS y muchas EFS han dado
pasos significativos para adoptarlas. A
continuación se explican algunas de las formas en
que las ISSAI pueden ayudar a las EFS a mejorar
la calidad de su trabajo.
• Como base para el desarrollo de normas
Algunas EFS llevan a cabo auditorías de
cumplimiento de acuerdo con su mandato, pero no
cuentan con un marco de referencia que las rija y
apoye su trabajo. Estas EFS pueden revisar las
ISSAI y desarrollar normas y directrices de acuerdo
con ellas para las auditorías de cumplimiento. En
estos casos las EFS necesitan tomar en
consideración la ISSAI 400: Principios
Fundamentales de las Auditorías de Cumplimiento.
Es importante que las EFS recuerden que sólo
deberá hacerse referencia a los Principios
Fundamentales de las Auditorías de Cumplimiento
en los informes de auditoría si las normas que han
11
ISSAI 400.4
desarrollado cumplen plenamente con todos los
principios relevantes de las auditorías de
cumplimiento. Las ISSAI son flexibles en el sentido
de que destacan la necesidad de que las EFS
tomen en consideración sus mandatos, leyes y
reglamentos respectivos al adoptarlas. Por
consiguiente, estos principios no están por encima
de los mandatos, leyes y reglamentos existentes
que rigen las prácticas de auditoría de las EFS.
• Como base para la adopción de normas
internas consistentes
Es probable que algunas EFS ya cuenten con
normas para realizar sus auditorías de
cumplimiento. En estos casos las ISSAI
proporcionan un marco de referencia para las EFS,
las cuales pueden analizar sus prácticas actuales
con respecto a dichas ISSAI, identificar deficiencias
y modificar su marco de auditoría de acuerdo con
sus circunstancias particulares. Conforme pase el
tiempo, las EFS podrán seguir mejorando su marco
de auditoría y cumplir eventualmente con las
ISSAI.
• Como marco de referencia para la adopción
de las Directrices de las Auditorías de
Cumplimiento
Otra opción para las EFS es considerar la
posibilidad de adoptar las directrices para las
auditorías de cumplimiento (ISSAI 4000-4200)
como marco de referencia. En algunos ambientes
esto puede no ser posible debido a las estructuras
administrativas o las leyes y reglamentos que no
prestan su apoyo en este sentido. También es
importante recordar que las EFS pueden seguir
diferentes enfoques para alcanzar estos principios
y que estos enfoques pueden incluirse en las
políticas, manuales, etc. de la EFS. Actualmente
las ISSAI serie 4000 están siendo revisadas y se
espera que estén completamente desarrolladas
como normas reguladoras para 2016. Sin embargo,
esto no impide que las EFS recurran a ellas en
busca de orientación en su forma actual,
requiriendo la atención de la alta dirección de la
EFS en tales casos.
También es probable que algunas EFS conduzcan
auditorías de cumplimiento junto con auditorías
financieras o de desempeño de acuerdo con sus
respectivos mandatos. En este caso, se deberá
Página 13
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

cumplir con las ISSAI correspondientes a cada tipo
de auditoría adoptadas por las EFS y se deberán
hacer las referencias respectivas.
1. 6 PRINCIPIOS DE LA
AUDITORÍA DE CUMPLIMIENTO
La ISSAI 400 describe los principios de las
auditorías de cumplimiento, los cuales son
fundamentales para su ejecución. Debido a que la
naturaleza de la auditoría es iterativa y
acumulativa, el auditor deberá considerar estos
principios antes de comenzar cualquier auditoría,
así como en más de un punto durante el proceso,
es decir, durante la planificación y diseño,
obtención y evaluación de evidencia, y elaboración
y presentación de informes.
Los Principios Generales de las auditorías de
cumplimiento se describen brevemente en este
capítulo, ya que se explicarán con mayor detalle en
los siguientes capítulos del manual. Como se
puede ver en la Figura 1.4, el auditor deberá
ejercer su juicio profesional y su escepticismo a lo
largo de todo el trabajo, al mismo tiempo que toma
en consideración los otros elementos de los
principios generales. Estos elementos deberán
estar al nivel de la EFS para garantizar que la
auditoría de cumplimiento se realice de
conformidad con las normas.

Los principios fundamentales se agrupan de

acuerdo a principios relacionados con los requisitos
organizativos de la EFS, los cuales son los
Principios Generales12, y principios relacionados
con pasos específicos del proceso de auditoría,
como la planificación, ejecución y presentación de
informes.

Juicio y escepticismo

Habilidades,
Control de capacidad y Riesgo de Importancia
Documentación Comunicación
calidad experiencia del auditoría relativa
equipo de auditoría

Figura 1.4: Principios generales de las auditorías de cumplimiento

12
ISSAI 400.4

Página 14
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
Juicio profesional y
escepticismo
Juicio profesional es la aplicación de la
capacitación, conocimiento y experiencia
necesarias dentro del contexto previsto por las
normas de auditoría, de manera que puedan
tomarse decisiones informadas acerca del curso de
acción más adecuado dadas las circunstancias de
la auditoría13. Es la forma en que un auditor ve los
diferentes contextos o situaciones desde diferentes
ángulos y perspectivas con base en su
conocimiento y experiencia profesional.
Competencia
Juicio
Profesional
Actitud
Figura 1.5: Juicio profesional y escepticismo
El escepticismo se refiere a mantener una distancia
profesional y una actitud alerta e inquisitiva al
evaluar la suficiencia y pertinencia de la evidencia
obtenida a lo largo de la auditoría. Por ejemplo, un
auditor no debe creer en lo que se da hasta haber
obtenido cierta seguridad de que lo dicho es
correcto.
Control de calidad
Esto se refiere a que los procesos con los que se
cuenta para revisar la calidad general de la
auditoría de cumplimiento con el fin de asegurar
que la auditoría cumple con las normas aplicables
y que el informe, la conclusión o la opinión de la
auditoría son apropiados conforme a las
circunstancias. Algunas EFS ya han establecido
unidades de control de calidad para este propósito.
Los informes de auditoría se emiten únicamente
13
ISSAI 400.43
después de que las EFS han hecho esta
evaluación. Mayor información sobre el control de
calidad se da en la ISSAI 40: Control de Calidad
para la EFS.
Habilidades, capacidad y
experiencia del equipo de
auditoría
El equipo de auditoría deberá poseer en conjunto
el conocimiento, las habilidades y la experiencia
necesarias para completar con éxito la auditoría.
Esto incluye un buen conocimiento y experiencia
práctica del tipo de auditoría que se está llevando a
cabo, así como estar familiarizados con las
disposiciones legales y normativas y reglamentos
aplicables, comprender las operaciones de la
entidad auditada y tener la capacidad y experiencia
para emitir un juicio profesional. En todas las
auditorías es común la necesidad de contratar
personal calificado, ofrecerle oportunidades de
desarrollo profesional y capacitación, elaborar
manuales y otras guías e instrucciones escritas
relativas a la conducción de las auditorías y asignar
suficientes recursos para la auditoría. Los auditores
deben mantener su nivel de competencia
profesional a través de un continuo desarrollo
profesional14.
Riesgo de auditoría
El riesgo de auditoría es el riesgo de que el
informe, la conclusión o la opinión del auditor sean
inapropiados. La auditoría de cumplimiento deberá
realizarse para reducir el riesgo de auditoría a un
nivel aceptablemente bajo de acuerdo con las
circunstancias. Los diferentes componentes del
riesgo de auditoría incluyen el riesgo inherente, el
riesgo de control y el riesgo de detección.
Importancia relativa
Un objeto de la revisión puede considerarse de
importancia relativa si el conocimiento que se tiene
de él puede influir en las decisiones de los usuarios
previstos. Por ejemplo, el incumplimiento con los
términos y condiciones de un contrato de
financiamiento se considerará importante si dicho
14
ISSAI 400.45
Página 15
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

incumplimiento pudiera hacer que las instituciones
que dan el financiamiento dejaran de hacerlo o
impusieran controles más estrictos como una
condición previa para seguir haciéndolo.
La materialidad o importancia relativa (materiality
en inglés) se puede relacionar con una partida
individual o con un grupo de partidas tomadas en
conjunto. La importancia relativa se considera a
menudo en términos de valor, pero también tiene
otros aspectos cuantitativos y cualitativos. Las
características inherentes de una partida o un
grupo de partidas pueden hacer que un objeto de
la revisión sea de importancia relativa por su propia
naturaleza. Un asunto también puede ser de
importancia relativa por el contexto en el que
ocurre.
Documentación y comunicación
Contar con suficiente documentación de auditoría
es importante en todos los pasos de la auditoría de
cumplimiento. Esto es para asegurar que todos los
pasos y decisiones tomadas durante la auditoría
estén debidamente justificados y documentados de
manera que, si un auditor experimentado que no
ha tenido conocimiento previo o relación con la
auditoría la revisa, entonces la documentación de
auditoría le permitirá comprenderla. Mayor
información al respecto se dará en el Capítulo 5 de
este manual relativo a la Documentación y
Comunicación en las auditorías de cumplimiento.
al interior del equipo de auditoría. También ayudará
a mantener a todas las partes informadas acerca
del progreso de la auditoría y ayudar de manera
efectiva a resolver cualquier asunto que pudiera
obstruir la conducción de la auditoría y causar
demoras.
La comunicación incluye obtener datos relevantes
para la auditoría y proporcionarle a la dirección y
los encargados de la administración observaciones
oportunas e información sobre los resultados a lo
largo de todo el proceso. Cualquier dificultad
significativa que se encuentre durante la auditoría,
así como los casos importantes de incumplimiento
deberán comunicarse al nivel de dirección
adecuado o a los encargados de la
administración15. Esto ayudará a rectificar cualquier
desviación o hallazgo que el auditor encuentre
inmediatamente o en una etapa temprana, en vez
de más tarde cuando el impacto del hallazgo
pudiera ser importante y difícil de resolver. El
auditor también puede tener la responsabilidad de
comunicar los objetos de la revisión relacionados
con la auditoría a otros usuarios, como los órganos
legislativos o de supervisión.

Por su parte, la comunicación tiene lugar en todas

las etapas de la auditoría: antes de que empiece,
durante la fase de planificación inicial, durante la
obtención y evaluación de evidencia y en la fase de
elaboración y presentación de informes. Es
esencial que la entidad auditada junto con la EFS
se mantengan informados acerca de todos los
asuntos relacionados con la auditoría. Esto resulta
clave para desarrollar una relación de trabajo
constructiva entre el auditor y la entidad, así como

15
ISSAI 400.49

Página 16
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

1.7 PROCESO DE LA AUDITORÍA DE CUMPLIMIENTO

El siguiente diagrama describe los pasos de una auditoría de cumplimiento.

• Determinar el alcance de la auditoría de cumplimiento

•
Documentación, Comunicación, Control de Calidad

Consideraciones Considerar los principios que son éticamente significativos

(p. ej. independencia y objetividad)
iniciales • Asegurar que se cuenta con procedimientos de control de
calidad

• Determinar los elementos de la auditoría

• Identificar el objeto de la revisión y los criterios
• Tener un conocimiento adecuado de la entidad y su entorno
• Desarrollar una estrategia y plan de auditoría
Planificación de la • Conocer el sistema de control interno
• Establecer la importancia relativa con fines de planificación
auditoría
• Evaluar los riesgos
• Planear los procedimientos de auditoría para obtener una
seguridad razonable
• Considerar incumplimientos que pudieran revelar posibles
actos irregulares

Ejecución de la
auditoría y • Reunir evidencia a través de varios medios
recopilación de • Actualizar continuamente la planificación y evaluación de
evidencia riesgos

• Evaluar si se ha obtenido evidencia suficiente y pertinente

Evaluación de la
• Considerar la importancia relativa para la elaboración y
evidencia y presentación de los informes
formación de • Sacar conclusiones
conclusiones • Obtener declaraciones por escrito según sea necesario
• Abordar hechos posteriores según sea necesario

• Preparar el informe
Elaboración de • Incluir recomendaciones y respuestas de la entidad según
informes corresponda
• Dar seguimiento a informes previos según sea necesario

Figura 1.6: Proceso de la auditoría de cumplimiento

Página 17
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
i. Consideraciones iniciales y
planificación de la auditoría
En la fase inicial los auditores determinan el
objetivo y alcance de la auditoría, consideran los
principios que son éticamente significativos, es
decir, independencia y objetividad, y se aseguran
de contar con procedimientos de control de calidad.
En la fase de planificación el auditor examina la
relación entre el objeto de la revisión, los criterios y
el alcance de la auditoría de cumplimiento. Para
hacer esto los auditores se guían por su juicio
profesional y la necesidad de los usuarios
previstos. Una vez que determinan el objeto de la
revisión, los criterios y el alcance de la auditoría,
los auditores trabajan en la estrategia y el plan de
auditoría. Para ello necesitan conocer el sistema
de control interno, establecer la importancia
relativa, evaluar los riesgos de la entidad y planear
los procedimientos como parte del diseño de la
auditoría de cumplimiento.
ii. Ejecución de la auditoría y
recopilación de evidencia
En esta fase los auditores reúnen y documentan la
evidencia para sacar una conclusión o expresar
una opinión respecto a si el objeto de la revisión,
en todos los aspectos importantes, cumple con los
criterios establecidos. En algunos casos es
probable que los auditores tengan que cambiar el
alcance de la auditoría de cumplimiento cuando
encuentren evidencia que sugiera la necesidad de
hacerlo. Por ejemplo, mientras están reuniendo
evidencia, los auditores pueden encontrar algo que
indica la posibilidad de fraude, por lo que quizá
deban modificar sus procedimientos. Asimismo,
deberán documentar la razón por la que hicieron
cambios en el plan de auditoría.
iii. Evaluación de la evidencia y
formación de conclusiones
Al final de la auditoría los auditores examinan la
evidencia para saber si es suficiente y apropiada
con el objetivo de sacar una conclusión o expresar
una opinión respecto a si el objeto de la revisión
cumple o no con los criterios establecidos. En esta
etapa el auditor debe considerar la importancia
relativa para la elaboración y presentación de
informes.
iv. Elaboración de informes
La conclusión u opinión se presenta en forma de
informe dirigido al presunto usuario. Aquí el auditor
incluye las recomendaciones y respuestas de la
entidad.
En los siguientes capítulos este manual presenta
información adicional sobre los elementos de la
auditoría de cumplimiento. También tiene capítulos
separados sobre los pasos que debe seguir la
auditoría de cumplimiento. Es importante recordar
que, como se muestra en la Figura 1.6, la
documentación, comunicación y control de calidad
corren a lo largo de todo el proceso y son
requisitos significativos de las ISSAI, por lo que
deben considerarse en todas las etapas de la
auditoría.
1.8 CONCLUSIÓN
Para muchas EFS la auditoría de cumplimiento es
su actividad central. Es distinta de los otros tipos
de auditoría ya que se enfoca en asegurar que las
entidades auditadas o el objeto, materia o asunto
cumplan con las leyes, reglas, reglamentos,
procedimientos, términos contractuales y/o
acuerdos aplicables. Asimismo, puede realizarse
como una actividad independiente o junto con
auditorías financieras y de desempeño. Las ISSAI
le dan a las EFS la oportunidad de revisar sus
prácticas actuales y modificarlas tanto como su
mandato, leyes y reglamentos lo permitan. En el
siguiente capítulo describiremos con detalle los
principales conceptos de la auditoría de
cumplimiento. Acto seguido se explicarán las fases
de la auditoría de cumplimiento, es decir, la
planificación y el diseño de la auditoría, la
recopilación de evidencia, la evaluación de la
evidencia, la formación de conclusiones, y la
elaboración de informes.
Página 18
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

Capítulo 2:

Principales conceptos de las

auditorías de cumplimiento

Página 19
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
2.1 INTRODUCCIÓN
Este capítulo se basa en los conceptos básicos de
la auditoría de cumplimiento proporcionados en el
primer capítulo. El capítulo se enfoca en el
concepto de seguridad, explicando las similitudes y
diferencias que hay entre los diferentes niveles de
seguridad que las EFS le dan a los usuarios
previstos: seguridad razonable y seguridad
limitada.
2.2 DEFINICIÓN DE AUDITORÍA
Y DE AUDITORÍA DE
CUMPLIMIENTO
Como se definió en el Capítulo 1, "las auditorías
del sector público pueden describirse como un
proceso sistemático para obtener y evaluar de
manera objetiva evidencia que permita determinar
si la información o las condiciones actuales se
ajustan a los criterios establecidos”1. La auditoría
de cumplimiento se basa en esta definición con un
enfoque específico en los criterios derivados de las
normas (para una definición de “criterios”, véase la
sección 2. 4).
La auditoría de cumplimiento es una evaluación
independiente para determinar si un objeto de
revisión dado cumple con las disposiciones legales
y normativas aplicables identificadas como
criterios. Las auditorías de cumplimiento se llevan
a cabo para evaluar si las actividades, las
operaciones financieras y la información cumplen,
en todos los aspectos importantes, con las
disposiciones legales y normativas que regulan a la
entidad auditada2.
Las ISSAI también definen las partes de una
auditoría de cumplimiento, así como la relación que
existe entre ellas:
Las auditorías de cumplimiento se basan en una
relación de tres partes, en la que el auditor trata de
obtener evidencia de auditoría suficiente y
apropiada con el fin de expresar una conclusión
que permita aumentar el grado de confianza de los
1 3
ISSAI 100.18.
2 4
ISSAI 400.12.
usuarios previstos, diferentes a la parte
responsable, en la medición o evaluación del
objeto de la revisión conforme a los criterios
establecidos3.
Con base en las definiciones anteriores, este
capítulo examinará los siguientes conceptos:
• El objeto de la revisión y la información del
mismo
• Las disposiciones legales y normativas, así
como los criterios
• El riesgo de auditoría
• La importancia relativa
• La relación de las tres partes
→ el auditor
→ la parte responsable
→ los usuarios previstos
• El nivel de seguridad
→ trabajos de seguridad razonable
→ trabajos de seguridad limitada
• Los trabajos de certificación (compromisos
de atestiguamiento) y de información directa
(compromisos de elaboración de informes
directos)
• El juicio profesional y el escepticismo
2.3 OBJETO DE LA REVISIÓN E
INFORMACIÓN DEL OBJETO DE
LA REVISIÓN
Las ISSAI establecen que "… dentro del contexto
de las auditorías de cumplimiento, la
responsabilidad del auditor incluye determinar si la
información relacionada con un objeto de la
revisión en particular cumple, en todos los
aspectos importantes, con los criterios relevantes,
como leyes, reglamentos, directivas, términos
contractuales, acuerdos, etc.”4
El objeto de la revisión (subject matter en inglés)
depende del mandato de la EFS, las disposiciones
legales y normativas relevantes y el alcance de la
auditoría. Debido a esto, el contenido y alcance del
objeto de la revisión de la auditoría de
cumplimiento puede variar ampliamente. Puede
ISSAI 400.35.
ISSAI 4100. 4, ISSAI 4200.4
Página 20
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
tomar diversas formas y tener diferentes
características dependiendo del objetivo y alcance
de la auditoría5. Por ejemplo, puede referirse a la
información, situación o actividad que se está
midiendo o evaluando conforme a determinados
criterios.
Por su parte, la información del objeto de la
revisión (subject matter information en inglés) se
refiere al resultado de evaluar o medir el objeto de
la revisión de acuerdo a los criterios.
Ejemplo 1: Objeto de la revisión: Desempeño financiero
y uso de los fondos asignados a una entidad del
gobierno. Información del objeto: Información financiera,
como por ejemplo los estados financieros.
Ejemplo 2: Objeto de la revisión: Gastos relacionados
con las actividades de capacitación de una entidad del
gobierno. Información del objeto: Información e informes
financieros de las actividades de capacitación.
La auditoría de cumplimiento evalúa el objeto de la
revisión o la información del objeto de la revisión,
de acuerdo con los criterios relevantes. Mayor
información acerca de la distinción entre estos dos
conceptos se encuentra en la sección 2.7 relativa a
los trabajos de certificación (compromisos de
atestiguamiento) y de información directa
(compromisos de elaboración de informes
directos).
Identificación del objeto de la
revisión
La definición de objeto de la revisión en las normas
de auditoría de cumplimiento es flexible. Esta
flexibilidad responde a las diversas necesidades de
las EFS que pueden ver el concepto de manera
diferente y les permite concentrar sus recursos
donde más se necesitan.
Por ejemplo, en algunas EFS el objeto de la
revisión de una auditoría de cumplimiento consiste
en una entidad (o la información del objeto como
las "cuentas" de la entidad) sin definir un objetivo
más específico. Viendo la definición, es posible
5
ISSAI 100.28 e ISSAI 400.33
tomar a la "entidad" como objeto de la revisión. En
este caso el alcance de la auditoría cubrirá todas
las actividades de la entidad y las disposiciones
legales y normativas que la regula. Sin embargo,
dar una conclusión sobre un objetivo tan amplio
puede representar un gran reto.
Por esta razón, las ISSAI reconocen la relación
entre el objeto de la revisión y el alcance de las
auditorías de cumplimiento. La definición dada
arriba señala que "el objeto de la revisión depende
del mandato de la EFS, las disposiciones legales y
normativas relevantes y el alcance de la auditoría."
Esto significa que cuando los auditores planean
una auditoría de cumplimiento, normalmente
empiezan con un objeto de revisión más grande,
como la entidad, pero conforme van delimitando el
objetivo durante el proceso de planificación
modifican el objeto de la revisión y alcance para
tener una auditoría más enfocada, cuyos
resultados serán más significativos para los
usuarios.
Por ejemplo, los auditores pueden empezar la
planificación considerando al "sistema de salud"
como el objeto de la revisión y eventualmente
delimitar su alcance para auditar "el suministro de
agua potable":
Ejemplo: Alcance de la auditoría de cumplimiento de
una Iniciativa para el Suministro de Agua Potable.
La EFS de Paquistán incluyó al Sector Salud en su plan
de auditoría de 2013 debido a que el sector recibió un
considerable apoyo por parte del gobierno y diversas
instituciones financieras durante los últimos años. Lo
que llamó la atención sobre esta área fue la baja en los
indicadores clave de salud a pesar de las grandes
inversiones, así como los informes de los medios de
comunicación que criticaban el manejo indebido de los
problemas de salud pública por parte del gobierno.
Al principio los auditores pensaron en cubrir los
mecanismos para la prestación de servicios desde las
instituciones de salud primarias hasta las terciarias. El
país contaba con un elaborado marco legal que incluía
disposiciones constitucionales y otras políticas y
procedimientos para darle servicios de salud a todos los
ciudadanos. Sin embargo, durante el proceso de
planificación los auditores descubrieron que muchos
indicadores estaban relacionados con la baja calidad del
agua potable. Estos eran entre otros la tasa de
mortalidad infantil, la salud materna y la proporción de
Página 21
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
niños por debajo de los cinco años con problemas de
desnutrición que mostraban una baja en los indicadores.
Al mismo tiempo, los auditores notaron que una parte
importante del financiamiento del sector salud se usaba
para crear instalaciones de agua potable para la gente
pobre y vulnerable del país, por lo que decidieron
delimitar el alcance de la auditoría únicamente al
suministro de agua potable.
La revisión de los auditores del proceso de planificación
también indicó que se disponía de parámetros y criterios
apropiados para este trabajo.
En algunos países el objeto de la revisión de las
auditorías de cumplimiento puede estar indicado
por las leyes, mientras que en otros puede estar
determinado por la evaluación de riesgos y la
aplicación del juicio profesional. Por ejemplo, en
algunas EFS las entidades auditables se han
clasificado en entidades de alto, mediano y bajo
riesgo. De esta manera, las EFS llevan a cabo
auditorías de cumplimiento de las entidades de alto
riesgo cada año, mientras que las de mediano y
bajo riesgo se auditan cada tres años. Las EFS
deben desarrollar una forma para determinar el
objeto de la revisión de las auditorías de
cumplimiento tomando en consideración sus
circunstancias particulares y la flexibilidad
disponible dentro del marco de las ISSAI.
2.4 DISPOSICIONES LEGALES Y
NORMATIVAS (AUTORIDADES)
Las disposiciones legales y normativas (authorities
en inglés) son el elemento fundamental de las
auditorías de cumplimiento, ya que su estructura y
contenido constituyen los criterios para la auditoría
y, por lo tanto, son la base para saber cómo debe
proceder la auditoría bajo un acuerdo
constitucional específico. Estas disposiciones
legales y normativas pueden incluir reglas, leyes y
reglamentos, resoluciones presupuestarias,
políticas, códigos, términos acordados o los
principios generales que rigen una sólida
administración financiera del sector público y la
conducta de los funcionarios públicos6.
6 7
ISSAI 400.28 y 29.
La cantidad de trabajo que el auditor debe realizar
para obtener un conocimiento suficiente del marco
legal y regulatorio dependerá de la naturaleza y
complejidad de las leyes y reglamentos. Sin
embargo, el auditor sólo necesita comprender las
partes de la legislación que son relevantes para la
auditoría. En todos los casos, la entidad auditada
conserva la responsabilidad final por asegurar el
cumplimiento con las leyes y reglamentos
aplicables.
Disposiciones legales y
normativas contradictorias
Debido a la gran variedad de posibles
disposiciones legales y normativas, puede ser que
algunas de sus disposiciones entren en conflicto y
estén sujetas a diferentes interpretaciones.
Además, las disposiciones legales y normativas
subordinadas pueden no ser consistentes con los
requerimientos o límites de la legislación aplicable
y existir vacíos legislativos. Como resultado, para
evaluar el cumplimiento con estas disposiciones
legales y normativas en el sector público es
necesario contar con un buen conocimiento de la
estructura y contenido de las mismas7.
Si el auditor identifica disposiciones legales y
normativas contradictorias, es importante que
considere su jerarquía: el nivel más alto de
disposiciones legales y normativas prevalecerá
sobre sus subordinadas. Por ejemplo, si algo se ha
definido en la ley acerca del objeto de la revisión,
los reglamentos internos de una entidad deberán
estar en línea con esta ley. De no ser así, los
auditores deberán señalar la contradicción y, si su
mandato se los permite, recomendar un cambio en
los reglamentos.
De manera similar, en los casos en los que los
auditores tengan duda acerca de la correcta
interpretación de una norma, deberán revisar la
información de respaldo para comprender la
intención y las premisas de la ley antes de usar
esta norma como parámetro. Cuando enfrenten
esta situación, los auditores podrán traerla a la
atención de sus superiores de manera que se siga
el curso de acción más adecuado durante la
auditoría.
ISSAI 400.30.
Página 22
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
Criterios
Los criterios son los parámetros o puntos de
referencia que se derivan de las disposiciones
legales y normativas y se usan para evaluar el
objeto de la revisión de manera consistente y
razonable. Los criterios pueden ser específicos o
generales y pueden extraerse de varias fuentes,
incluyendo leyes, reglamentos, preceptos,
principios y las mejores prácticas.
En una auditoría de cumplimiento, los criterios
pueden variar considerablemente de una auditoría
a otra. Las ISSAI establecen que "los criterios
pueden incluirse en el informe directamente o el
informe puede hacer referencia a ellos si están
contenidos en una aseveración de la dirección o
están disponibles de alguna otra forma a partir de
una fuente confiable y fácilmente accesible.”8
Cualquiera que sea la opinión que se elija, es
importante identificar claramente los criterios en el
informe de auditoría, de manera que los usuarios
de éste puedan entender las bases sobre las que
se sustenta el trabajo y las conclusiones de los
auditores.
Los criterios deberán ponerse a disposición de los
usuarios previstos para permitirles entender la
forma en que se evaluó y midió el objeto de la
revisión. Sin el marco de referencia proporcionado
por criterios adecuados, cualquier conclusión está
abierta a interpretación y malentendidos.
Las ISSAI destacan con frecuencia la necesidad de
aplicar criterios adecuados al evaluar los aspectos
de regularidad y comportamiento de una entidad.
La razón es que la calidad de una opinión y
conclusión en las auditorías de cumplimiento
depende en gran parte de la forma en que los
auditores establecen y aplican los criterios de
auditoría en su trabajo. Se espera que los
auditores realicen una correcta evaluación de
riesgos para determinar qué requisitos de
cumplimiento corren el riesgo de ser violados y,
con base en eso, diseñar y llevar a cabo
procedimientos para detectar tales instancias. De
este modo, los auditores deben usar su juicio
profesional al determinar y aplicar los criterios.
8 9
ISSAI 4100.145, ISSAI 4200.152.
Dos tipos de criterios se necesitan en las normas
de cumplimiento conforme al marco de referencia
de las ISSAI: (a) aquellos que están basados en
disposiciones legales y normativas establecidas, y
(b) aquellos que capturan los aspectos
relacionados con la gestión o comportamiento.
Gestión o comportamiento
La gestión o comportamiento (propriety en inglés)
se define como la "observancia de los principios
generales que rigen una administración financiera
sólida y el comportamiento de los funcionarios
públicos”9. El uso de la gestión o comportamiento
como base para la auditoría puede ser común en
algunas EFS, pero existen otras que no cuentan
con las disposiciones legales y normativas y el
mandato para evaluar este aspecto. Algunas EFS
utilizan incluso este enfoque en las "auditorías de
gestión" conducidas a solicitud del
Parlamento/Congreso.
Si una EFS cuenta con el mandato, entonces los
auditores también deben considerar los aspectos
relacionados con el correcto desempeño de las
auditorías de cumplimiento. Normalmente esto
requiere que los auditores comprueben que la
entidad auditada ha seguido los principios de una
administración financiera sólida y que sus
funcionarios han actuado de forma transparente y
equitativa al tomar decisiones críticas para la
entidad. Con base en esta revisión los auditores
establecen los criterios y el alcance de auditoría de
cumplimiento.
Los criterios basados en disposiciones legales y
normativas establecidas son relativamente fáciles
de desarrollar y aplicar, ya que los auditores, para
comprender el trabajo de una entidad auditada,
deben examinar estas disposiciones legales y
normativas. De esta manera, saben qué
disposiciones legales y normativas son
significativas y las usan como parámetros. Sin
embargo, establecer criterios adecuados para la
correcta gestión o comportamiento, representa
todo un reto, ya que estos pueden ser menos
formales y requerir que se consideren las
expectativas del público en relación con las
ISSAI 400.13.
Página 23
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
acciones y el comportamiento de los funcionarios
del gobierno. Todo esto depende de si los aspectos
relativos a la correcta gestión o comportamiento se
han descrito en las disposiciones legales y
normativas. De no ser así, el auditor deberá extraer
los criterios de principios generalmente aceptados
o de las mejores prácticas nacionales o
internacionales. En algunos casos éstos pueden
estar sin codificar, ser implícitos o basarse en
principios legales superiores.
Es importante comprender que cuando los
auditores cuestionan la correcta gestión o
comportamiento, cuestionan el juicio profesional de
los funcionarios públicos. Los aspectos
relacionados con la correcta gestión o
comportamiento pueden ser subjetivos y, por lo
tanto, las conclusiones del auditor pueden ser
difíciles de defender. Por lo tanto, si los criterios no
han sido definidos por las disposiciones legales y
normativas, es importante identificar los que
conlleven las cualidades descritas en las ISSAI. De
acuerdo con esto, los criterios deben ser
"relevantes, confiables, completos, objetivos,
comprensibles, comparables, aceptables y estar
disponibles.”10
10
ISSAI 400.31.
2.5 LAS TRES PARTES
Comprender las auditorías del sector público
requiere conocer a las partes involucradas. En
pocas palabras:
• El término auditor se refiere a la EFS.
• Los usuarios previstos son los individuos u
organizaciones para los cuales el auditor
prepara el informe de auditoría. En muchos
países el Parlamento/Congreso es considerado
el principal usuario. Sin embargo, de acuerdo
con las ISSAI, también pueden ser los órganos
de supervisión, los encargados de la
administración pública o el público en general.11
• La parte responsable se refiere a los
funcionarios públicos (y por lo tanto a la entidad
gubernamental que está siendo auditada) que
son responsables del objeto de la revisión.
Para comprender a las tres partes es importante
considerar la relación entre ellas. Necesitamos
examinar lo que cada parte espera de las demás y
cómo se cumplen estas expectativas.
Aunque existen diferentes modelos, normalmente
el Parlamento/Congreso le da al gobierno la
facultad de realizar tareas específicas
proporcionando fondos por medio de un
presupuesto y estableciendo un marco legal que
regule el gasto de dichos fondos. El Poder
Ejecutivo (los funcionarios públicos) es
responsable de la administración de los fondos
públicos. En teoría, el ejercicio de la actividad de
control está a cargo del poder legislativo. Sin
embargo, en la práctica establecer este control
depende de recibir información acerca de la forma
en que las entidades están cumpliendo su
mandato. Es por ello que el poder legislativo
necesita información acerca de las entidades y sus
actividades para poder tomar decisiones.
Comprender a los usuarios previstos es esencial,
ya que ellos serán los que reciben los informes de
auditoría. Una EFS debe estar al tanto de las
necesidades de información de los usuarios y de la
forma en que utilizarán la información que reciben.
11
ISSAI 100.25.
Página 24
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
El papel de la información para
entender a las tres partes
La relación entre las tres partes del sector público
puede explicarse por medio del modelo principal-
agente. Cuando una persona (el principal) contrata
o acuerda con otra persona (el agente) la
realización de tareas en su nombre, se establece
una relación. A continuación el principal le delegará
la autoridad y los recursos necesarios al agente
para que conduzca las tareas. Al mismo tiempo, el
principal necesita asegurarse que el agente está
realizando las tareas y usando los recursos en
conformidad con el acuerdo. Sin embargo, existe
cierto desequilibrio en esta relación. Aunque el
principal conserva la autoridad, es muy difícil
supervisar las decisiones y el desempeño del
agente. El principal no puede confiar solamente en
la buena voluntad del agente, ya que es muy
probable que el agente tenga una agenda y
prioridades diferentes a las del principal. Por lo
tanto, el principal necesita información que le
permita supervisar, aunque toda la información
acerca de las actividades es producida por el
agente o está en sus manos.
En el sector público existen muchos niveles de la
relación principal-agente, como los siguientes: el
principal es el público y el agente es el
Congreso/Parlamento; el Congreso/Parlamento es
el principal y el agente es el gobierno; el gobierno
es el principal y el agente es la secretaría o el
ministerio…
Este modelo es muy útil para explicar el papel de la
auditoría. Los auditores juegan un papel esencial
para equilibrar la asimetría que existe en la
información entre el principal y el agente. Los
informes de la EFS proporcionan una evaluación
independiente de las actividades de los agentes,
por lo que pueden ser considerados responsables
ante los principales.
2.6 SEGURIDAD
Las normas de las auditorías de cumplimiento
señalan que éstas pueden cubrir una amplia
variedad de objetos de revisión y que pueden
realizarse para proporcionar una seguridad
razonable o limitada usando varios tipos de
criterios, procedimientos para la recopilación de
evidencia y formatos para la elaboración de
informes. Las auditorías de cumplimiento pueden
ser trabajos de certificación (compromisos de
atestiguamiento) o de información directa
(compromisos de elaboración de informes directos)
o ambos al mismo tiempo12. Esta sección describe
el concepto de seguridad.
Las ISSAI señalan que los usuarios previstos
desean tener la seguridad de que la información
que utilizan es lo suficientemente confiable y
relevante como base para tomar decisiones. Las
auditorías por lo tanto les proporcionan información
basada en evidencia suficiente y apropiada, y los
auditores deben llevar a cabo procedimientos que
les permitan reducir o administrar el riesgo de
llegar a conclusiones inadecuadas13.
Cada auditoría conducida por la EFS es un trabajo
de aseguramiento. La seguridad que busca dar
puede proporcionarse a través de opiniones y
conclusiones que transmiten explícitamente el nivel
de seguridad, así como en otras formas14. El
presente manual sólo describirá las opiniones y
conclusiones que transmiten una seguridad
razonable o limitada de acuerdo con las ISSAI para
auditorías de cumplimiento.
Examinemos ahora el concepto de seguridad más
de cerca:
Los funcionarios públicos son responsables de
hacer funcionar a las entidades públicas en
conformidad con las disposiciones legales y
normativas que regulan sus actividades y lograr el
nivel de rendimiento que se espera de ellas. Si, por
alguna razón, la entidad no cumple con las
disposiciones legales y normativas, entonces esto
significa que los funcionarios son los responsables.
Por ejemplo, si una entidad gubernamental
proporciona información al Congreso/Parlamento
acerca de su incumplimiento con las disposiciones
legales y normativas o acerca de su pobre
desempeño, esto podría llevar a la sustitución de
los altos funcionarios de la entidad.
12
ISSAI 400.15.
13
ISSAI 100.31.
14
ISSAI 100.32.
Página 25
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
Bajo tales circunstancias es posible que la parte
responsable se vea tentada a proporcionar
información falsa o insuficiente a los usuarios. Por
razones similares, los usuarios necesitan que una
tercera parte independiente evalúe la información.
También puede haber casos en los que la parte
responsable no proporcione información a los
usuarios y éstos exijan una evaluación
independiente de la situación. Ambos casos se
refieren a la "seguridad" proporcionada por la EFS.
La auditoría de cumplimento se define como "un
proceso sistemático para obtener y evaluar de
manera objetiva evidencia que permita determinar
si la información o las condiciones actuales se
ajustan a los criterios establecidos”15. El auditor
deberá revisar que la información proporcionada
por las entidades gubernamentales o la situación
actual de dichas entidades cumpla con las
disposiciones legales y normativas (leyes y
reglamentos aplicables, etc.) A partir de la auditoría
la EFS preparará un informe para los usuarios, en
el cual se incluya una conclusión sobre el objeto de
la revisión. De esta manera, el auditor estará
proporcionando una seguridad específica que
reduce el riesgo de usar tal información. En las
ISSAI esto se conoce como "aumentar el grado de
confianza de los usuarios previstos".
El auditor lleva a cabo procedimientos para reducir
o administrar el riesgo de presentar conclusiones
incorrectas, reconociendo que, debido a las
limitaciones inherentes a todas las auditorías,
ninguna auditoría puede proporcionar una
seguridad absoluta sobre la situación del objeto de
la revisión. Esto se debe comunicar de forma
transparente. En la mayoría de los casos una
auditoría de cumplimiento no cubre todos los
elementos del objeto de la revisión, sino que se
basa en cierto grado de muestreos cualitativos o
cuantitativos16.
La seguridad en las auditorías
financieras y de cumplimiento
Es importante distinguir el uso del término
"seguridad" (assurance en inglés) en las auditorías
de cumplimiento del uso que se le da en las
15
ISSAI 100.18.
16
ISSAI 400.40.
auditorías financieras. De acuerdo con las normas
para auditorías financieras el trabajo realizado por
un auditor se refiere como auditoría únicamente si
proporciona una "seguridad razonable". Si el
trabajo proporciona una "seguridad limitada",
entonces se le refiere como "revisión" en vez de
auditoría. En comparación, la auditoría de
cumplimiento tiene un alcance metodológico más
amplio y cubre tanto la seguridad razonable como
la limitada. Además, la seguridad limitada tiene un
alcance más amplio que una revisión17.
Seguridad razonable y limitada
Las auditorías de cumplimiento que se llevan a
cabo obteniendo una seguridad aumentan la
credibilidad de la información proporcionada por el
auditor u otra parte. En las auditorías de
cumplimiento existen dos niveles de seguridad: la
seguridad razonable, que indica que, en opinión del
auditor, el objeto de la revisión o asunto
examinado cumple o no, en todos los aspectos
importantes, con los criterios establecidos; y la
seguridad limitada, que indica que nada ha llamado
la atención del auditor para hacer que crea que el
objeto de la revisión no está cumpliendo con los
criterios. Tanto la seguridad razonable como la
seguridad limitada pueden darse en los trabajos de
certificación (compromisos de atestiguamiento) y
en los de información directa (compromisos de
elaboración de informes directos) de las auditorías
de cumplimiento18.
Los términos "razonable" y "limitada" se han
escogido específicamente porque incluso si el
auditor es meticuloso en su trabajo, siempre existe
la posibilidad de que no identifique casos de
incumplimiento y por lo tanto llegue a una
conclusión errónea. Así, no es posible proporcionar
una seguridad absoluta (del cien por ciento).
Los niveles de seguridad se examinarán más
adelante en la planificación de la auditoría, ya que
la decisión de proporcionar una seguridad
17
Aunque la ISSAI 4100.16 señala que “los trabajos de
seguridad limitada no se consideran una auditoría, sino
más bien un trabajo de revisión”, la ISSAI 400 sustituye
esta declaración estipulando que la auditoría de
cumplimiento proporciona una seguridad razonable o
limitada (párrafos 15 y 41).
18
ISSAI 400.41.
Página 26
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

razonable o limitada tendrá un fuerte impacto en el 2.7 TRABAJOS DE

diseño de la misma.
CERTIFICACIÓN
(COMPROMISOS DE
ATESTIGUAMIENTO) Y DE
INFORMACIÓN DIRECTA
(COMPROMISOS DE
ELABORACIÓN DE INFORMES
DIRECTOS)
Esta sección describe dos tipos de auditorías con
base en las normas. Aunque los términos y
definiciones usados para describir estos trabajos
son familiares para los auditores financieros, es
posible que sean nuevos para los que realizan
auditorías de cumplimiento. Es importante recordar
que a los conceptos se les ha dado un significado
más amplio en relación con el contexto de las
auditorías de cumplimiento del sector público.
Estos conceptos se describirán con detalle en las
siguientes secciones.

Las auditorías del sector público se pueden

clasificar en dos tipos diferentes: trabajos de
certificación (compromisos de atestiguamiento) y
trabajos de información directa (compromisos de
elaboración de informes directos)19:

• En los trabajos de certificación (attestation

engagements en inglés) (compromisos de
atestiguamiento) la parte responsable mide el
objeto de la revisión conforme a los criterios y
presenta la información del objeto, sobre la cual
el auditor reúne evidencia de auditoría
suficiente y apropiada para tener una base
razonable que le permita expresar una
conclusión.

• En los trabajos de información directa (direct

reporting engagements en inglés) es el auditor
quien mide o evalúa el objeto de la revisión
conforme a los criterios. El auditor selecciona el
objeto de la revisión y los criterios tomando en
consideración el riesgo y la importancia relativa.
El resultado de la medición se presenta en el
informe de auditoría en forma de hallazgos,
conclusiones, recomendaciones o una opinión.

19
ISSAI 100.24.

Página 27
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

La auditoría también puede proporcionar nueva
información, análisis o perspectivas20.
Asimismo, la conclusión puede expresarse
como una respuesta más elaborada a
preguntas específicas de la auditoría21.
Las auditorías de cumplimiento pueden ser
trabajos de certificación (compromisos de
atestiguamiento) o de información directa
(compromisos de elaboración de informes directos)
o ambos al mismo tiempo. La diferencia radica en
quién prepara la información: la parte responsable
o el auditor.

El objeto de la revisión de una auditoría de

cumplimento es definido por el alcance de la
auditoría. Pueden ser actividades, operaciones
financieras o información. En el caso de los
trabajos de certificación (compromisos de
atestiguamiento), resulta más relevante enfocarse
en la información del objeto, la cual puede ser una
declaración de cumplimiento en conformidad con
un marco de información establecido y
estandarizado22.

La diferencia entre los dos tipos de auditoría está

relacionada con el objeto de la revisión y la
información del objeto y nos remite a la
definición de auditoría: "Las auditorías del sector
público pueden describirse como un proceso
sistemático para obtener y evaluar de manera
objetiva la evidencia que permita determinar si la
información o las condiciones actuales se ajustan a
los criterios establecidos”23. En términos generales
podemos decir que si la auditoría se basa en
evaluar información (información del objeto),
entonces se trata de un trabajo de certificación
(atestiguamiento). Si por el contrario se basa en
evaluar las condiciones actuales (objeto de la
revisión), entonces se trata de un trabajo de
información directa (elaboración de informes).

Veamos esto con un ejemplo que muestra el

mismo alcance y objeto de la revisión, aunque en
dos escenarios diferentes:

20 22
ISSAI 100.29. ISSAI 100.30.
21 23
ISSAI 400.59. ISSAI 100.18.

Página 28
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
Escenario 1:
Parte responsable: Oficina Nacional de Administración
Tributaria (ONAT) de Platonia
Objeto de la revisión de la auditoría: Ingresos por
concepto del Impuesto al Valor Agregado (IVA)
Información del objeto: Información financiera
relacionada con los ingresos del IVA
Criterios: La ley del IVA y otras leyes y reglamentos
que regulan la recaudación de impuestos
Usuario: Congreso/Parlamento
Escenario 2:
Parte responsable: Oficina Nacional de Administración
Tributaria (ONAT) de Kasboria
Objeto de la revisión de la auditoría: Ingresos por
concepto del Impuesto al Valor Agregado (IVA)
Información del objeto: Información financiera
relacionada con los ingresos del IVA
Criterios: La ley del IVA y otras leyes y reglamentos
que regulan la recaudación de impuestos
Usuario: Congreso/Parlamento
Veamos ahora quién produce la información del
objeto y la forma en que esto influye en la
auditoría. Existen dos escenarios posibles que
conducen a un trabajo de certificación
(atestiguamiento) o a un trabajo de información
directa (informes directos).
Trabajos de certificación
(compromisos de
atestiguamiento)
Escenario 1:
La Oficina Nacional de Administración Tributaria de
Platonia presentó un informe al Congreso/Parlamento
relativo al cobro de impuestos. En este escenario la
información del objeto fue producida por la parte
responsable y presentada a los usuarios por medio de
un informe (esta información también puede estar en
forma de un estado de resultados, estadísticas, etc.)
Cuando los funcionarios elaboraron la información del
objeto, debieron seguir la legislación vigente y otras
leyes y reglamentos que regulaban el cobro de
impuestos.
Las normas hacen referencia a la elaboración de la
información del objeto como una "evaluación del
objeto de la revisión de acuerdo a los criterios". En
este caso, la Oficina Nacional de Administración
Tributaria ha proporcionado la información
(evaluación) del objeto al Congreso/Parlamento por
medio de un informe. Con esto los funcionarios de
la parte responsable afirman explícita o
implícitamente (aseveraciones) que la información
(evaluación) de los ingresos provenientes del IVA
(objeto de la revisión) da una imagen razonable y
verdadera a la luz de las leyes y reglamentos
(criterios).
El papel del auditor en este escenario es expresar
una conclusión (certificación/atestiguamiento)
acerca de si las aseveraciones hechas por la parte
responsable acerca de la evaluación son o no
correctas, y si los funcionarios siguieron las leyes y
reglamentos tal como lo afirman (explícita o
implícitamente). Esta conclusión aumenta la
confianza del Congreso/Parlamento en el informe
(información del objeto) que ha recibido.
Página 29
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

Esta forma de auditoría en la que el auditor da una Trabajos de información directa

opinión sobre la información del objeto de la
revisión en vez de sobre el objeto de la revisión (elaboración de informes
mismo se llama "trabajo de certificación" directos)
(compromiso de atestiguamiento).

Escenario 2:

La Oficina Nacional de Administración Tributaria (ONAT)

de Kasboria no publica informes sobre el cobro de
impuestos. Algunas estadísticas se pueden encontrar en
su sitio web, pero normalmente no son detalladas ni
están actualizadas. La ONAT es parte del sistema
general presupuestario y en virtud de su marco de
administración financiera no produce un conjunto
separado de estados financieros. Debido a la forma en
que se preparan las cuentas finales, resulta imposible
separar los ingresos fiscales percibidos por la ONAT de
los ingresos fiscales provenientes de otras fuentes.
Recientemente el Congreso de Kasboria ha estado
discutiendo una iniciativa de reforma cuyo objetivo es
mejorar la recaudación fiscal del IVA. Por esta razón la
dirección de la EFS decidió preparar un informe de
auditoría sobre los ingresos por concepto del IVA y
presentarlo al Congreso.

En este escenario la parte responsable no ha

puesto a disposición ninguna información del
objeto (y por lo tanto ninguna aseveración), a pesar
de la necesidad de contar con ella. Por lo tanto, la
EFS decidió proporcionarle dicha información a los
usuarios. La auditoría evaluará directamente los
ingresos por concepto de IVA (objeto de la
revisión) con base en los criterios y proporcionará
una conclusión. Por lo tanto, la información del
objeto será preparada por la EFS y presentada al
Congreso/Parlamento en un informe de auditoría.

Esta forma de auditoría se llama "de información

directa" (compromiso de elaboración de informes
directos). En un trabajo de información directa la
auditoría se realiza directamente sobre el objeto de
la revisión en vez de hacerlo sobre la información
del objeto de la revisión.

Página 30
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

Auditorías de cumplimiento que entender la forma en que estos conceptos trabajan

juntos en la práctica.
son trabajos de certificación
(atestiguamiento) y de
Tipo de trabajo
información directa (elaboración
de informes directos) al mismo Informe Trabajo de
tiempo directo certificación

Las normas establecen que las auditorías de Seguridad

Nivel de razonable
cumplimiento también pueden ser trabajos de
seguridad
certificación y de información directa al mismo
Seguridad
tiempo. Para explicarlo mejor, veamos el siguiente
limitada
ejemplo que se basa en el escenario 1.
Tabla 2.1: Niveles de seguridad y tipos de auditoría
de cumplimiento.
Escenario 3:

La EFS de Platonia decidió preparar un informe que

evaluara la información proporcionada por la Oficina
Nacional de Administración Tributaria al Congreso
relativa al cobro de impuestos (escenario 1). Sin
embargo, durante el trabajo los auditores descubrieron
que el informe de la ONAT no incluía información sobre
las exenciones de impuestos. De hecho, los
reglamentos contables no requerían el cálculo o registro
de las exenciones. En consecuencia, era imposible
identificar el costo real de las exenciones del IVA, por lo
que la EFS decidió incluir este aspecto en el informe.
Cada auditoría realizada por la EFS caerá en
alguna de las cuatro celdas de la tabla. Sin
embargo, es importante señalar que también
pueden traslaparse. Por ejemplo, una auditoría
puede incorporar aspectos tanto de certificación
(atestiguamiento) como de información directa
(elaboración de informes directos).

En este escenario la primera parte es un trabajo de

certificación (atestiguamiento) en el que la auditoría
proporciona cierta seguridad respecto a la
exactitud de la información presentada al
Congreso, mientras que la segunda parte es un
trabajo de información directa, en el que la
auditoría se realiza concretamente sobre el objeto
de la revisión. Así, en la primera parte la auditoría
se realiza sobre la información del objeto y en la
segunda directamente sobre el objeto de la
revisión.

Niveles de seguridad y tipos de

auditoría
Para comprender el alcance de las auditorías de
cumplimiento es necesario entender la relación que
existe entre los niveles de seguridad y los tipos de
auditoría. La siguiente tabla nos ayudará a

Página 31
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

2.8 ASEVERACIONES/AFIRMA-
CIONES Y LA AUDITORÍA
La aseveración o afirmación (assertion en inglés)
se describe en las ISSAI como una manifestación
que se encuentra explícita o implícitamente en las
actividades, operaciones financieras e información
correspondiente a la entidad auditada y que es
usada por el auditor al considerar diferentes tipos
de posibles desviaciones. Dentro del contexto de la
auditoría de cumplimiento, la aseveración de
cumplimiento significa que la entidad, incluyendo
los funcionarios responsables de la misma, están
actuando en conformidad con las disposiciones
legales y normativas aplicables (y, en el caso de
las auditorías de gestión de los funcionarios
públicos, con las expectativas de los ciudadanos).
Las aseveraciones pueden estar incluidas en la
información del objeto presentada por la entidad
auditada o exponerse de forma explícita en una
carta de declaración escrita por la dirección24.
Esto significa que, cuando una entidad del
gobierno proporciona información sobre sus
actividades, existen ciertos supuestos que se
pueden hacer acerca de esta información. Por
ejemplo: que la información proporcionada es
exacta (aseveración de exactitud), que está
completa (aseveración de integridad) y, lo más
importante, que cumple con las leyes y
reglamentos aplicables (aseveración de
cumplimiento). De hecho, en muchos casos estos
supuestos son cualidades inseparables de la
información proporcionada, las cuales son referidas
en conjunto como aseveraciones/afirmaciones.
Ejemplo:
Al publicar los estados financieros, la dirección de la
entidad hace aseveraciones implícitas sobre la
información financiera en el sentido de que, habiendo
preparado dichos estados financieros en conformidad
con el marco de información financiera aplicable, como
las Normas Internacionales de Contabilidad para el
Sector Público (IPSAS, por sus siglas en inglés) o las
normas de contabilidad gubernamental generalmente
aceptadas en un país en particular, los estados
financieros han sido preparados de acuerdo con el
marco de referencia aplicable, que existen activos y que
son propiedad de la entidad y han sido valuados
apropiadamente, etc. De manera similar, la dirección
puede hacer aseveraciones implícitas relacionadas con
el cumplimiento de las disposiciones legales y
normativas25.
Por otra parte, las ISSAI señalan que en muchas
auditorías del sector público no hay aseveraciones
o declaraciones de cumplimiento específicas que la
entidad auditada ponga a disposición de los
usuarios. En vez de eso, la información del objeto
está contenida en el informe del auditor, ya sea en
forma de datos e información, o como una
declaración explícita en forma de opinión. Se trata
entonces de un trabajo de información directa26.

Cuando la información del objeto es preparada por

la parte responsable y puesta a disposición de los
usuarios, la auditoría de cumplimiento evalúa esta
información comparándola con las disposiciones
legales y normativas o autoridades y poniendo a
prueba la exactitud de la aseveración de
cumplimiento. Se trata pues de un trabajo de
certificación (compromiso de atestiguamiento).

25
ISSAI 4200.25.
24 26
ISSAI 4100.26, ISSAI 4200.32. ISSAI 4200.26.

Página 32
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

o los vacíos en la legislación, en caso de que falten

Ejemplo: total o parcialmente leyes y reglamentos, así como
aplicar los conceptos de auditoría al abordar
En las auditorías de cumplimiento realizadas de manera
separada o junto con auditorías de desempeño, la objetos de la revisión conocidos y desconocidos.
aseveración puede ser una declaración de cumplimiento
con las leyes y reglamentos, una declaración de
cumplimiento con los términos de un contrato o una Juicio profesional
declaración relativa a la eficacia de un sistema o
proceso específico. Un ejemplo de una aseveración El juicio profesional es un proceso usado para
implícita podría ser que los indicadores clave de alcanzar una conclusión bien razonada basada en
desempeño sujetos a fiscalización se presentan con el hechos y circunstancias relevantes que estén
supuesto de que no ha habido ningún incumplimiento no disponibles al momento de la conclusión. Los
declarado respecto a los niveles de desempeño auditores deben aplicar su juicio profesional en
establecidos en dichos indicadores27.
todas las etapas de la auditoría de cumplimiento, el
cual incluye la identificación sin prejuicios de
alternativas razonables. Por lo tanto, la
Además de ser los supuestos o afirmaciones
consideración cuidadosa y objetiva de información
hechas por la dirección, las aseveraciones también
que puede parecer contradictoria para una
representan lo que los auditores están buscando
conclusión es clave para su aplicación.
en la auditoría. Por esta razón, las EFS se refieren
a las aseveraciones como "objetivos generales de
Una parte fundamental del proceso es la
la auditoría".
participación de individuos con suficiente
conocimiento y experiencia. Al realizar las
auditorías de cumplimiento es importante contar
2.9 JUICIO PROFESIONAL Y con la capacidad de entender y analizar la
ESCEPTICISMO estructura y contenido de las disposiciones legales
y normativas públicas, las necesidades de los
ciudadanos, los vacíos en la legislación, para
Los auditores deben planear y conducir la auditoría
aplicar los conceptos profesionales de auditoría al
con escepticismo y ejercer su juicio profesional a lo
abordar objetos de la revisión conocidos y
largo de toda la auditoría. La actitud del auditor
desconocidos.
debe caracterizarse por el escepticismo y juicio
profesional, los cuales deben aplicarse al momento
El juicio profesional es una habilidad que el auditor
de decidir el curso de acción más adecuado.
adquiere con el tiempo y que sólo después de
Además, los auditores deberán ejercer la diligencia
adquirirla puede ser aplicada. El auditor adquiere
debida para garantizar que su conducta profesional
esta habilidad por medio de la capacitación y
sea la apropiada28.
experiencia. Es por eso que la aplicación del juicio
profesional también significa la aplicación del
Tanto el escepticismo como el juicio profesional
conocimiento, capacidad y experiencia del auditor.
son necesarios para conducir apropiadamente una
Y sólo se espera que haya desarrollado juicio
auditoría de cumplimiento. Ambos son requisitos
profesional aquel auditor cuyo entrenamiento,
separados y tienen diferente significado y
conocimiento y experiencia lo hayan capacitado
aplicación, pero se complementan uno a otro en el
para obtener el nivel de competencia necesario
trabajo del auditor.
para lograr un juicio razonable en una situación
dada. En resumen, el juicio profesional depende de
Los requisitos específicos para mantener el juicio y
las circunstancias y no se puede esperar que cada
escepticismo en las auditorías de cumplimiento son
auditor sea competente para llevar a cabo todas
la capacidad de analizar la estructura y contenido
las asignaciones.
de las disposiciones legales y normativas públicas
como base para identificar los criterios apropiados
Personas objetivas con conocimiento y experiencia
27
ISSAI 4100.20. pueden llegar a diferentes conclusiones al aplicar
28
ISSAI 100.37. las normas profesionales, a pesar de contar con

Página 33
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
hechos y circunstancias similares. Esto no significa
necesariamente que una conclusión sea la correcta
y la otra esté equivocada. Se espera un
cuestionamiento apropiado que permita entender
los procedimientos realizados y la base de las
conclusiones alcanzadas. La documentación del
juicio profesional aplicado es importante y
demuestra que se ha seguido un proceso
meticuloso para el desarrollo de una conclusión
bien razonada. Cuando el juicio profesional se
contrasta, la documentación muestra los análisis
de los hechos, las circunstancias y las alternativas
consideradas, así como la base para las
conclusiones alcanzadas.
Escepticismo
El escepticismo es una actitud que requiere una
mente inquisitiva y una evaluación crítica de la
evidencia de auditoría. Los auditores deben hacer
preguntas que les serán útiles para conocer las
consecuencias. Deben medir el efecto colateral de
cada información que obtienen por medio de esta
actitud inquisitiva. También deben hacer las
preguntas que les ayudarán a realizar una
evaluación crítica con un sólido conjunto de
evidencias. Sin embargo, la evaluación crítica no
significa dudar sobre la corrección de la
información en primer lugar. El auditor sólo pondrá
en duda la información cuando ésta sea
incompatible o contradictoria.
El auditor debe tomar una actitud de escepticismo
para estar alerta ante condiciones, circunstancias e
información que sean indicativas de la existencia
de algún incumplimiento de importancia relativa y
evaluar críticamente la evidencia de auditoría.
Al ejercer el escepticismo, los auditores deben
mantener una mente abierta y razonablemente
inquisitiva, sin ser demasiado suspicaces. Los
auditores no deben asumir que la dirección de una
entidad es honesta o deshonesta, aunque siempre
deben mantener en mente la posibilidad de fraude
y no estar satisfechos con nada menos que una
evidencia absolutamente convincente debido a la
creencia de que la dirección es honesta.
El escepticismo incluye, entre otras cosas, estar
alerta ante:
• Evidencia de auditoría que contradiga a otra
evidencia de auditoría previamente obtenida.
• Información que cuestione la confiabilidad de
documentos y respuestas usadas como
evidencia.
• Situaciones que indiquen la posibilidad de
fraude.
Mantener el escepticismo a lo largo de toda la
auditoría es necesario si el auditor desea, por
ejemplo, reducir el riesgo de:
• Pasar por alto circunstancias inusuales.
• Generalizar en exceso al sacar conclusiones de
las observaciones.
• Usar supuestos inapropiados al determinar la
naturaleza, oportunidad y extensión de los
procedimientos de auditoría y evaluar los
resultados de los mismos.
2.10 CONCLUSIÓN
Este módulo trató sobre los conceptos básicos de
las auditorías de cumplimento con especial énfasis
en el concepto de seguridad. Como se mencionó
arriba, las auditorías de cumplimiento que se llevan
a cabo obteniendo una seguridad aumentan la
credibilidad de la información proporcionada por el
auditor u otra parte. Asimismo, en las auditorías de
cumplimiento existen dos niveles de seguridad:
razonable y limitada. La decisión de proporcionar
una seguridad razonable o limitada tendrá un fuerte
impacto en el diseño de la misma, lo que se
examinará con mayor detalle en el siguiente
módulo que trata sobre la planificación de la
auditoría.
Página 34
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

Capítulo 3:

Planificación y diseño

Página 35
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
3.1 INTRODUCCIÓN
En el Capítulo 2 hablamos acerca de los conceptos
principales de las auditorías de cumplimiento. En
este capítulo revisaremos las consideraciones
iniciales y los pasos para preparar un plan de
auditoría. Las ISSAI señalan que el auditor debe
planificar la auditoría de manera que garantice la
ejecución de una auditoría de alta calidad de forma
económica, eficiente y eficaz, así como de manera
oportuna. Además, los auditores que planifican la
auditoría necesitan tener un conocimiento
adecuado de los requisitos de cumplimiento
aplicables al objeto de la revisión que se va auditar.
De acuerdo con esto, lo primero es examinar las
consideraciones iniciales para la planificación de
una auditoría de cumplimiento a nivel de EFS. A
esto sigue una revisión detallada del proceso de
planificación, incluyendo la evaluación de riesgos y
la materialidad.
3.2 CONSIDERACIONES
INICIALES PARA LA
PLANIFICACIÓN
Antes de revisar los pasos específicos del proceso
de auditoría, es importante que veamos algunas
consideraciones iniciales relativas a la planificación
a nivel de EFS o nivel institucional. Así, mientras
identifican el alcance y el objeto de la auditoría, las
EFS necesitan considerar el nivel de seguridad que
va a dar la auditoría y tomar la decisión de conducir
una auditoría de seguridad razonable o limitada.
Los factores que pueden guiar la decisión acerca
del nivel de seguridad más adecuado de acuerdo a
las circunstancias de la auditoría se explican a
continuación.
3.2.1 Determinando el nivel de
seguridad
El nivel de seguridad que se dará en una auditoría
necesita considerarse al momento de identificar el
alcance y objeto de la misma. Conducir una
auditoría de seguridad razonable o limitada es una
decisión estratégica que la EFS debe tomar a nivel
de entidad después de considerar lo siguiente:
• Las necesidades del usuario previsto
• El estado del ambiente de control interno de la
entidad auditada
• La disponibilidad y acceso a la información
• La competencia de los auditores
• La disponibilidad de recursos
Aunque algunos de estos factores pueden tener
mayor relevancia, pero todos los factores deben
considerarse para alcanzar una decisión. La lista
anterior no es exhaustiva, por lo que las EFS
deben considerar otros factores al tomar la
decisión sobre el nivel de seguridad que darán en
la auditoría.
Ya que el alcance y el objeto de las auditorías de
cumplimiento es muy flexible, cambiar el alcance
podría influir teóricamente en el nivel de seguridad
proporcionado. Por ejemplo si el alcance de una
auditoría se ha delimitado para incluir únicamente
el número actual de operaciones que se
examinarán, el auditor será capaz de proporcionar
una seguridad de casi el 100%. Si el alcance de la
auditoría se amplía ligeramente, esto le permitirá al
auditor dar fácilmente una seguridad razonable. Sin
embargo, estas decisiones deben tomarse sobre
una base racional. Este ejemplo sirve únicamente
para destacar que la identificación del alcance y
objeto de la auditoría tienen un papel esencial para
identificar el nivel de seguridad que se dará.
Las necesidades de los usuarios
Las necesidades de los usuarios son el factor más
importante al determinar el nivel de seguridad que
la auditoría proporcionará. Una EFS debe evaluar
estas necesidades para determinar el tipo de
conclusión más apropiado, lo cual requiere
entender las decisiones tomadas por los usuarios y
el tipo de información que utilizan para sus
propósitos.
Se puede decir que, si el proceso de toma de
decisiones de los usuarios requiere de información
sofisticada sobre el objeto de la auditoría y su
funcionamiento, entonces una auditoría de
seguridad razonable sería lo más apropiado. Este
nivel de seguridad proporciona una mejor
comprensión de los sistemas de la entidad y su
confiabilidad. Sin embargo, si los usuarios están
interesados en los resultados y no requieren una
Página 36
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
mirada más profunda de los sistemas y controles,
entonces una auditoría de seguridad limitada sería
más adecuada.
Las EFS pueden seguir diferentes enfoques en la
planificación de una auditoría. Algunas pueden
hacer un plan estratégico a largo plazo, mientras
que otras pueden hacer planes anuales de
auditoría. Asimismo, algunas EFS pueden usar un
sistema híbrido que involucre al mismo tiempo
planes anuales y a largo plazo. Estas variaciones
en la planificación no evitan que las EFS puedan
seguir un enfoque consistente en la conducción de
auditorías individuales. Al planificar una auditoría
de cumplimiento a nivel macro, las EFS pueden
considerar los siguientes factores:
• Un financiamiento vinculado al cumplimiento de
los términos de contratos o acuerdos;
• Casos de incumplimiento por parte de la
entidad;
• Hallazgos, resultados y recomendaciones
hechos por otras partes diferentes a las EFS;
• La evaluación de riesgos realizada en conexión
con auditorías financieras o de desempeño
indicando áreas en las que el riesgo de
incumplimiento es más alto;
• La expectativa o el interés público (por ejemplo,
sospechas de fraude, malversación de fondos,
información dada a conocer a través de los
medios de comunicación, etc.)
Otro factor a considerar en la planificación de la
auditoría de cumplimiento puede ser la urgencia de
la información sobre un objeto de la revisión en
particular por parte de los usuarios previstos. Si
existe una exigencia o necesidad de los usuarios
por obtener resultados inmediatos, conducir una
auditoría de seguridad limitada sería más
conveniente.
La disponibilidad de la información
Aunque el acceso a la información es un aspecto
fundamental de una auditoría y las EFS
normalmente tienen la capacidad de lograr el
acceso necesario, una EFS aún puede enfrentar
situaciones en las que la información disponible
para la auditoría sea limitada o incluso que no
exista. O que el auditor no tenga suficiente acceso
a la información existente. Debido a la naturaleza
específica de las auditorías del sector público, en
tales casos es posible que las EFS no estén en
posición de rechazarlas. Sin embargo, este factor
influirá en el nivel de seguridad proporcionado.
Esto es especialmente importante en lo relativo a
los servicios externos que se contraten por la
entidad auditada. Actualmente cada vez más
entidades públicas contratan por fuera sus
servicios, lo cual es muy común para los
relacionados con los sistemas de información. En
tales casos, el auditor necesita tener acceso total a
la entidad que presta los servicios con el fin de
realizar la auditoría. En algunos casos esto
requerirá que la EFS audite al proveedor de
servicios. Sin embargo, muchas EFS no tienen la
autoridad para hacer tales auditorías, lo que limita
considerablemente su eficacia.
Las auditorías de seguridad razonable requieren
que el auditor tenga acceso a los sistemas y
procesos utilizados (p. ej. los controles internos de
la entidad) y por lo tanto necesitan más información
que las auditorías de seguridad limitada. Por
consiguiente, es probable que las limitaciones en la
información lleven a una auditoría de seguridad
limitada.
La competencia de los equipos de auditoría
Las normas establecen que "las personas que
conforman el equipo de auditoría deben poseer en
conjunto el conocimiento, las habilidades y la
experiencia necesarios para completar la auditoría
con éxito1. Por lo tanto, la EFS necesita considerar
las capacidades con las que cuenta al momento de
tomar la decisión sobre el alcance de la auditoría y
el nivel de seguridad que va a dar. Si no se
dispone de las capacidades necesarias dentro del
equipo de auditoría, entonces la EFS debe
considerar otras opciones, como cambiar la
composición del equipo o contratar a un experto.
Aunque las habilidades básicas para la auditoría
son las mismas, es probable que las auditorías de
seguridad razonable y limitada requieran auditores
con diferentes capacidades.
En una auditoría de seguridad razonable es
probable que el auditor use un enfoque sistemático
1
ISSAI 400.45.
Página 37
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
para llegar a una conclusión general acerca del
objeto de la revisión. Por ejemplo, esto puede
hacerse identificando una muestra de las
operaciones que son representativas de la
población y extrapolando los resultados del
muestreo a la población entera. Para llegar a una
conclusión general en una auditoría de seguridad
razonable también es probable que el auditor
evalúe los sistemas y procesos del objeto de la
revisión, como por ejemplo llevar a cabo una
evaluación de los controles internos. Para seguir
este enfoque, el equipo de auditoría necesitará la
competencia necesaria de acuerdo a las
circunstancias para conducir la auditoría.
En las auditorías de seguridad limitada el objetivo
de la auditoría es obtener un nivel de seguridad
significativo para los usuarios previstos con base
en la naturaleza, oportunidad y alcance de los
procedimientos de auditoría.
Ejemplo:
La EFS de Kasboria decidió llevar a cabo una auditoría
de seguridad limitada de la Oficina Nacional de
Administración Tributaria. Debido a que las auditorías
anteriores habían señalado varios puntos débiles en el
control interno, la auditoría se iba a enfocar en los
detalles de las operaciones y no en los sistemas y
controles. Por lo tanto, el equipo de auditoría decidió no
usar el muestreo estadístico, ya que no contaban con la
experiencia para extrapolar los resultados con el fin de
obtener una conclusión general. Debido a esto, uno de
los miembros del equipo que se especializaba en
muestreo estadístico fue reasignado a otro equipo de
auditoría.
La disponibilidad de otros recursos
Normalmente las auditorías de seguridad
razonable requieren más tiempo y recursos en
comparación con una auditoría de seguridad
limitada realizada para el mismo objeto de la
revisión y con el mismo alcance. Por lo tanto, es
probable que una EFS con recursos limitados se
sienta más inclinada a realizar auditorías de
seguridad limitada. Sin embargo, esto se debe
analizar con cuidado dando precedencia a las
necesidades de los usuarios y considerando otros
factores como la importancia relativa y el riesgo.
3.2.2 El riesgo de auditoría y su
impacto en la seguridad de la
auditoría
Los auditores deben evitar el riesgo de presentar
un informe que sea inapropiado de acuerdo a las
circunstancias de la auditoría. El riesgo de
auditoría es el riesgo que existe de que el informe
de auditoría - o más específicamente la opinión o
conclusión del auditor - sea inapropiado de
acuerdo a esas circunstancias. Considerar el
riesgo de auditoría es importante tanto para los
trabajos de certificación (compromisos de
atestiguamiento) como para los de información
directa (compromiso de elaboración de un informe
directo). El auditor debe considerar tres
dimensiones diferentes del riesgo de auditoría –
riesgo inherente, riesgo de control y riesgo de
detección – en relación con el objeto de la revisión
y el formato del informe, es decir, si el objeto de la
revisión es cuantitativo o cualitativo y si el informe
de auditoría incluirá una opinión o una conclusión2.
Los auditores necesitan considerar el riesgo de
auditoría a lo largo de todo el proceso y la auditoría
debe realizarse de tal manera que se administre o
reduzca dicho riesgo a un nivel aceptablemente
bajo. La importancia relativa de las distintas
dimensiones del riesgo de auditoría depende de la
naturaleza del objeto de la revisión y de si la
auditoría proporcionará una seguridad razonable o
limitada.
La opción de proporcionar una seguridad razonable
o limitada le da a la EFS flexibilidad suficiente para
responder al riesgo de auditoría. Cuando una EFS
presenta un informe acerca de un objeto de la
revisión, siempre existe el riesgo de que la
conclusión u opinión del informe sea inapropiada.
Por ejemplo, la conclusión del auditor puede ser
que el objeto de la revisión cumple con los criterios,
pero existe la posibilidad de que haya
incumplimientos significativos que no se hayan
detectado. Éste es el riesgo de auditoría. Todos los
procedimientos de la auditoría están diseñados
para reducir el riesgo a un nivel aceptablemente
bajo y para lograrlo el auditor lleva a cabo
procedimientos que le permiten reducir o
2
ISSAI 400.46.
Página 38
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
administrar el riesgo de obtener conclusiones
inadecuadas, reconociendo que una auditoría
nunca puede proporcionar una certeza absoluta
sobre la condición del objeto de la revisión3.
La principal diferencia entre proporcionar una
seguridad razonable o limitada es la forma en que
se trata el riesgo de auditoría y los conceptos
relacionados. Cuando el objetivo es proporcionar
una seguridad razonable, el auditor debe reducir el
riesgo a un nivel aceptablemente bajo dadas las
circunstancias de la auditoría4. En una auditoría de
seguridad razonable, la conclusión del auditor
proporcionará una seguridad general sobre el
objeto de la revisión. Debido a que no es práctico
auditar todo el objeto de la revisión y las
operaciones relevantes, el auditor examinará una
parte de las transacciones por medio de un
muestreo. Esto significa que el auditor también
proporcionará la seguridad para partidas que no
han sido examinadas, en cuyo caso, si no se usa
un enfoque sistemático, existe un alto riesgo de
que la conclusión del auditor esté equivocada. Para
reducir el riesgo, es probable que el auditor analice
sistemáticamente el objeto de la revisión (como por
ejemplo los controles internos de una entidad) e
identifique una muestra (de las operaciones, etc.)
que sea representativa del total de la población.
Para que el muestreo sea correcto el auditor debe
considerar el riesgo de no identificar
incumplimientos significativos y para hacer esto
identificar primero los problemas y aspectos que
son importantes para una auditoría en particular.
Esto se hace determinando la importancia relativa.
La auditoría también puede tener como objetivo
proporcionar una seguridad limitada, en cuyo caso
el riesgo aceptable de que los criterios no se
cumplan es mayor que en una auditoría de
seguridad razonable. Una auditoría de seguridad
limitada proporciona un nivel de seguridad que, de
acuerdo con el juicio profesional del auditor, será
significativo para los usuarios previstos5.
Los procedimientos usados en una auditoría de
seguridad limitada pueden variar ampliamente e
incorporar los mismos elementos usados en una
auditoría de seguridad razonable. Sin embargo, la
3 seleccionarlos.
ISSAI 100.40.
4
ISSAI 100.40.
5
ISSAI 100.40.
forma en que los conceptos de riesgo y evidencia
de auditoría son tratados variará de manera
significativa. Al realizar una auditoría de seguridad
limitada, el enfoque usado puede no ser tan
sistemático como el de una auditoría de seguridad
razonable. La auditoría se diseñará para identificar
los incumplimientos significativos con los recursos
y métodos disponibles tanto como sea posible. Al
final de la auditoría es posible que aún existan
incumplimientos en las partidas que no han sido
examinadas por el auditor, pero con este tipo de
seguridad limitada el auditor estará reduciendo el
riesgo de proporcionar una conclusión equivocada.
Siendo diferente de una auditoría de seguridad
razonable, al final el auditor no dirá nada acerca de
las partidas que no ha examinado y la conclusión
no las cubrirá. El objetivo de la auditoría no es
identificar todas las instancias significativas de
incumplimiento. Debido a la naturaleza de la
auditoría de seguridad limitada el riesgo de
auditoría también se considera de manera
diferente, ya que el auditor acepta un nivel más alto
de incertidumbre en las conclusiones sobre el
objeto de la revisión.
Ahora que hemos enfatizado nuevamente la
necesidad de entender el vínculo entre objeto de la
revisión, criterio y alcance, y que hemos analizado
el riesgo de auditoría y los aspectos relacionados
de seguridad, en la siguiente sección aplicaremos
estos conceptos al proceso de planificación de la
auditoría de cumplimiento.
3.3 EL PROCESO DE
PLANIFICACIÓN
En general la planificación de la auditoría de
cumplimiento tiene dos aspectos. En primer lugar,
los auditores desarrollan una estrategia general
para el alcance, énfasis, oportunidad y ejecución
de la auditoría. En segundo lugar, los auditores
preparan un plan de auditoría basado en la
estrategia que muestra un enfoque detallado y los
pasos específicos de acuerdo a la naturaleza,
oportunidad y extensión de los procedimientos que
se seguirán, así como las razones para
Página 39
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
Una planificación adecuada ayuda a prestar la
debida atención a las áreas importantes de la
auditoría, identificar problemas potenciales de
manera oportuna, y organizar y dirigir la auditoría
para responder a las necesidades de los usuarios
de manera eficiente y eficaz. Una planificación
adecuada también le ayuda al auditor a asignar las
tareas a los miembros del equipo y facilita la
dirección, supervisión y revisión de su trabajo.
Asimismo, ayuda a la coordinación del trabajo
hecho por otros auditores y expertos en caso
necesario. Por otra parte, la naturaleza y extensión
de las actividades de planificación variará de
acuerdo con las circunstancias de la auditoría,
como por ejemplo la complejidad del objeto de la
revisión y los criterios. Ejemplos de algunos de los
principales aspectos que deben tomarse en
consideración durante la planificación incluyen:
• Las características de la auditoría que definen
su alcance, incluyendo las características del
objeto de la revisión y los criterios.
• Los tiempos esperados y la naturaleza de la
comunicación requerida.
• Si el conocimiento adquirido en otras auditorías
realizadas por el auditor para la parte
responsable es relevante.
• El proceso de auditoría.
• El conocimiento que el auditor tiene de la parte
responsable y su ambiente, incluyendo el
riesgo de que el objeto de la revisión pueda no
cumplir con los criterios.
• El ambiente de control y el control interno de la
entidad.
• La identificación de los usuarios previstos y sus
necesidades de información, así como las
consideraciones sobre la importancia relativa y
los componentes del riesgo de auditoría.
• El grado con el que el riesgo de fraude es
relevante para la auditoría.
• La naturaleza, oportunidad y los recursos
necesarios para realizar la auditoría, como por
ejemplo el personal y los conocimientos
necesarios, incluyendo la naturaleza y el grado
de participación de expertos en la matera.
• El impacto del área de auditoría interna.
El auditor puede discutir algunos elementos de la
planificación con la parte responsable o entidad
auditada para facilitar la ejecución y dirección de la
auditoría, por ejemplo para coordinar algunos de
los procedimientos con el trabajo que éstos
implican, aunque el plan y la estrategia general de
la auditoría siguen siendo responsabilidad del
auditor. Sin embargo, al discutir elementos
incluidos en el plan y la estrategia general de
auditoría es importante no comprometer la eficacia
de la misma. Por ejemplo, discutir con detalle la
naturaleza y oportunidad de los procedimientos con
la entidad auditada puede comprometer la eficacia
de la auditoría al hacer que el proceder del
personal de la parte responsable sea demasiado
predecible.
En auditorías más pequeñas o menos complejas,
el trabajo puede ser realizado por un pequeño
equipo de auditoría. Con un equipo más pequeño,
la coordinación y comunicación entre los miembros
se facilita. En tales casos establecer la estrategia
general de auditoría no necesita ser un ejercicio
complejo o que consuma tiempo. Esto varía de
acuerdo con el tamaño de la entidad, la
complejidad de la auditoría (incluyendo el objeto de
la revisión y los criterios) y el tamaño del equipo de
auditoría.
Los auditores también deberán establecer los
elementos legales de su trabajo con pleno
conocimiento del mandato de la EFS, las
responsabilidades de los auditores del sector
público, y el estatus y responsabilidades
constitucionales de la entidad auditada, así como
las expectativas de los usuarios previstos. Este
conocimiento provee a los auditores del sector
público de un marco de referencia con el cual
aplicar su juicio profesional a lo largo de todo el
proceso de auditoría.
3.3.1 Determinando el objeto de
la auditoría, los criterios y el
alcance en la planificación de
una auditoría de cumplimiento
Determinar el objeto de la revisión y los criterios es
uno de los primeros pasos que se deben llevar a
cabo para la planificación y ejecución de una
auditoría de cumplimiento.
No obstante, en algunas situaciones el alcance y la
naturaleza de la auditoría de cumplimiento no
Página 40
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
provienen directamente del mandato y la
legislación aplicable de la EFS, sino que se basan
en el juicio profesional del auditor. En tales
circunstancias resulta importante informar a la
entidad auditada por escrito acerca del alcance y
naturaleza de la auditoría6.
Como se mencionó en los párrafos anteriores, los
conceptos de “objeto de la revisión”, “criterios” y
“alcance” están estrechamente relacionados. Los
auditores necesitan tener presente todo el tiempo
que estos conceptos influyen unos en otros tal
como se muestra en la Figura 3.1.
ALCANCE
OBJETO DE
LA CRITERIOS
REVISIÓN
Figura 3.1: Relación entre el objeto de la revisión,
el alcance y los criterios de la auditoría
Al revisar esta relación los auditores necesitan
ejercer su juicio profesional. El objetivo de la
revisión es identificar adecuadamente el alcance
de una auditoría de cumplimiento con fines de
planificación. Puede resultar útil recordar el
ejemplo del Capítulo 1 en el que los auditores
redujeron el alcance de la auditoría del sistema de
salud al proyecto de suministro de agua potable.
Es importante señalar aquí que el alcance de una
auditoría de cumplimiento puede cambiar durante
su ejecución si los auditores identifican información
que haga necesario reconsiderar el alcance.
Invariablemente las EFS tienen la obligación y el
interés de producir informes de auditoría de alta
calidad, para lo cual necesitan concentrarse en el
objeto de la revisión y los criterios de manera
puntual, de modo que puedan elaborar un informe
6 de todas las entidades cuyas actividades se
ISSAI 4100.12
que cumpla con las expectativas de los usuarios
previstos. Por lo tanto, las EFS siempre tratarán de
encontrar:
a. Los aspectos significativos de un objeto de la
revisión; y
b. Si se dispone de criterios adecuados para medir
el objeto de la revisión.
A continuación se mencionan algunos ejemplos
como referencia:
• Rendimiento financiero:
• Uso de fondos públicos (ejecución
presupuestaria)
• Recaudación de ingresos, p. ej. impuestos
municipales o aplicación de multas y
penalizaciones
• Uso de créditos y subvenciones
• Compras públicas
• Gastos y egresos
• Prestación de servicios – médicos, educativos,
etc.
• Demandas públicas
• Protección del patrimonio
• Gestión/Correcto desempeño de los
funcionarios/toma de decisiones de la entidad
auditada
• Salud y seguridad pública
• Protección del medio ambiente
• Marco de control interno
• Seguridad social y pago de pensiones
• Características físicas, uso de suelo, acceso a
edificios gubernamentales, etc.
3.3.2 Conociendo a la entidad
Conocer y comprender a la entidad auditada es
esencial para la auditoría de cumplimiento, ya que
esto puede ser usado para determinar el objeto de
la revisión y los criterios, la importancia relativa de
la auditoría y la evaluación de los riesgos de
incumplimiento a todos los niveles. Por lo tanto, el
auditor debe examinar los siguientes factores a la
luz de las disposiciones legales y normativas
correspondientes. En ocasiones la auditoría de
cumplimiento puede cubrir más de una entidad, en
cuyo caso los auditores deben tener conocimiento
Página 41
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
auditarán. Por ejemplo, algunas EFS realizan
auditorías de cumplimiento sobre la adecuada
utilización de un fondo que es empleado por más
de una entidad. Para ello, el auditor necesita
considerar los siguientes aspectos de la entidad
auditada:
Estrategias, operaciones y administración de la
entidad. Conocer y evaluar si:
• las metas y objetivos fundamentales y las
medidas tomadas para ponerlos en práctica de
acuerdo con el plan estratégico de la entidad
auditada están en línea con su mandato y las
normas correspondientes;
• las metas especificadas en los planes de
acción estratégicos están vinculadas con los
resultados;
• las actividades y operaciones están dirigidas
hacia la obtención de las metas y objetivos de
la entidad auditada, lo cual debe responder a
su vez a todos los requisitos de cumplimiento
de la entidad;
• los actos jurídicos aplicados a todas las
operaciones de la entidad y otras disposiciones
legales y normativas, como políticas
administrativas, procedimientos internos e
instrucciones, no contradicen la normativa.
Los auditores pueden usar las siguientes fuentes
de información para desarrollar un conocimiento
adecuado de la naturaleza de la entidad auditada,
incluyendo:
• Leyes y reglamentos;
• La legislación presupuestaria y/o el
presupuesto aprobado;
• El código de ética o código de conducta;
• Las políticas internas, planes estratégicos,
planes operativos y manuales de
procedimientos;
• Los contratos;
• Los acuerdos y contratos de subvención;
• Los informes de los medios de comunicación;
• El informe anual, las auditorías de certificación
(compromisos de atestiguamiento) y de
información directa (compromisos de
elaboración de un iforme directo), y la
supervisión interna o externa que se relacione
directamente con los objetivos de la auditoría
de cumplimiento;
• Las minutas de las juntas y reuniones (del
consejo de administración, la dirección, etc.);
• Los informes de auditoría interna;
• Los resultados de auditorías anteriores;
• Las estadísticas nacionales;
• Visitar el sitio web de la entidad;
• Revisar los registros de correo electrónico (en
caso de ser posible).
Un conocimiento completo y detallado de la entidad
auditada de acuerdo con las leyes, políticas y
normas ayuda a los auditores a reconocer cuándo
ha ocurrido una desviación, así como a evaluar la
evidencia obtenida a través de la auditoría.
3.3.3 Comprendiendo el
ambiente de control y el sistema
de control interno
El conocimiento que los auditores tienen de la
entidad auditada y del objeto de la revisión no
estará completo a menos que se estudien
cuidadosamente sus controles internos. El
ambiente de control establece el tono de la
organización e influye en la conciencia de su gente.
La entidad auditada establece controles internos
con el objetivo de satisfacer los requisitos de
cumplimiento en sus operaciones, por lo que los
auditores necesitan entender:
a. cuáles son estos controles,
b. si los controles son adecuados y pueden
detectar, prevenir y corregir casos de
incumplimiento, y lo más importante
c. si los controles están funcionando como deben.
Dentro del contexto de las auditorías de
cumplimiento, un sistema de control interno se
compone de políticas, estructura, procedimientos,
procesos, tareas y otros factores tangibles e
intangibles que ayudan a la entidad auditada a
responder de forma apropiada a los riesgos de
incumplimiento de los requisitos. Un sistema eficaz
debe salvaguardar los activos de la entidad
auditada, facilitar la preparación de informes
internos y externos, y ayudar a la entidad auditada
a cumplir con las leyes.
Página 42
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
El auditor necesita tener una visión clara del
funcionamiento interno del objeto de la revisión a
través de la evaluación del ambiente de control y
los controles internos de la entidad auditada.
Evaluando el ambiente de control
En general los auditores examinan si la dirección
ha creado y mantenido una cultura de honestidad y
comportamiento ético y si los elementos del
ambiente de control proporcionan en conjunto una
base sólida para los otros componentes de control
interno, además de averiguar si estos
componentes no están debilitados por deficiencias
en el ambiente de control. Para ello los auditores
pueden llevar a cabo evaluaciones reuniendo y
analizando la siguiente información de la entidad7:
• Que las políticas y procedimientos, incluyendo
el código de ética, estén claramente escritos y
publicados;
• Que el desarrollo de las tareas, su revisión y
mantenimiento de registros estén debidamente
separadas;
• Que se cuente con un marco organizativo
(consejo/comité) para revisar las auditorías/
comunicación de los auditores y que las actas
del consejo/comité se documenten y se les dé
seguimiento apropiadamente;
• Que la dirección haya respondido
positivamente a los resultados y procedimientos se apliquen apropiadamente, la ONAT
recomendaciones de auditorías anteriores;
• Que las responsabilidades de los gerentes,
directores y funcionarios clave estén
claramente definidas;
• Que los gerentes, directores y funcionarios
clave cuenten con el conocimiento y
experiencia necesarias para cumplir sus
responsabilidades;
• Que el personal esté capacitado
adecuadamente acerca de los requisitos de
cumplimiento y tenga la responsabilidad de
7
El siguiente texto relativo a la evaluación del control y
la administración de riesgos se basa en los lineamientos
proporcionados por la Oficina General de Rendición de
Cuentas (GAO) del Gobierno de los Estados Unidos
para la Evaluación del Control Interno por parte de los
auditores, el cual ha sido adaptado para ajustarse a los
requisitos de las ISSAI. Para mayor información sobre la
forma de llevar a cabo la evaluación de los controles
internos visite el sitio web de la GAO:
http://www.gao.gov/special.pubs/ai00021p.pdf
reportar a la dirección los casos de
incumplimiento;
• Que la dirección promueva sistemas
adecuados de información y presentación de
informes;
• Que los sistemas y programas de cómputo
incluyan controles para el ingreso de datos, p.
ej. controles de edición, informes de excepción,
control de acceso, revisión de datos de entrada
y salida; y
• Que la información pueda ser analizada, lo cual
dependerá del objeto de la revisión. Por
ejemplo, si el objeto de la revisión está
relacionado con activos, que éstos estén
asegurados y contabilizados periódicamente y
que se hayan comparado con los montos
registrados.
Ejemplo: Los controles internos de la Oficina
Nacional de Administración Tributaria (ONAT) de
Platonia
La ONAT ha desarrollado y puesto en práctica un
Manual de Políticas y Procedimientos (MPP) que indica,
entre otras cosas, lo que se debe hacer, cómo se debe
hacer, quién debe hacerlo y cómo se medirá el
desempeño de los empleados. El MPP incluye todas las
leyes, reglas y reglamentos aplicables para el cobro del
IVA y otros impuestos cuya recaudación está a cargo de
la ONAT. Para garantizar que las políticas y
ha establecido una Unidad de Administración de
Riesgos (UAR) que informa directamente al titular de la
ONAT. La UAR lleva a cabo revisiones periódicas para
evaluar, entre otras cosas, que:
a. el registro de los negocios para el pago del IVA esté
completo,
b. los ingresos por concepto de IVA se registren
debidamente, y
c. las devoluciones del IVA a los contribuyentes se
hagan apropiadamente.
Con base en esta evaluación periódica, la UAR hace
cambios en las políticas y procedimientos, e implementa
nuevas iniciativas para reducir al mínimo el riesgo de
que la ONAT no satisfaga los requisitos de cumplimiento
aplicables.
El tipo de controles que se evalúen dependerá del
objeto de la revisión y de la naturaleza y alcance
de la auditoría de cumplimiento. Al evaluar los
Página 43
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
controles internos los auditores del sector público
deben considerar el riesgo de que la estructura de
control no evite o detecte incumplimientos de
importancia relativa. El sistema de control interno
de una entidad también puede incluir controles
diseñados para corregir las instancias de
incumplimiento identificadas. En estos casos los
auditores necesitan tener un buen conocimiento de
los controles internos relevantes para los objetivos
de la auditoría y analizar lo que se espera de ellos.
El resultado de la evaluación de los controles
internos ayudará a los auditores a determinar el
nivel de confianza y, por lo tanto, la extensión de
los procedimientos de auditoría.
3.3.4 Evaluación de riesgos del
objeto de la revisión/entidad
auditada
Uno de los criterios clave que se usan para medir
la importancia de una posible área de auditoría es
la tolerancia al riesgo contenida en las estrategias
de riesgo de la entidad auditada. La evaluación de
riesgos comienza por analizar la forma en que la
entidad auditada está administrando el riesgo. Por
lo tanto, a la luz de los criterios de auditoría, el
alcance de la auditoría y las características de la
entidad auditada, los auditores deben considerar
tanto los controles como las prácticas de
administración de riesgos de la entidad auditada al
hacer la evaluación durante la fase de planificación
de la auditoría de cumplimiento.
Al evaluar los riesgos del objeto de la revisión o la
entidad, el auditor necesita tener en cuenta las
limitaciones inherentes al cumplimiento,
incluyendo:
• que la dirección puede aplicar su propio criterio
al interpretar las leyes y reglamentos;
• que los errores humanos ocurren;
• que los sistemas pueden no estar diseñados
apropiadamente o funcionar de manera poco
efectiva;
• que los controles pueden evitarse y que la
evidencia puede ocultarse o retenerse;
• la preocupación de las partes interesadas
• los cambios significativos,
• la posibilidad de fraude,
• el gasto excesivo o el mal uso de los recursos
públicos, así como de los controles internos y el
ambiente de control.
El auditor debe identificar qué riesgos vienen de las
leyes, reglamentos, operaciones riesgosas,
actividades, etc. A continuación debe evaluar si la
entidad cuenta o no con un sistema de control y
procedimientos para administrar estos riesgos. Si
el auditor encuentra que ningún riesgo significativo
proviene de las leyes y reglamentos, entonces toca
el turno a los mecanismos de control.
Considerando lo anterior, la evaluación de riesgos
del auditor empieza por identificar los riesgos de
incumplimiento con las leyes y reglamentos, y a
continuación revisa los controles internos y la
forma en que estos riesgos son manejados por la
entidad. Esto incluye evaluar la capacidad de la
entidad auditada para identificar, medir, supervisar
y controlar los riesgos clave que enfrenta al cumplir
con su mandato y tratar de lograr sus metas y
objetivos estratégicos y operativos.
Después de revisar los controles internos, los
auditores necesitan enfocarse en determinar:
a. la posibilidad de que no se cumpla con la
normativa, y
b. el impacto de dicho incumplimiento en la entidad
auditada en lo que respecta a sus objetivos
organizativos.
En la mayoría de los casos los auditores tratan con
un universo de reglas y reglamentos bajo los
cuales opera el objeto de la auditoría y, por lo
tanto, es esencial que se enfoquen en identificar el
incumplimiento con las leyes, reglas, reglamentos y
procedimientos aplicables que sean de importancia
relativa dentro del contexto de la auditoría de
cumplimiento.
Los auditores deberán estar alerta ante la
posibilidad de que el incumplimiento ocurra debido
a fraude o error, y ambos aspectos deberán estar
presentes en la evaluación de riesgos durante
todas las etapas del ciclo de auditoría. Esto le
permitirá al auditor determinar la naturaleza,
oportunidad y extensión de los procedimientos de
auditoría asociados con el universo potencial. Más
aún, le ayudará a identificar las áreas prioritarias
Página 44
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
de acuerdo con las necesidades de la entidad
auditada y de los usuarios previstos del informe de
auditoría.
Realización de los procedimientos de
evaluación de riesgos
Lograr un buen conocimiento de la entidad, de los
requisitos de cumplimiento aplicables y del control
interno permite establecer un marco de referencia
dentro del cual el auditor planificar la auditoría de
cumplimiento. Es dentro de este marco que el
auditor ejerce su juicio profesional para evaluar los
riesgos de incumplimiento de importancia relativa y
responder a estos riesgos a lo largo de toda la
auditoría de cumplimiento.
La naturaleza y extensión de los procedimientos de
evaluación de riesgos pueden variar de una
entidad a otra y están determinados por factores
como:
• Qué tan recientes y complejos son los
requisitos (normativa) de cumplimiento
aplicables,
• El conocimiento que tenga el auditor del control
interno de la entidad en relación con los
requisitos de cumplimiento aplicables obtenido
en auditorías anteriores o en otras auditorías
profesionales,
• La naturaleza de los requisitos de cumplimiento
aplicables,
• Los servicios prestados por la entidad y la
forma en que se ven afectados por factores
externos,
• El nivel de supervisión del gobierno.
La evaluación de riesgos relativos a los controles
requiere que los auditores examinen si:
• Los gerentes, directores y funcionarios clave de
la entidad entienden claramente los objetivos
de cumplimiento. Asimismo, si son capaces de
detectar casos de incumplimiento e iniciar los
procesos necesarios para corregir las causas
de los mismos.
• La estructura organizativa permite la
identificación de riesgos de incumplimiento.
Una organización grande y compleja
normalmente cuenta con una unidad dedicada
a la administración de riesgos, la cual examina
continuamente el cumplimiento y otros riesgos
que enfrenta la entidad, revisa los controles y
recomienda cambios en los mismos para
garantizar que la entidad cumpla con los
requisitos de cumplimento aplicables.
• A los directores, gerentes y funcionarios clave
de la entidad auditada se les ha dado la
responsabilidad de comunicar los cambios. Una
entidad que opera en un ambiente dinámico
necesita responder rápidamente a los cambios.
Si la entidad ha designado a funcionarios o
gerentes para comunicar los cambios en los
procedimientos y controles, esto reduce el
riesgo de incumplimiento.
• Los directores, gerentes y funcionarios clave
comprenden claramente las partes complejas
de sus operaciones. Cuando los directores,
gerentes y funcionarios clave carecen de dicho
conocimiento, no es probable que puedan
implementar o supervisar adecuadamente el
cumplimiento de los requisitos, por lo que el
riesgo de incumplimiento en estos casos es
mayor.
• La dirección de la entidad considera con
seriedad los resultados y recomendaciones de
las auditorías y toma las medidas correctivas
apropiadas. Por ejemplo, que un organismo
institucional como un comité o consejo se reúna
periódicamente para revisar las cuestiones de
cumplimiento que surjan de las auditorías.
Los procedimientos de auditoría relacionados con
la forma en que la dirección ha respondido a los
resultados y recomendaciones de la auditoría que
pudieran tener un efecto importante en el
cumplimiento de la normativa por parte de la
entidad ayudan al auditor a comprender si la
dirección ha respondido de manera positiva a
dichos resultados. Ejemplos de monitoreo o
seguimiento externo incluyen las revisiones
regulares, la revisión de programas por parte de
agencias gubernamentales y las revisiones por
parte de los órganos de supervisión. Ejemplos de
monitoreo o seguimiento interno incluyen los
informes preparados por el área de auditoría
interna y las evaluaciones de calidad.
Los procedimientos de evaluación de riesgos
realizados para obtener una mejor comprensión del
Página 45
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

control interno de la entidad incluyen una Evaluación de los riesgos de

evaluación del diseño de los controles y si éstos se incumplimiento de importancia relativa
han puesto en práctica. El control interno consiste (materialidad)
de los siguientes cinco componentes
interrelacionados: Al evaluar los riesgos de incumplimiento de
importancia relativa (materialidad), los auditores
• el ambiente de control, deben considerar los siguientes factores:
• la evaluación de riesgos de la entidad, • La complejidad de los requisitos (normativa) de
• los sistemas de información y comunicación, cumplimiento aplicables,
• La susceptibilidad de incumplimiento de los
• las actividades de control, y requisitos,
• la supervisión. • La cantidad de tiempo que la entidad ha estado
sujeta a los requisitos (normativa) de
cumplimiento aplicables,
• Las observaciones del auditor acerca de la
forma en que la entidad ha cumplido con los
requisitos (normativa) de cumplimiento
aplicables en años anteriores,
• El efecto potencial en la entidad del
incumplimiento de los requisitos,
• El grado de juicio empleado para seguir los
requisitos de cumplimiento.

Algunos ejemplos de situaciones en las que puede

haber un riesgo de incumplimiento de importancia
relativa que sea relevante para la entidad son:
• Una entidad que está experimentando
dificultades financieras y en la cual existe el
riesgo creciente de que los fondos sean
desviados para fines no autorizados.
• Una entidad que tiene un historial de mantener
un pobre registro de sus programas.

3.3.5 El riesgo de fraude

Como auditores sabemos que el fraude y la
corrupción representan un serio peligro para el
sector público. El daño potencial del fraude y la
corrupción se extienden mucho más allá de
cualquier pérdida financiera, ya que también
causan efectos sustancialmente negativos en la
reputación y el ambiente de trabajo de la entidad.
Asimismo, varios casos de fraude y corrupción
pueden reducir gravemente la confianza de la
gente en el sector público en su conjunto. Es por
eso que los riesgos de fraude y la evaluación de su
importancia relativa se consideran dentro del
contexto del alcance más amplio de las auditorías
del sector público.

Página 46
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

Las siguientes preguntas pueden ser relevantes al xii. ¿Existe una persona o unidad responsable de
realizar una evaluación del riesgo de fraude en una la administración del marco de control de
entidad: fraude y corrupción?
i. ¿La entidad auditada ha desarrollado un
Es importante tener una comprensión clara de lo
marco de control general claro contra el fraude
que el fraude y la corrupción significan. El factor
y la corrupción? Un marco de control de
que distingue el fraude del error es si la acción que
fraudes es un sistema de medidas coordinadas
condujo a un incumplimiento es intencional o no. El
que se aplican para evitar, detectar y
fraude y la corrupción son actos intencionales que
responder a las instancias de fraude.
implican el uso del engaño para obtener una
ii. ¿Las políticas y procedimientos relevantes
ventaja injusta o ilegal. Los responsables de un
para la prevención y detección de fraude y
acto fraudulento pueden ser miembros de la
corrupción se complementan y operan de
administración, los encargados de la gestión, los
manera coherente e integral?
empleados o terceras partes.
iii. ¿Todos los funcionarios de alto nivel han
contribuido a desarrollar la política general
Debido a las limitaciones inherentes de una
relativa a la prevención y detección de fraude y
auditoría, existe el riesgo inevitable de que algunos
corrupción?
casos de incumplimiento no sean detectados,
iv. ¿La política general aborda elementos
incluso si la auditoría se planea y realiza
relacionados con el fraude como (a) dar el tono
adecuadamente en conformidad con las ISSAI. Los
desde arriba, (b) evaluación del riesgo de
efectos potenciales de las limitaciones inherentes
fraude, (c) controles internos basados en
son particularmente significativos en los casos de
riesgos, (d) informes internos, (e) informes
desviaciones que ocurren como resultado de
externos, (f) divulgación de datos de interés
fraude. El riesgo de no detectar un caso de
público, (g) investigación, (h) código de ética,
incumplimiento producto de un fraude es más alto
(i) capacitación del personal, y (j) información a
que el riesgo de no detectar uno que resulte de un
los usuarios?
error. Contrario a los errores y equivocaciones no
v. ¿La política general y las políticas y
intencionales, un acto fraudulento normalmente
procedimientos relacionados reflejan las
involucra esquemas organizados y diseñados para
necesidades específicas de la entidad
ocultarlo, como información falsa, falsificación,
auditada?
ocultamiento o falta de documentación, o
vi. ¿El marco de control de fraudes se revisa
declaraciones falsas hechas intencionalmente al
periódicamente? ¿Cuándo se revisó por última
auditor. Tales intentos de ocultamiento pueden ser
vez?
incluso más difíciles de detectar cuando hay
vii. ¿Existe un enfoque estructurado para la
alguien coludido. La colusión puede hacer que el
aplicación de las recomendaciones de la
auditor crea que la evidencia de auditoría es
revisión?
convincente, cuando en realidad es falsa.
viii. ¿A las recomendaciones de cambios o
mejoras en las políticas y procedimientos
De acuerdo con la ISSAI 100, Principios
operativos se les ha dado prioridad o se han
Fundamentales de Fiscalización del Sector Público,
puesto en práctica?
el auditor debe considerar y evaluar el riesgo de
ix. ¿La entidad ha puesto en práctica programas
diferentes tipos de deficiencias, desviaciones o
de comunicación efectivos para aumentar el
representaciones erróneas que pudieran ocurrir.
conocimiento sobre su marco de control de
Deberán considerarse tanto los riesgos generales
fraudes?
como específicos en relación con el objeto de la
x. ¿El marco es de fácil acceso para todas las
revisión. El párrafo 47 señala de manera específica
partes involucradas?
que los auditores deberán identificar y evaluar los
xi. ¿El marco general y sus componentes
riesgos de fraude que sean relevantes para los
muestran claramente el compromiso de la
objetivos de la auditoría.
dirección con sus principios y políticas?

Página 47
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

El propósito de la evaluación de riesgos es: cargos oficiales8. La corrupción es un tipo de

fraude que involucra a un agente público que
a. Identificar los riesgos inherentes de fraude y
recibe un soborno, comisión o beneficio (financiero
corrupción de la entidad,
o de algún otro tipo) a cambio de proporcionar un
b. Identificar y evaluar los controles internos de la
beneficio o ventaja indebida al que da el soborno9.
entidad, y
c. Evaluar los riesgos residuales y considerar los
Como parte de la auditoría y siguiendo la
posibles procedimientos de auditoría.
evaluación inicial del riesgo de fraude, los auditores
del sector público deben reunir evidencia suficiente
Los auditores deben mantener una actitud de
y apropiada relacionada con el tema de la auditoría
escepticismo y estar alerta ante los riesgos de
a través de los procedimientos adecuados. Aunque
fraude y su impacto a lo largo de todo el proceso
detectar posibles actos ilícitos, incluyendo fraude,
de auditoría.
normalmente no es el objetivo principal de una
auditoría de cumplimiento, los auditores del sector
Existen tres elementos clave que normalmente
público incluyen los factores de riesgo de fraude en
están presentes cuando alguien comete fraude y
sus evaluaciones de riesgo y se mantienen alertas
corrupción: 1. Oportunidad, 2. Incentivo/presión, y
ante cualquier indicación de actos ilícitos,
3. Racionalización/actitud. Todos estos elementos
incluyendo el fraude, al llevar a cabo su trabajo.
deben evitarse a través de los controles internos de
la entidad, por lo que débiles controles internos
Las actividades y procesos en los que hay un
pueden indicar riesgo de fraude y corrupción.
intenso contacto con los "clientes" o relaciones
Dependiendo de su mandato, este puede ser un
externas han demostrado ser las más vulnerables
punto de arranque más apropiado para los
al fraude y la corrupción debido a que hay más
auditores que buscar indicadores de posibles actos
oportunidades y tentaciones. Ejemplos de tales
de fraude y corrupción. Mucho se puede hacer
actividades son la contratación de bienes y
para evitar el fraude y la corrupción si se soluciona
servicios, el pago de subsidios, subvenciones,
el problema de débiles controles internos.
deducciones, etc., la expedición de licencias,
permisos, documentos de identidad, etc., la
Al realizar evaluaciones específicamente sobre los
regulación, inspección, fiscalización, etc., y la
riesgos de fraude el auditor debe tener en mente
aplicación de leyes y reglamentos. El sector público
que incluso si existen controles internos efectivos
tiene deberes y responsabilidades únicas para
en el papel, esto no garantiza que en la práctica
hacer valer las leyes y reglamentos. Esto incluye
funcionen como se supone. Los defraudadores
por ejemplo las investigaciones, acciones judiciales
potenciales se enfocan más en los puntos débiles
y sanciones. Los clientes pueden tener un interés
de los controles que en sus puntos fuertes y por lo
(financiero) considerable en las actividades o
tanto se le recomienda a los auditores que
servicios del gobierno. Esto significa que se puede
"piensen como ladrones" durante la evaluación y
caer en la tentación de sobornar a los servidores
busquen posibles fallas o métodos que pudieran
públicos o manipular las decisiones del gobierno de
darle una ventaja injusta o ilegal a alguien dentro
manera favorable para el cliente. También crea la
y/o fuera de la entidad. Es aconsejable establecer
tentación entre los servidores públicos de aceptar o
un equipo de evaluación de riesgos que pueda
pedir favores.
proporcionar varios puntos de vista con base en
conocimientos, experiencias y habilidades
La administración de la propiedad pública también
diferentes.
es un área vulnerable. La propiedad con un alto
valor es susceptible a robo o pérdida. Esto incluye
El fraude y la corrupción pueden tomar diversas
formas. El fraude se caracteriza normalmente por 8
Fraud and Corruption Control, Guidelines for Best
alguna forma de engaño deliberado que facilita u Practice, Crime and Misconduct Commission, Queensland,
oculta la malversación de fondos, mientras que la Australia.
corrupción generalmente implica una violación de 9
El Tribunal de Cuentas de Brasil desarrolló una estrategia
la confianza depositada en el desempeño de para combatir el fraude y la corrupción en el gobierno
federal. El texto completo de esta estrategia está disponible
en http://portal2.tcu.gov.br/portal/pls/portal/s/2053600.PDF

Página 48
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

dinero, bienes muebles e inmuebles, capital decidir el enfoque apropiado e identificar la

humano e información valiosa. evidencia necesaria para conducir la auditoría. La
tabla anterior muestra un ejemplo de los posibles
Al realizar las auditorías de cumplimiento, si los enfoques de auditoría de acuerdo al riesgo.
auditores del sector público se encuentran con
Procedimientos de auditoría en respuesta al riesgo
instancias de incumplimiento que pueden ser
inherente:
indicativas de actos ilícitos o fraude, deberán
ejercer las diligencias y precaución debidas de Riesgo Respuesta al
manera que no interfieran con las posibles Enfoque de auditoría
inherente riesgo
investigaciones o procedimientos judiciales. En Alto Bajos niveles de Enfocar la respuesta de
estos casos, los auditores pueden acudir en busca control auditoría en mejorar los
controles internos a través de la
de asesoría legal o consultar a las disposiciones evaluación de planes
legales y normativas regulatorias mejorados.
Alto La dirección afirma Enfocarse en obtener la
correspondientes10. que los controles seguridad de que los controles
son adecuados siguen operando como deben y
Además, los auditores podrán comunicar sus de que hay consistencia en la
administración de riesgos.
sospechas a los niveles apropiados de la Bajo Bajos niveles de Evaluar y dar seguimiento al
administración o a aquellos encargados de la control que pueden desarrollo del nivel de riesgo.
gestión y luego darle seguimiento para asegurarse ser aceptados
conscientemente
de que se han tomado las acciones apropiadas. En por la dirección
lo que respecta a casos de incumplimiento Bajo Alto nivel de control Enfocar la respuesta de la
relacionados con fraude o irregularidades serias auditoría en los aspectos de
cumplimiento.
debido a los diferentes mandatos y estructuras Si el auditor identifica riesgos de incumplimiento de importancia
organizativas que existen internacionalmente, relativa, deberá desarrollar una respuesta general a tales riesgos.
corresponde a la EFS determinar el curso de El auditor deberá diseñar procedimientos adicionales de auditoría,
acción apropiado11. Los auditores del sector incluyendo el examen de los detalles (lo cual puede incluir el
público deberán tomar las acciones necesarias examen de las operaciones) para obtener evidencia de auditoría
suficiente y apropiada acerca del cumplimiento de la entidad con
para garantizar una respuesta apropiada con base cada uno de los requisitos aplicables en respuesta a los riesgos
en el mandato de la EFS y las circunstancias. evaluados de incumplimiento.

3.3.6 Determinando la 3.3.7 Vinculando los riesgos

confiabilidad de los controles
internos
Como se explicó anteriormente, el propósito de la
evaluación de riesgos en las auditorías de
cumplimiento es identificar las áreas que están
más expuestas a riesgos de incumplimiento y
asignar los recursos de la auditoría a áreas que
son esenciales para el éxito y sustentabilidad de
las entidades auditadas. Por lo tanto, después de
evaluar los riesgos relacionados con las
actividades estratégicas y operativas de la entidad
auditada, los auditores necesitan determinar la
respuesta adecuada a los riesgos identificados, lo
que incluye considerar el grado de madurez de los
controles internos. Con base en la evaluación del
control interno, el auditor estará en posición de
10
ISSAI 300.
11
ISSAI 400.
identificados con la estrategia
de auditoría
Un aspecto importante en la planificación de las
auditorías de cumplimiento es que el auditor
considere de manera práctica el vínculo entre los
riesgos identificados y la estrategia de auditoría.
Sobre la base del valor de una detección que sea
aceptable para los auditores en la evaluación de
los controles internos, ellos pueden decidir si la
estrategia de auditoría será un enfoque basado en
controles o un enfoque basado en pruebas
sustantivas. En la vida real los auditores realizan
repasos de los controles identificados con el fin de
obtener cierto grado de confianza sobre la eficacia
operativa de dicho control. Durante los repasos los
auditores ejercen su juicio profesional para
determinar lo que pueda salir mal y cómo reunir
evidencia suficiente y apropiada para probar este

Página 49
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
supuesto. La estrategia de auditoría puede
consistir entonces en confiar en las pruebas de los
controles o en realizar procedimientos sustantivos.
3.4 DETERMINANDO LA
IMPORTANCIA RELATIVA EN LA
FASE DE PLANIFICACIÓN
En el sector público, cuando los auditores obtienen
una seguridad razonable, planean y realizan la
auditoría para determinar si la información del
objeto, en todos los aspectos importantes, cumple
con los criterios establecidos.
En una auditoría de cumplimiento la importancia
relativa se determina para todas las etapas de la
misma:
a. Para la planificación,
b. Para evaluar la evidencia obtenida y los efectos
de las instancias de incumplimiento
identificadas, y
c. Para presentar los resultados del trabajo de
auditoría.
Durante el proceso de planificación, la información
acerca de la entidad se recopila para evaluar los
riesgos y establecer la importancia relativa con el
fin de diseñar los procedimientos de la auditoría. A
continuación la evidencia reunida debe evaluarse
como base para formar conclusiones y preparar
informes, por lo que determinar la importancia
relativa es fundamental para la evaluación.
Determinar la importancia relativa es una cuestión
de juicio profesional y depende de la interpretación
que el auditor haga de las necesidades del usuario.
Un objeto de la revisión puede considerarse de
importancia relativa si el conocimiento del mismo
puede influir en las decisiones de los usuarios
previstos. La importancia relativa se considera a
menudo en términos de valor, pero también tiene
otros aspectos cuantitativos y cualitativos. Las
características inherentes de una partida o un
grupo de partidas pueden hacer que un objeto de
la revisión sea de importancia relativa por su propia
naturaleza. Un objeto de la revisión también puede
ser de importancia relativa por el contexto en el
que ocurre. Una parte esencial para determinar la
importancia relativa es considerar si se puede
esperar de forma razonable que los casos
reportados de cumplimiento o incumplimiento
influyan en las decisiones de los usuarios
previstos. Los factores que deben juzgarse aquí
Página 50
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
son los requisitos del mandato, las expectativas o
el interés público, las áreas específicas del enfoque
legislativo, las solicitudes y el financiamiento. Las
cuestiones con un nivel de valor más bajo, como el
fraude, también pueden considerarse de
importancia relativa .12
Al evaluar la importancia relativa de cualquier
incumplimiento identificado, aspectos como los
criterios, las condiciones, la causa y el efecto del
incumplimiento también deben considerarse. Este
puede ser el caso en situaciones en las que la ley o
el reglamento, o los términos acordados establecen
un requisito incondicional de cumplimiento, por
ejemplo si la constitución prohibe un gasto
excesivo en relación con el presupuesto
aprobado13.
3.4.1 Juicios profesionales
acerca de la importancia relativa
Los juicios profesionales acerca de la importancia
relativa se hacen a la luz de las circunstancias que
rodean a la auditoría, pero no se ven afectadas por
el nivel de seguridad dada. Es decir, para los
mismos usuarios previstos y propósito la
importancia relativa para una auditoría de
seguridad razonable es la misma que para una
auditoría de seguridad limitada, ya que la
importancia relativa se basa en las necesidades de
información de los usuarios.
En algunos casos los criterios aplicables pueden
analizar el concepto de importancia relativa dentro
del contexto de la preparación y presentación de la
información del objeto y por lo tanto proporcionar
un marco de referencia al considerar la importancia
relativa para una auditoría en particular. En los
casos en los que los criterios aplicables no incluyan
un análisis del concepto de importancia relativa, el
auditor podrá guiarse por un marco de referencia
como el que se explica a continuación.
Los incumplimientos o las desviaciones del
cumplimiento se consideran de importancia relativa
si, individualmente o en conjunto, se puede esperar
de forma razonable que influyan en las decisiones
que los usuarios previstos toman con base en la
12
ISSAI 400.47.
13
ISSAI 4100.71 y 72.
información del objeto. Como lo hemos señalado
anteriormente, la consideración por parte del
auditor de la importancia relativa es una cuestión
de juicio profesional y se ve afectada por la
percepción que tiene el auditor de las necesidades
de información de los usuarios previstos como
grupo. Dentro de este contexto, resulta razonable
para el auditor asumir que los usuarios previstos:
• Tienen un conocimiento adecuado del objeto de
la revisión y están dispuestos de estudiar la
información del objeto con la debida diligencia;
• Entienden que la información del objeto se
prepara y asegura conforme a los niveles
adecuados de importancia relativa y tienen
conocimiento de los conceptos de importancia
relativa incluidos en los criterios aplicables;
• Entienden cualquier incertidumbre inherente a
la medición o evaluación del objeto de la
auditoría; y
• Toman decisiones razonables basándose en la
información del objeto tomada en su conjunto.
3.4.2 Determinando la
importancia relativa
Las normas establecen que un objeto de la revisión
puede considerarse de importancia relativa si el
conocimiento del mismo puede influir en las
decisiones de los usuarios previstos y que este
juicio se puede referir a una sola partida o un grupo
de partidas tomadas en conjunto.
La importancia relativa se considera a menudo en
términos de valor, pero también tiene otros
aspectos cuantitativos y cualitativos. Las
características inherentes de una partida o un
grupo de partidas pueden hacer que un objeto de
la revisión sea de importancia relativa por su propia
naturaleza. Un objeto de la revisión también puede
ser de importancia relativa por el contexto en el
que ocurre14. La importancia relativa se relaciona
con la población total que cae bajo la acción de la
auditoría. El auditor diseñará el muestreo y los
procedimientos de la auditoría de manera que, si
hay incumplimientos que alcancen el nivel de
importancia relativa, entonces serán identificados
en el muestreo. Como ya lo hemos mencionado, la
evaluación de la importancia relativa requiere de
14
ISSAI 400.47.
Página 51
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
juicio profesional por parte del auditor y se
relaciona con el alcance de la auditoría, aunque es
posible que algunas EFS cuenten con lineamientos
para establecer el nivel (umbral) de importancia
relativa dentro del contexto de la legalidad y el
cumplimiento de las operaciones con los
reglamentos o en términos de valor.
La determinación de la importancia relativa
requiere que los auditores conozcan y evalúen los
factores que pueden influir en las decisiones de los
usuarios previstos. Por ejemplo, cuando los
criterios identificados permiten variaciones en la
presentación del objeto de la revisión, los auditores
deben considerar la forma en que la presentación
adoptada puede influir en las decisiones de los
usuarios previstos. La importancia relativa se
considera dentro del contexto de factores
cuantitativos y cualitativos, como la magnitud
relativa, la naturaleza y extensión del efecto de
estos factores en la evaluación o medición del
objeto de la revisión, y los intereses de los usuarios
previstos. Por ejemplo, dentro del contexto de la
legalidad y el cumplimiento de las operaciones con
los reglamentos, las desviaciones son de
importancia relativa si de manera razonable
afectan la decisión de los usuarios de la opinión de
auditoría.
En la práctica de algunas EFS la importancia
relativa se basa en una evaluación de la
importancia de los resultados de la auditoría y, por
lo tanto, depende más del juicio personal que la
importancia relativa considerada en el caso de una
auditoría de seguridad razonable. En este tipo de
práctica al final de la auditoría el auditor juzga si los
resultados son lo suficientemente significativos
como para incluirlos en el informe con base en la
naturaleza específica de cada resultado. Para
abordar estos aspectos durante la fase de
planificación los auditores necesitan considerar los
siguientes factores al determinar si una información
es o no de importancia relativa:
• El contexto en el que el objeto de la revisión
aparece, por ejemplo si éste también está
sujeto al cumplimiento de las disposiciones
legales y normativas, la legislación o los
reglamentos, o si la ley o los reglamentos
prohiben el gasto excesivo de los fondos
públicos, sin importar las cantidades;
• Las expectativas y el interés público,
incluyendo el énfasis dado al objeto de la
revisión por los comités del
Parlamento/Congreso, como el comité de
cuentas públicas, incluyendo la necesidad de
divulgar determinada información;
• La necesidad de regulación y supervisión por
parte del Parlamento/Congreso en un área en
particular; y
• La necesidad de claridad y transparencia, por
ejemplo si hay determinados requisitos de
información en el caso de fraudes y otras
pérdidas.
Otros objetos de revisión que pueden ser
considerados de importancia relativa por su
naturaleza son:
• Los fraudes,
• El incumplimiento o los actos ilícitos
intencionales,
• La presentación de información falsa o
incompleta a la dirección, el auditor o el poder
legislativo (ocultamiento),
• Pasar por alto de manera intencional las
solicitudes hechas por la dirección, las
autoridades o los auditores,
• Los eventos y operaciones llevadas a cabo a
pesar de saber que carecen de una base legal.
3.4.3 Factores cualitativos y
cuantitativos al determinar la
importancia relativa
Como se mencionó anteriormente, la importancia
relativa se considera dentro del contexto de
factores cualitativos y, cuando resulta aplicable, de
factores cuantitativos. En general los aspectos
cuantitativos se refieren a la magnitud –
normalmente en términos de valor, sea un
porcentaje, número, cantidad, etc. –, mientras que
los aspectos cualitativos se refieren a la naturaleza,
características, etc. En algunos casos los aspectos
cualitativos pueden hacer que incumplimientos de
menor grado sean de importancia relativa, mientras
que en otros casos el incumplimiento no se
relaciona con ningún valor, monto o magnitud. Para
entender mejor la importancia relativa cualitativa no
Página 52
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
relacionada con una cantidad a continuación se
dan algunos ejemplos que pueden ser útiles:
1. Los términos de un código de construcción
requieren de inspecciones anuales, pero el
gobierno no las ha realizado en los últimos
cinco años. Este incumplimiento puede resultar
significativo debido a aspectos cualitativos
como las implicaciones para la seguridad.
Aunque no implica ninguna cantidad monetaria,
el incumplimiento puede ser de importancia
relativa debido a las posibles consecuencias
que puede tener en la seguridad de los
ocupantes del edificio. En caso de desastre
existe también el riesgo de que el
incumplimiento dé como resultado demandas
de responsabilidad civil que pudieran tener
importantes implicaciones financieras para el
gobierno.
2. Los términos de un contrato de financiamiento
establecen que el receptor de los fondos debe
preparar estados financieros y enviarlos a la
institución que da el financiamiento en
determinada fecha. Sin embargo, los estados
financieros no se prepararon y enviaron a
tiempo. El incumplimiento puede o no ser de
relativa importancia, dependiendo de si los
estados financieros se prepararon y enviaron
posteriormente, la extensión del retraso, las
razones del mismo, las consecuencias que
pudieran surgir como resultado del
incumplimiento, etc.
La relevancia de los factores cualitativos y
cuantitativos al considerar la importancia relativa
en una auditoría es una cuestión de juicio
profesional. Los factores cualitativos pueden incluir
cosas como las siguientes:
• La interacción e importancia de los diversos
componentes de la información del objeto
cuando ésta se compone de múltiples
componentes, como por ejemplo un informe
que incluye varios indicadores de desempeño.
• El tipo de redacción elegido con respecto a la
información del objeto que está expresada en
forma de narrativa.
• La naturaleza del incumplimiento, como por
ejemplo la naturaleza de las desviaciones
observadas en un control cuando la información
del objeto es una declaración de que el control
es efectivo.
• Si el incumplimiento afecta el cumplimiento con
las leyes o reglamentos.
• Si el incumplimiento es resultado de un acto
intencional o involuntario.
• Cuando la información del objeto se relaciona
con una conclusión sobre el cumplimiento de
las leyes o reglamentos, la gravedad del
incumplimiento.
Los factores cuantitativos se relacionan con la
magnitud de un incumplimiento relativo a las
cantidades reportadas para aquellos aspectos de la
información del objeto que:
• Se expresan numéricamente, o
• El número de desviaciones observadas en un
control puede ser un factor cuantitativo
relevante cuando la información del objeto es
una declaración de que el control es efectivo.
Así pues, determinar la importancia relativa de un
incumplimiento identificado como resultado de los
procedimientos llevados a cabo requiere el juicio
profesional del auditor. Esto se puede aclarar aún
más a través del siguiente ejemplo:
En una auditoría de cumplimiento la entidad pudo
haber cumplido con nueve de las cláusulas de una
ley o reglamento, pero le faltó una. Por lo tanto, se
requiere de juicio profesional para concluir si la
entidad cumplió con la ley o reglamento en su
conjunto. Por ejemplo, el auditor puede considerar
la importancia de la cláusula con la que la entidad
no cumplió, así como la relación de dicha cláusula
con las demás cláusulas.
3.5 ESTRATEGIA DE AUDITORÍA
Y PLAN DE AUDITORÍA
Elaborar la estrategia y el plan de auditoría es el
paso final en el proceso de planificación. Para
planear la auditoría de manera que ésta sea
efectiva es necesario discutir con los miembros del
equipo y desarrollar una estrategia general de
auditoría y un plan de auditoría. Las normas
destacan la necesidad de contar con ambos, ya
que ayudan a las EFS a determinar la forma en
que la auditoría se llevará a cabo de principio a fin.
Para ello, es necesario examinar repetidamente
todos los aspectos críticos de una auditoría de
cumplimiento y llegar a un entendimiento sobre lo
Página 53
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
que se hará (estrategia de auditoría) y cómo se
hará (plan de auditoría). Tanto la estrategia como
el plan deberán documentarse por escrito y
actualizarse según sea necesario durante la
auditoría. La planificación también incluye
consideraciones relacionadas con la dirección,
supervisión y revisión del equipo de auditoría. Por
lo tanto, es importante que los auditores entiendan
completamente la diferencia entre la estrategia y el
plan de auditoría.
El propósito de la estrategia de auditoría es diseñar
una respuesta eficaz a los riesgos de
incumplimiento. La estrategia de auditoría
especifica y establece la extensión, oportunidad y
dirección de la misma, además de servir de guía
para el desarrollo del plan de auditoría. Asimismo
muestra la forma en que los auditores responderán
y harán cambios en el alcance de la auditoría
cuando se disponga de información adicional sobre
el objeto de la revisión, los criterios o los controles,
cambiando así el perfil de riesgo de la entidad
auditada.
Al formular la estrategia general de una auditoría
de cumplimiento los auditores del sector público
necesitan tomar en consideración lo siguiente:
• Los objetivos, alcance, objeto de la revisión,
criterios y otras características de la auditoría
de cumplimiento, tomando en cuenta el
mandato de la EFS y los elementos contenidos
en la definición de auditoría de cumplimiento;
• Las responsabilidades y objetivos de los
informes, así como a quién y cuándo se
entregarán y en qué forma;
• Los factores significativos que pueden influir en
la conducción de la auditoría;
• La importancia relativa y la evaluación de
riesgos;
• El conocimiento obtenido en auditorías
anteriores o relacionadas;
• La composición y asignación de tareas del
equipo de auditoría, incluyendo la necesidad de
contar con expertos en la materia; y
• El calendario de la auditoría.
Una vez que hayan entendido los requisitos de
cumplimiento aplicables al objeto de la revisión y
los controles internos que lo afectan, los auditores
serán capaces de identificar el riesgo de que algo
salga mal y de acuerdo con esto planear los
procedimientos de auditoría que les permitirán
llegar a una conclusión u opinión apropiada
considerando dichos riesgos.
3.5.1 El plan de auditoría
Al preparar el plan de auditoría las EFS deben
revisar, ajustar y documentar cada paso del
proceso con suficiente detalle. De esta manera, los
planes de auditoría funcionan eventualmente como
puntos de referencia con los cuales evaluar el
desarrollo de las actividades de la auditoría de
cumplimiento.
La planificación incluye diseñar procedimientos que
permitan responder a los riesgos identificados de
incumplimiento. La naturaleza, oportunidad y
extensión exactas de los procedimientos de
auditoría pueden variar ampliamente de una
auditoría a otra. No obstante, los procedimientos
de las auditorías de cumplimiento incluyen en
general determinar los criterios relevantes, es
decir, las disposiciones legales y normativas que
rigen a la entidad, para luego medir la información
del objeto de acuerdo con dichas disposiciones
legales y normativas. En los siguientes capítulos
relativos a la ejecución de las auditorías de
cumplimiento y la recopilación de evidencia
analizaremos esto procedimientos.
El plan de la auditoría de cumplimiento consiste en
una descripción de:
a. Los criterios identificados en relación con el
alcance y las características de la auditoría de
cumplimiento y con el marco legal, regulatorio o
presupuestario;
b. La naturaleza, oportunidad y extensión de los
procedimientos de evaluación de riesgos
llevados a cabo para evaluar suficientemente los
riesgos de incumplimiento relacionados con los
diferentes criterios de auditoría;
c. La naturaleza, oportunidad y extensión de los
procedimientos de auditoría planeados en
relación con los diferente criterios y
evaluaciones de riesgos de la auditoría de
cumplimiento.
Página 54
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

3.6 CONCLUSIÓN
En este capítulo hemos hablado de las
consideraciones iniciales para la planificación de
una auditoría de cumplimiento, así como de los
pasos detallados del proceso de planificación,
incluyendo los controles internos, la evaluación de
riesgos y la importancia relativa. El capítulo
también proporciona una guía sobre cuándo dar
una seguridad "razonable" o "limitada" en una
auditoría. Para ello, los auditores deben elaborar
su plan de auditoría tomando en consideración el
riesgo de auditoría con el objetivo de llegar a una
conclusión u opinión adecuada. Asimismo los
auditores deben incluir la evaluación del riesgo de
fraude en el proceso de planificación según las
normas.

Página 55
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

Capítulo 4:

Obtención y evaluación de la
evidencia de auditoría

Página 56
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
4.1 INTRODUCCIÓN
En el capítulo anterior hemos hablado acerca de
las consideraciones iniciales para la planificación y
su proceso. A partir de ahí los auditores pasan a la
fase de ejecución de la auditoría después de haber
revisado el objeto de la revisión, los criterios, el
alcance, la estrategia y el plan de auditoría. Con
base en los procedimientos identificados en la
planificación los auditores reúnen y evalúan la
evidencia de la auditoría como parte de su
ejecución. El presente capítulo explica las
consideraciones clave para la obtención de la
evidencia de auditoría.
4.2 LA EVIDENCIA DE
AUDITORÍA
La evidencia de auditoría es la información que se
usa para llegar a los resultados sobre los cuales se
basan la conclusión u opinión del auditor. Los
auditores diseñan y aplican los procedimientos
adecuados para obtener evidencia de auditoría
suficiente y apropiada que les permita formular una
conclusión u opinión respecto a si el objeto de la
revisión cumple, en todos los aspectos
importantes, con los criterios establecidos1. De esta
manera, para cumplir con el alcance de la auditoría
el auditor debe decidir en qué momento la
evidencia es suficiente y apropiada para servir de
base a la conclusión u opinión.
En la fase de planificación el auditor revisa:
a. los controles internos establecidos por la entidad
auditada para prevenir, detectar y rectificar los
casos de incumplimiento, y
b. si existe una unidad organizativa dentro de la
entidad auditada para la administración de los
controles y otros riesgos.
Con base en esta revisión el auditor identifica los
riesgos de control y otros riesgos, y los tiene en
mente mientras empieza a reunir la evidencia de
auditoría.
Los procedimientos dependerán del objeto de la
revisión y los criterios, así como del juicio
profesional del auditor. Como se explicó en el
1 3
ISSAI 4200.95
módulo de planificación, el auditor debe establecer
un vínculo entre los procedimientos de auditoría y
los riesgos identificados. Cuando los riesgos de
incumplimiento resulten significativos y el auditor
tenga previsto basarse en los controles existentes,
dichos controles deberán examinarse. Cuando los
controles no se consideren confiables, entonces el
auditor deberá planear y realizar procedimientos
sustantivos para responder a los riesgos
identificados. Asimismo, deberá realizar
procedimientos sustantivos adicionales cuando el
riesgo de incumplimiento sea significativo. Si el
enfoque de auditoría consiste únicamente en
procedimientos sustantivos, entonces deberán
realizarse pruebas analíticas y de detalle.2
El auditor encargado de realizar una auditoría de
cumplimiento a menudo necesitará combinar y
comparar evidencia proveniente de diferentes
fuentes con el fin de cumplir con los requisitos de
suficiencia e idoneidad de la evidencia de
auditoría.3 También será necesario que ejerza su
juicio profesional al considerar la cantidad y calidad
de la evidencia disponible, en particular cuando se
trate de determinar la naturaleza, oportunidad y
extensión de los procedimientos.
4.2.1 Cantidad y calidad de la evidencia
disponible
La evidencia de auditoría se considera suficiente
(cantidad) cuando es capaz de convencer a una
persona informada de que los resultados son
razonables. Por otra parte, la evidencia de
auditoría se considera apropiada (calidad) cuando
es relevante, está relacionada directamente con el
objeto de la revisión y los criterios, y es confiable.
La cantidad o calidad de la evidencia disponible se
ve afectada por:
a. Las características del objeto de la revisión y la
información del mismo. Por ejemplo, se espera
que la evidencia sea menos objetiva cuando la
información del objeto está orientada hacia el
futuro en vez de ser histórica; y
b. En circunstancias en las que se pudiera esperar
de manera razonable que existiera evidencia,
ésta no está disponible debido a, por ejemplo,
2
ISSAI 4200.96
ISSAI 400.57
Página 57
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
los tiempos del trabajo de auditoría, una política
de retención de documentos de la entidad,
sistemas inadecuados de información o una
restricción impuesta por la parte responsable.
4.2.2 Suficiencia, pertinencia (calidad) y
confiabilidad de la evidencia de auditoría
La suficiencia e idoneidad de la evidencia están
interrelacionadas. La suficiencia (sufficiency en
inglés) es una medida de la cantidad de evidencia
necesaria, la cual se ve afectada por el riesgo de
que la información del objeto no cumpla o sea
proclive a una desviación (es decir, que mientras
más alto sea el riesgo, mayor será la cantidad de
evidencia necesaria) y por la calidad de dicha
evidencia (es decir, que mientras mayor sea la
calidad, menor será la cantidad de evidencia
necesaria). Sin embargo, obtener más evidencia
puede no compensar su baja calidad.
Por su parte, la pertinencia o idoneidad
(appropriateness en inglés) es una medida de la
calidad de la evidencia, es decir, de su relevancia y
confiabilidad como apoyo para la conclusión del
auditor.
El juicio profesional del auditor sobre lo que
constituye evidencia suficiente y apropiada se ve
influenciada por factores como los siguientes:
• La importancia de un posible incumplimiento o
desviación del cumplimiento, así como la
posibilidad de que tenga un efecto importante
sobre la información del objeto, ya sea
individualmente o en conjunto con otros
incumplimientos potenciales.
• La eficacia de las respuestas de la parte
responsable para reducir el riesgo conocido de
incumplimiento o desviación del cumplimiento.
• La experiencia ganada en auditorías anteriores
con respecto a posibles incumplimientos o
desviaciones del cumplimiento similares.
• Los resultados de los procedimientos
realizados, incluyendo si los mismos
identificaron incumplimientos o desviaciones
específicas.
• La fuente y confiabilidad de la información
disponible.
• La capacidad de convencimiento de la
evidencia.
• El conocimiento que se tiene de la parte
responsable y su ambiente.
La confiabilidad de la evidencia depende de su
fuente y su naturaleza, así como de las
circunstancias en las que se obtiene. Se pueden
hacer generalizaciones acerca de la confiabilidad
de varios tipos de evidencia; sin embargo, tales
generalizaciones están sujetas a importantes
excepciones. Incluso cuando la evidencia se
obtiene de fuentes externas, puede haber
circunstancias que afecten su confiabilidad.
Por ejemplo, la evidencia obtenida de una fuente
externa puede no ser confiable si la fuente no se
puede confirmar o no es objetiva. De este modo,
aunque reconociendo que puede haber
excepciones, las siguientes generalizaciones
acerca de la confiabilidad de la evidencia pueden
ser útiles. Es posible que la evidencia sea más
confiable cuando:
• Se obtiene de fuentes ajenas a la parte
responsable.
• Se genera internamente, cuando los controles
son eficaces.
• Es obtenida directamente por el auditor. Por
ejemplo, la observación directa de la aplicación
de un control es más confiable que la evidencia
obtenida indirectamente o por inferencia, por
ejemplo a través de preguntas sobre la
aplicación de dicho control.
• Existe de forma documental, ya sea en papel,
formato electrónico o en otros medios. Por
ejemplo, las minutas que se registran durante
una reunión son generalmente más confiables
que un informe oral de lo que se discutió.
Normalmente se obtiene mayor seguridad de
evidencia consistente proveniente de diferentes
fuentes o de una naturaleza diferente, que de
piezas de evidencia consideradas individualmente.
Además, al obtener evidencia de diferentes fuentes
o de una naturaleza diferente se puede corroborar
otra evidencia o indicar que una pieza individual de
evidencia no es confiable. En los casos en los que
la evidencia obtenida de una fuente sea
inconsistente con la de otra, el auditor necesita
determinar los procedimientos adicionales
necesarios para resolver la inconsistencia.
Página 58
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
En cuanto a obtener evidencia suficiente y
apropiada, generalmente es más difícil obtener
seguridad acerca de la información de un objeto
que cubre un determinado período que acerca de
la información en un determinado punto de tiempo.
Asimismo, las conclusiones sobre procesos
regularmente se limitan al período cubierto por el
trabajo y el auditor no puede dar una conclusión
acerca de si el proceso seguirá funcionando de
igual manera en el futuro.
El alcance de la auditoría determina donde reunir
evidencia, lo que significa que la evidencia de
auditoría puede obtenerse dentro o fuera de la
entidad, o ser producida directamente por el
auditor. El auditor debe considerar la posibilidad de
usar diferentes fuentes en el proceso de
recopilación de evidencia, la cual puede ser física,
documental, oral o analítica, dependiendo del
alcance de la auditoría.
Recopilación de
evidencia de
auditoría
Evaluar si la
No
evidencia de
auditoría es
suficiente y
apropiada
Si
Conclusión
Figura 4.1: Proceso de toma de decisiones
4.2.3 Recopilación de evidencia
La recopilación de evidencia de auditoría suficiente
y apropiada es un proceso sistemático e iterativo
que incluye4:
i. Reunir evidencia mediante la aplicación de
procedimientos apropiados de auditoría.
ii. Evaluar la evidencia obtenida en términos de
suficiencia (cantidad) e idoneidad (calidad).
iii. Re-valuar el riesgo y reunir más evidencia
según sea necesario.
Conforme el auditor realiza los procedimientos de
auditoría planeados, la evidencia obtenida puede
llevarlo a modificar la naturaleza, oportunidad y
extensión de otros procedimientos de auditoría.
Cierta información que difiera de manera
significativa de aquella en la que se basó la
evaluación de riesgos al principio de la auditoría
puede llamar la atención del auditor. Por ejemplo,
el grado de desviación que el auditor detecte al
realizar los procedimientos de auditoría puede
Recopilación de evidencia
adicional según sea
necesario
Re-evaluación
Informe de auditoría
4
ISSAI 4200.101, 102
Página 59
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
modificar su juicio respecto a la evaluación de
riesgos e indicar una debilidad importante en el
control interno. En tales circunstancias, el auditor
deberá re-evaluar los procedimientos de auditoría
planeados con base en los nuevos riesgos.
4.3. TÉCNICAS PARA LA
RECOPILACIÓN DE EVIDENCIA
La eficacia del proceso de recopilación de
evidencia depende de una planificación realista de
esta parte del proceso de auditoría usando
técnicas adecuadas. Las EFS pueden usar
diferentes herramientas para este propósito. Al
respecto, las normas establecen lineamientos
sobre la forma de reunir y evaluar la evidencia de
auditoría. A continuación se dan aquí algunas
técnicas:
Observación
Los auditores observan directamente los procesos
o procedimientos que se están realizando. En una
auditoría de cumplimiento esto puede incluir la
forma en que un proceso de licitación se lleva a
cabo, la forma en que se procesa el pago de
beneficios, o si el desempeño de cualquier tipo
está en línea con las leyes y reglamentos.
Inspección
La inspección puede incluir:
• Examinar los libros y registros para determinar
la forma en que los fondos se han
contabilizado, así como la integridad de los
registros.
• Comparar los registros contables con los
términos de un contrato.
• Revisar los archivos y documentos relevantes
del caso para determinar si los receptores de
los beneficios cumplen con los requisitos de
elegibilidad.
• Examinar un activo, como un puente o un
edificio, para verificar que cumpla con las
especificaciones de construcción aplicables.
El auditor deberá considerar la confiabilidad de los
documentos examinados y tener en mente el
riesgo de fraude, así como la posibilidad de que los
documentos examinados no sean auténticos. En
casos de fraude, a veces se mantienen dos
diferentes juegos de libros y registros. Por lo tanto,
el auditor podrá llevar a cabo procedimientos de
auditoría adicionales, como hablar con diferentes
personas de la entidad para que confirmen el
origen de los documentos o sobre los controles
aplicados para su preparación y mantenimiento.
Indagación
La indagación consiste en buscar información entre
las personas adecuadas tanto dentro como fuera
de la entidad auditada y puede incluir:
• Solicitudes formales de información,
• Pláticas informales,
• Entrevistas y preguntas a personas de
referencia, incluyendo expertos,
• Preparar y enviar cuestionarios o encuestas.
En general la indagación se usa ampliamente a lo
largo de toda la auditoría y complementa otros
procedimientos. Por ejemplo, al observar los
procesos que se están realizando, como el pago de
beneficios en un país o estado, pueden hacerse
indagaciones entre los funcionarios respecto a
cómo se identifica e interpreta la legislación
aplicable, incluyendo los cambios y
actualizaciones. Los resultados de las
indagaciones pueden indicar que los procesos se
realizan de diferentes maneras en diversos
lugares, lo cual es causa frecuente de
incumplimiento.
Para lograr una mejor comprensión, a menudo las
indagaciones se hacen entre personas ajenas a la
función que se está auditando. Por ejemplo,
además de hacer indagaciones sobre el personal
de contabilidad de una secretaría o ministerio,
también puede ser relevante hacer indagaciones
sobre los departamentos legal o técnico de dicho
ministerio.
En general, mientras más ajena sea una persona al
sujeto de la auditoría, mayor será la probabilidad
de que sea objetiva en sus respuestas, aunque su
experiencia con el área de auditoría no sea tan
cercana. Aquellos que son externos a la entidad
auditada – como bancos, contratistas, medios de
comunicación, etc. – es más probable que sean
Página 60
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
objetivos en sus respuestas. En este caso el
auditor necesita tener cuidado de las posibles
relaciones entre la entidad auditada y el personal
entrevistado.
Las indagaciones pueden ser una débil forma de
evidencia y por sí solas no pueden proporcionar
evidencia suficiente y apropiada para los fines de la
auditoría. Para lograr esto, las indagaciones deben
realizarse junto con otros tipos de procedimientos.
Asimismo, las indagaciones resultan más eficaces
cuando se llevan a cabo con funcionarios
relevantes e informadas, es decir, personas en
puestos de autoridad que están autorizadas para
hablar o dar su opinión en nombre de la entidad.
Confirmación
Es un tipo formal de indagación y consiste en
obtener una respuesta de una tercera parte,
independientemente de la entidad auditada, con
respecto a una información en particular. En las
auditorías de cumplimiento la confirmación puede
incluir retroalimentación:
• Directamente de los beneficiarios para saber si
han recibido los fondos o ayudas que la entidad
auditada afirma haberles pagado.
• Directamente de los beneficiarios para saber si
los fondos se han usado para el propósito
establecido en los términos de un contrato de
ayuda o financiamiento.
• Directamente de los proveedores para saber si
han proporcionado los activos a la entidad
auditada en determinada fecha y libres de
daños.
• Recibir lineamientos del Parlamento/Congreso
respecto a cómo interpretar una parte
específica de la legislación.
También se pueden obtener confirmaciones
escritas de la dirección en relación con las
declaraciones verbales hechas durante la auditoría.
Las declaraciones escritas pueden consistir por
ejemplo en lo siguiente:
• La afirmación de cumplimiento de la dirección
con una parte relevante de la legislación, los
términos de un contrato, etc.
• La divulgación por parte de la dirección de
todas las instancias de incumplimiento que han
llegado a su conocimiento.
• Que la alta dirección le ha proporcionado al
auditor información completa acerca del objeto
de la revisión.
Por su propia naturaleza las declaraciones de la
dirección son una débil forma de seguridad, pero
en los casos en los que la dirección de la entidad
auditada tiene acceso exclusivo a información
confidencial, ésta puede ser la única fuente de
evidencia.
Repetición
Puede ser una técnica muy importante para
determinar si los resultados del trabajo de los
auditores detectan una desviación en el trabajo de
la entidad auditada. En este caso, el auditor sigue
de manera independiente los mismos
procedimientos llevados a cabo por la entidad
auditada. Los sistemas de datos usados por la
entidad auditada pueden requerir una calificación
especial que debe considerarse antes de empezar
la repetición. El auditor debe considerar esto y
evaluar la necesidad de contratar a un experto que
entienda el sistema para, por ejemplo, repetir los
cálculos de pensión, la selección de los receptores
de tratamiento hospitalario o los modelos de
ingeniería.
La repetición puede hacerse manualmente o por
medio de técnicas de auditoría asistidas por
computadora. Algunos ejemplos de repetición son:
• Revisar los expedientes individuales para
comprobar si la entidad auditada tomó las
decisiones correctas o proporcionó el servicio
adecuado de acuerdo con los criterios
establecidos.
• Repetir las etapas del proceso para comprobar
la validez de las visas o permisos de residencia
expedidos.
• Recalcular las deducciones fiscales en el pago
de nómina del personal de la entidad auditada
para confirmar las cantidades correctas
pagaderas al fisco.
• Confirmar que la correcta aplicación de criterios
para el pago de beneficios incluye los pagos a
Página 61
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

las personas que cumplen con determinados de la disponibilidad de estadísticas e información

requisitos.
• En los casos en los que el pago de beneficios a
adultos mayores (pensión o asistencia social)
incluye el pago a personas por encima de cierta
edad, la selección de los receptores hecha por
la entidad auditada a partir de una base de
datos pública puede ser repetida por los
auditores del sector público usando técnicas de
auditoría asistidas por computadora para
comprobar la exactitud del proceso.
• Repetir el proceso de selección de una
licitación usando los criterios de selección para
comprobar que las ofertas correctas se hayan
seleccionado.
Procedimientos analíticos
En los procedimientos analíticos los auditores
comparan datos o investigan las fluctuaciones o
relaciones que parecen inconsistentes. En el caso
de las auditorías de cumplimiento las
oportunidades para emplear procedimientos
analíticos pueden ser limitadas y su uso dependerá
financiera y operativa confiable. Un ejemplo sería
comparar los aumentos y disminuciones en el pago
de beneficios (pagos de pensión) de un año a otro
con información demográfica, como el número de
ciudadanos que han alcanzado la edad de
jubilación en el último año. Si los pagos de pensión
que se mantuvieron dentro del rango del 5% al 6%
del gasto público de 2005 a 2013 aumentaron a
11% en 2014, los auditores deberán examinar si
este cambio se debió al incumplimiento en el
cálculo de las obligaciones de jubilación, etc.
Ejemplo: En el caso de la auditoría del IVA
(Impuesto al Valor Agregado) los auditores tienen
la opción de usar cualquiera de estas herramientas
para reunir y evaluar la evidencia, tal como se
muestra a continuación:

Tabla 4.1: Técnicas de recopilación de evidencia

Técnicas Aplicación de las técnicas en el caso de la auditoría del IVA

Observación Los auditores observan si (a) se estableció una Unidad de Administración de Riesgos (UAR), y (b)
se le dotó de personal competente. Los auditores pueden visitar la UAR en la Oficina Nacional de
Administración Tributaria (ONAT) y ver cómo trabaja.
Inspección Los auditores pueden seleccionar al azar algunos casos y examinar si el IVA se ha calculado
correctamente. Además, los auditores pueden hacer el mismo ejercicio para la devolución del IVA,
la cual es un área de alto riesgo.
Indagación Los auditores investigan a los funcionarios del gobierno que participan en el manejo del IVA a
través de cartas, entrevistas y cuestionarios acerca de las deducciones y exenciones aplicables,
así como de otros requisitos procesales. En muchos casos el incumplimiento ocurre porque los
funcionarios del gobierno no entienden claramente las leyes y reglamentos aplicables.
Confirmación Los auditores pueden preguntarle a los contribuyentes si están recibiendo oportunamente la
devolución del IVA según les corresponde.
Repetición Los auditores pueden calcular el IVA o la devolución del IVA bajo el supuesto de que un
contribuyente ha pagado cierta cantidad de IVA sobre las ventas y otra cantidad sobre la compra
de suministros gravables. Con base en estas cifras, los auditores pueden determinar el monto del
IVA que se debe pagar/devolver según sea el caso. Para ello, pueden pedirle a la ONAT que les
permita calcular el pago o devolución del IVA usando su propio sistema de cómputo.
Procedimientos Los auditores pueden tabular la información sobre el IVA recaudado y devuelto durante tres años y
analíticos comparar las cifras para ver si hay un cambio anormal en la recaudación o devolución de dicho
impuesto. En caso de que los auditores vean cambios o irregularidades significativas en la
recaudación y devolución, entonces deberán buscar una explicación. Para ello necesitarán usar su
juicio profesional con el fin de llegar a una conclusión.

Página 62
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
4.3.1 Procedimientos para obtener evidencia
para trabajos de seguridad razonable y limitada
La naturaleza, oportunidad y extensión de los
procedimientos variará de una auditoría a otra.
Tanto los trabajos de seguridad razonable como
los de seguridad limitada requieren la aplicación de
habilidades y técnicas específicas, así como la
recopilación de evidencia suficiente y apropiada
como parte de un proceso sistemático e iterativo
que incluye entender el objeto de la revisión y las
circunstancias de la auditoría.
Un trabajo de seguridad razonable incluye:
a. Con base en una buena comprensión del objeto
de la revisión y las circunstancias, identificar y
evaluar el incumplimiento y la desviación del
cumplimiento en la información del objeto;
b. Diseñar y llevar a cabo procedimientos que
permitan responder a los riesgos evaluados y
obtener una seguridad razonable que sustente
la conclusión del auditor; y
c. Evaluar la suficiencia e idoneidad de la
evidencia obtenida dentro del contexto del
trabajo y, si las circunstancias lo requieren,
tratar de obtener más evidencia.
La naturaleza, oportunidad y extensión de los
procedimientos llevados a cabo para reunir
evidencia suficiente y apropiada en un trabajo de
seguridad limitada son menores en comparación
con los de un trabajo de seguridad razonable. En
este sentido una norma específica para el objeto
de la revisión puede establecer, por ejemplo, que la
evidencia suficiente y apropiada para un tipo
particular de trabajo de seguridad limitada se
obtiene principalmente a través de indagaciones y
procedimientos analíticos. Para otros tipos de
trabajos de seguridad limitada los procedimientos
pueden o no ser principalmente indagaciones y
procedimientos analíticos, y variarán de acuerdo
con las circunstancias de la auditoría, en particular
el objeto de la revisión subyacente y las
necesidades de información de los usuarios
previstos y la parte contratante, incluyendo las
limitaciones en tiempo y costo.
Determinar la naturaleza, oportunidad y extensión
de los procedimientos es una cuestión de juicio
profesional y variará de un trabajo a otro.
Un trabajo de seguridad limitada incluye:
a. Con base en una buena comprensión del objeto
de la revisión y las circunstancias, identificar
áreas en las que es posible que ocurra un
incumplimiento de la información del objeto;
b. Diseñar y llevar a cabo procedimientos que
permitan abordar esas áreas y obtener una
seguridad limitada que sustente la conclusión
del auditor; y
c. Si llega a conocimiento del auditor una situación
que le permita suponer que la información del
objeto puede no cumplir con los criterios
establecidos, diseñar y llevar a cabo
procedimientos adicionales para obtener más
evidencia.
4.3.2 El escepticismo en la obtención de la
evidencia de auditoría
El escepticismo es una actitud que implica que el
auditor esté alerta ante:
a. Evidencia que sea inconsistente con otra
evidencia obtenida;
b. Información que cuestione la confiabilidad de
documentos y respuestas a preguntas que se
usarán como evidencia;
c. Circunstancias que sugieren la necesidad de
procedimientos adicionales además de los
requeridos por las normas correspondientes; y
d. Situaciones que pudieran indicar la posibilidad
de incumplimiento o de una desviación del
cumplimiento.
Los auditores necesitan mantener el escepticismo
a lo largo de toda la auditoría para reducir el riesgo
de:
• Pasar por alto circunstancias inusuales;
• Generalizar en exceso al sacar conclusiones de
las observaciones; y
• Usar supuestos inapropiados al determinar la
naturaleza, oportunidad y extensión de los
procedimientos y evaluar los resultados de los
mismos.
El escepticismo es necesario para una evaluación
crítica de la evidencia reunida por el auditor. Esto
incluye cuestionar evidencia que sea inconsistente,
así como la confiabilidad de documentos y
respuestas a las indagaciones. También incluye
Página 63
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
considerar la suficiencia e idoneidad de la
evidencia obtenida a la luz de las circunstancias.
Al mismo tiempo, no se espera que el auditor pase
por alto el historial de honestidad e integridad de
aquellos que proporcionan evidencia. Sin embargo,
la suposición de que aquellos que proporcionan
evidencia son íntegros y honestos no exime al
auditor de la necesidad de mantener el
escepticismo durante la auditoría.
4.3.3 El uso del juicio profesional en la
obtención de la evidencia de auditoría
El juicio profesional es esencial para la conducción
adecuada de un trabajo de aseguramiento. Esto se
debe a que la interpretación de los requisitos éticos
y las normas de auditoría, así como las decisiones
informadas que se requieren a lo largo del proceso
de auditoría no pueden hacerse sin la aplicación de
la capacitación, el conocimiento y la experiencia
correspondientes. La importancia del juicio
profesional al determinar la importancia relativa y el
riesgo de auditoría se analizó en capítulos
anteriores. También es tan importante para:
• Determinar la naturaleza, oportunidad y
extensión de los procedimientos usados para
cumplir con los requisitos de las normas de
auditoría y obtener evidencia.
• Evaluar si se ha obtenido evidencia suficiente y
apropiada o si se necesita hacer más para
lograr los objetivos. En el caso particular de las
auditorías de cumplimiento de seguridad
limitada el juicio profesional es necesario para
evaluar si se ha obtenido un nivel significativo
de seguridad.
• Sacar conclusiones apropiadas con base en la
evidencia obtenida.
La característica distintiva del juicio profesional que
se espera de un auditor es que es ejercido por un
auditor cuyo conocimiento y experiencia le han
ayudado a desarrollar la capacidad necesaria para
emitir juicios razonables.
4.4. CONSIDERACIÓN DE
INCUMPLIMIENTO QUE PUEDA
INDICAR LA EXISTENCIA DE
FRAUDE O ACTOS ILÍCITOS
En el curso de la auditoría el auditor puede
encontrarse con instancias de incumplimiento que
pueden ser indicativas de fraude. Aunque detectar
el fraude no es el objetivo principal de una auditoría
de cumplimiento, los auditores deberán incluir los
factores de riesgo de fraude en sus evaluaciones
de riesgo y mantenerse alerta ante cualquier
indicación de ello al llevar a cabo su trabajo5.
Cuando el auditor identifique una instancia de
fraude deberá ejercer las diligencias y precaución
debidas de manera que no interfieran con cualquier
investigación o procedimiento judicial futuro.
El fraude en las auditorías de cumplimiento se
relaciona principalmente con el abuso de
disposiciones legales y normativas públicas, pero
también con los informes fraudulentos sobre los
aspectos de cumplimiento. Los casos de
incumplimiento con las disposiciones legales y
normativas pueden constituir un mal uso deliberado
de las disposiciones legales y normativas con el fin
de obtener ganancias ilícitas. El ejercicio de las
disposiciones legales y normativas incluye
decisiones, omisiones, trabajo preparatorio,
asesoría, manejo de la información y otros actos
del servicio público. Los beneficios indebidos son
ventajas de naturaleza económica o de otro tipo
obtenidas por medio de un acto intencional por
parte de uno o más individuos de la dirección, de
los encargados de la gestión, de empleados o de
terceras partes.
Como se señaló en el Capítulo 3 sobre
planificación, algunos factores que pueden
contribuir al fraude son:
• controles internos débiles,
• que la dirección pase por alto los controles
internos,
• la colusión entre empleados, y
• la colusión entre empleados y terceras partes.
5
ISSAI 400.51, ISSAI 400.55
Página 64
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

Como se explicó en la sección 4.3, los auditores
usan diferentes técnicas para reunir evidencia.
Algunas de las mismas técnicas se usan
ampliamente para identificar el fraude, tal como se
explica a continuación6.
i. Observación: Los auditores pueden
observar el grado con el que la dirección y el
personal cumplen con las políticas,
procedimientos y controles internos. La
observación puede revelar un ambiente de
control deficiente, incluyendo la falta de ética
e integridad de parte de la dirección. Esto
implica un alto riesgo de fraude para la
entidad.
ii. Inspección: Los auditores pueden examinar
los registros contables que involucren
grandes cantidades con redondeos en o
cerca de la fecha de cierre de ejercicio.
iii. Entrevistas: Los auditores pueden
entrevistar a los directores y funcionarios
clave, y notar cambios en el comportamiento
de la dirección o los empleados, indicando
engaño, corrupción y otras conductas
irregulares que pudieran señalar la
posibilidad de fraude. Las entrevistas tendrán
más sentido si los auditores sospechan la
existencia de fraude durante la inspección y
las observaciones.
iv. Revisiones analíticas: Los auditores pueden
comparar la información financiera de un
período a otro para identificar una relación
irregular en los datos financieros. Un
aumento inesperado en el gasto o los
ingresos pueden ser señal de fraude.
v. Seguimiento: Los auditores pueden dar
seguimiento a un documento original a través
de los procesos de registro para comprobar
la confiabilidad de los sistemas de control
interno y descubrir puntos débiles que den la
oportunidad de cometer fraude.
responde a los resultados de la auditoría y hacer
un informe al respecto. Éste es un indicador de la
seriedad con la que la entidad toma los aspectos
de cumplimiento. En los casos en los que la
dirección no dé la debida importancia a las
irregularidades identificadas, lo que se reflejaría en
documentos sin ninguna referencia a las acciones
correctivas que se están tomando, el riesgo de
fraude en este tipo de ambiente será mayor. Los
auditores necesitan estar alertas ante tales señales
mientras llevan a cabo la evaluación de riesgos
durante la auditoría.
Si durante la recopilación de evidencia el auditor se
encuentra con instancias que permitan sospechar
la existencia de actos ilícitos o fraude, estará
facultado para evaluar si la evidencia cumple con
las leyes y reglamentos. En colaboración con la
dirección de la EFS, el auditor podrá considerar el
mandato y las políticas internas de información de
la EFS. Una vez que el auditor haya evaluado la
sospecha de fraude, podrá considerar la manera
de informar a las autoridades competentes y darle
seguimiento para asegurarse que se tomen las
acciones correspondientes.
4.5 CONCLUSIÓN
La calidad del trabajo de auditoría y el nivel de
seguridad proporcionado dependerán de la
suficiencia e idoneidad de la evidencia. Es
importante que los auditores conozcan las
diferentes técnicas que se pueden usar para reunir
evidencia, la cual es una parte esencial del proceso
de las auditorías de cumplimiento antes de la
evaluación y formación de conclusiones. En el
siguiente capítulo hablaremos de esto.

Los auditores necesitan estar al tanto de la forma

en que la dirección de la entidad auditada
6
Risk Factors and Red Flags for State Auditors, Jerry E.
Spratt (2009), Auditor Legislativo Asistente para la
División Arkansas del Departamento de Auditoría
Legislativa de gobierno de los Estados Unidos. El texto
completo se encuentra en
http://www.nasact.org/conferences_training/nsaa
conferences/AnnualConferences/2009AnnualConferenc
e/PresentationsHandouts/Spratt,%20Jerry.pdf

Página 65
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

Capítulo 5:

Evaluación de la evidencia y
formación de conclusiones

Página 66
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
5.1 INTRODUCCIÓN
En el capítulo anterior hemos hablado acerca de
los procedimientos de auditoría identificados en la
fase de planificación, con base en los cuales los
auditores reúnen evidencia suficiente y apropiada.
El siguiente paso en el proceso es evaluar la
evidencia de auditoría y formar conclusiones. Este
capítulo explica las principales consideraciones
que los auditores deben tomar en cuenta para
evaluar la evidencia y elaborar las conclusiones de
la auditoría.
5.2 EVALUACIÓN DE LA
EVIDENCIA Y FORMACIÓN DE
CONCLUSIONES
Los auditores deben evaluar la evidencia obtenida
y determinar si es suficiente y apropiada como para
reducir el riesgo de auditoría hasta un nivel
aceptablemente bajo. La evaluación de la
evidencia incluye ejercer el juicio profesional y
escepticismo.
5.2.1 Evaluación de la evidencia
Saber si se ha obtenido evidencia suficiente y
apropiada como base para la conclusión del auditor
es una cuestión de juicio profesional, lo cual
incluye considerar la relación que existe entre el
costo de obtener la evidencia y la utilidad de la
evidencia obtenida. El auditor usa su juicio
profesional y escepticismo para evaluar la cantidad
y calidad de la evidencia, es decir, su suficiencia e
idoneidad para apoyar el informe de
aseguramiento.
Una auditoría es un proceso acumulativo e
iterativo. Conforme el auditor lleva a cabo los
procedimientos planeados, la evidencia obtenida
puede hacer que el auditor cambie la naturaleza,
oportunidad y extensión de otros procedimientos.
Puede haber información sobre la cual se basaron
los procedimientos planeados que llame la
atención del auditor y difiera de manera
significativa de lo esperado. Por ejemplo:
• El grado de incumplimiento que el auditor
identifique puede modificar el juicio profesional
del auditor acerca de la confiabilidad de
determinadas fuentes de información.
• El auditor puede encontrar discrepancias en la
información relevante o detectar cierta
inconsistencia o falta de evidencia.
• Si se realizaron procedimientos analíticos hacia
el final del trabajo, los resultados de estos
procedimientos pueden indicar un riesgo de
incumplimiento previamente no reconocido.
En tales circunstancias, el auditor necesitará
revaluar los procedimientos planeados.
Después de haber reunido toda la evidencia, el
auditor deberá tomar los pasos necesarios para
elaborar las conclusiones. Para evaluar la
evidencia de auditoría el auditor necesita revisar la
documentación con el fin de determinar si el objeto
de la revisión ha sido examinado de manera
suficiente y apropiada. Asimismo, con base en los
procedimientos de auditoría realizados y la
evidencia obtenida el auditor debe verificar si las
evaluaciones de los riesgos de incumplimiento o
desviación del incumplimiento siguen siendo
válidas o si es necesario revisarlas.
El proceso de evaluación requiere que se tome en
consideración tanto la evidencia que sustenta el
informe, la conclusión o la opinión de auditoría
acerca del cumplimiento o incumplimiento como
aquella que parece contradecirla. Si la evidencia de
auditoría obtenida de una fuente es inconsistente
con la de otra o si hay dudas acerca de la
confiabilidad de la información que se usará como
evidencia, el auditor deberá determinar las
modificaciones o adiciones a los procedimientos de
auditoría que permitan resolver el problema y
considerar sus implicaciones, si las hay, para los
demás aspectos de la auditoría1.
5.2.2 Formación de conclusiones
Para llegar a una conclusión u opinión los auditores
deben evaluar la evidencia en relación con la
importancia relativa identificada con el fin de
detectar posibles instancias de incumplimiento. La
determinación de la relevancia de los resultados se
basa en el concepto de importancia relativa. Lo que
representa una desviación del cumplimiento de
importancia relativa es una cuestión de juicio
1
ISSAI 400.58
Página 67
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
profesional e incluye consideraciones acerca del
contexto así como aspectos cuantitativos y
cualitativos de las operaciones o problemas
tratados. La siguiente lista identifica algunos de los
factores que los auditores tienen que considerar al
emplear su juicio profesional con el fin de
determinar si un caso de incumplimiento es o no de
importancia relativa2.
• La importancia de las cantidades involucradas
(monetarias o de otro tipo, como el número de
ciudadanos, entidades u organizaciones
afectadas, los niveles de contaminación, los
retrasos en relación con las fechas de entrega,
etc.)
• Las circunstancias.
• La naturaleza del incumplimiento: con la ley,
reglamento o procedimiento interno.
• Las causas del incumplimiento: negligencia o
acto fraudulento.
• Los posibles efectos y consecuencias que el
incumplimiento puede tener.
• La presencia y sensibilidad de los criterios o
programas en cuestión (por ejemplo, si son
objeto de un interés público importante, si
afectan a sectores vulnerables de la población,
etc.).
• Las necesidades y expectativas del
Parlamento/Congreso, el público u otros
usuarios del informe de auditoría.
• La naturaleza de las disposiciones legales y
normativas aplicables.
• La magnitud o el valor monetario del
incumplimiento.
Al evaluar la evidencia de auditoría el auditor debe
considerar si el incumplimiento de importancia es o
no relevante o generalizado (pervasive en inglés).
Si no es capaz de obtener evidencia de auditoría
suficiente y apropiada debido a una incertidumbre
o limitación en el alcance, el auditor deberá evaluar
si es importancia relativa.
Asimismo, al evaluar la evidencia los auditores
pueden concluir que ésta es contradictoria, es
decir, que una parte de la evidencia apoya la
información del objeto mientras que otra parte
parece contradecirla. Los auditores necesitan
ponderar la magnitud y credibilidad de la evidencia
2 4
ISSAI 4100.129
con el fin de determinar cuál es la situación
verdadera. Aquí es donde los auditores pueden
usar la jerarquía de confiabilidad de la evidencia,
de manera que, por ejemplo, la evidencia externa
escrita es más creíble que una declaración informal
de la dirección en contra3.
Después de evaluar si la evidencia es suficiente y
apropiada dado el nivel de seguridad de la
auditoría, el auditor debe considerar la mejor forma
de concluirla a la luz de la evidencia4.
Los auditores necesitan documentar
apropiadamente todas las actividades importantes
que llevaron a cabo mientras reunían y evaluaban
la evidencia. También necesitan revisar su
estrategia y plan de auditoría tomando en
consideración los resultados de su trabajo en esta
fase. Con frecuencia llega nueva información a
conocimiento de los auditores que requiere que
den una nueva mirada al objeto de la revisión, los
criterios, el alcance, el control y evaluación de
riesgos, y la importancia relativa. Los auditores
también pueden, durante las pruebas de
cumplimiento, encontrarse con instancias que
indiquen la posibilidad de fraude dentro de la
entidad auditada. Como abordar estas cuestiones
es algo que ya se explicó en capítulos anteriores.
Durante esta fase los auditores también necesitan
trabajar con la dirección para poder aclarar algunos
puntos en relación con la forma en que ven el
objeto de la revisión, los criterios, el alcance, el
riesgo de auditoría y la importancia relativa. Esta
interacción ayuda a los auditores a hacer los
ajustes necesarios en su estrategia y plan de
auditoría. Asimismo, ayuda a la dirección a
identificar deficiencias en el control y otras
debilidades sistemáticas que puede empezar a
enfrentar de manera oportuna.
3
Compliance Audit Field Manual, State Audit &
Administrative Control Bureau, EFS de Palestina, 2013.
ISSAI 400.58
Página 68
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

5.3 CONCLUSIÓN
Los auditores ejercen su juicio y escepticismo para
determinar si la evidencia de auditoría es suficiente
y apropiada a lo largo de toda la auditoría. Los
factores que los auditores deben tomar en cuenta
para evaluar la evidencia y elaborar las
conclusiones se analizan en este capítulo. El
siguiente capítulo analiza la forma en que los
resultados de la evaluación de la evidencia y las
conclusiones obtenidas se reflejan en los informes
de la auditoría de cumplimiento.

Página 69
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

Capítulo 6:

Documentación y comunicación

Página 70
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
6.1 INTRODUCCIÓN
Este capítulo tiene como objetivo proporcionar a
los responsables de realizar auditorías de
cumplimiento información básica sobre la
documentación y comunicación necesarias para
realizar dichas auditorías en conformidad con las
ISSAI. La credibilidad y el impacto de la auditoría
dependerán de la calidad del trabajo que realicen
las EFS. Una documentación adecuada a lo largo
de todo el ciclo de la auditoría (desde la etapa de
planificación hasta la elaboración de informes) le
permite a las EFS elaborar informes de auditoría
de alta calidad. La comunicación continua y
adecuada con la entidad auditada es también
importante durante todo el proceso de auditoría. El
capítulo explica la forma en que los auditores
pueden utilizar la documentación y la comunicación
en las auditorías de cumplimiento como
instrumentos para mejorar la calidad de su trabajo.
Debido a que en las ISSAI no existe mucha
información sobre estos dos conceptos para las
auditorías de cumplimiento, las buenas prácticas
han sido adaptadas para utilizarlas como guía.
6.2 DOCUMENTACIÓN
La documentación de la auditoría es el registro
escrito de las bases que sustentan las
conclusiones u opiniones en una auditoría de
cumplimiento. Por lo tanto, para determinar si los
auditores llevaron a cabo o no la auditoría en
conformidad con las ISSAI, se pueden analizar los
documentos elaborados durante las etapas de
planificación, ejecución o elaboración de informes
de una auditoría de cumplimiento. La
documentación deberá ser lo suficientemente
detallada como para que un auditor experimentado
sin conocimiento previo de la auditoría pueda
comprender los siguientes puntos:
• La relación entre el objeto de la revisión, los
criterios y el alcance de la auditoría;
• La evaluación de riesgos y la estrategia de la
auditoría;
• El plan de auditoría y la naturaleza,
oportunidad, extensión y resultados de los
procedimientos realizados;
• La evidencia obtenida en apoyo de la
conclusión u opinión de los auditores;
• El razonamiento detrás de todos los objetos de
la revisión significativos que requirieron el
ejercicio del juicio profesional; y
• Las conclusiones.
Una documentación adecuada le permite a los
revisores del trabajo de auditoría comprender lo
que se ha hecho, cómo se ha hecho y porqué se
ha hecho. Los auditores deben realizar un buen
trabajo de documentación en cada una de las
etapas del proceso de auditoría. Para la ejecución
de cualquier auditoría de cumplimiento, los
documentos deben especificar:
a. Cómo decidieron los auditores cuál era el
objeto, los criterios y el alcance de la auditoría.
b. Qué procedimientos analíticos y de otro tipo se
llevaron a cabo para reunir la evidencia de la
auditoría y determinar si el objeto de la revisión
de la misma cumplía o no con los criterios. Que
la evidencia en la cual se basaron la conclusión
y la opinión presentadas en el informe fue
suficiente y apropiada.
La documentación de la auditoría debe prepararse
con suficiente detalle como para poder comprender
claramente su propósito, su fuente y las
conclusiones alcanzadas. Asimismo, la
documentación debe estar debidamente
organizada para relacionar claramente los
resultados o aspectos significativos. Entre los
documentos que se deben incluir se pueden
mencionar los memorandos de oficina, las
confirmaciones, la correspondencia, los anexos, los
programas de auditoría, así como las cartas
declaratorias, entre otros. La documentación de la
auditoría puede estar plasmada en papel, en
archivos electrónicos o en otro tipo de medios.
Página 71
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
Administración de la calidad mediante
la revisión de la documentación
La EFS de Pakistán ha desarrollado un marco de
referencia para la administración de la calidad (QMF,
por sus siglas en inglés) para evaluar si la
planificación, la ejecución y los informes de resultados
de los auditores son consistentes con las normas de
auditoría. Un equipo de especialistas en
administración de la calidad visita periódicamente
cada una de las 26 Oficinas de Auditoría de Campo
(FAO, por sus siglas en inglés) en todo el país y
estudia si estas oficinas están cumpliendo con las
normas prescritas en la planificación, ejecución de la
auditoría y presentación de informes. El alcance de
esta revisión se limita únicamente a estos conceptos.
En diciembre de 2013, el equipo de especialistas en
aseguramiento de la calidad llevó a cabo una revisión
de la fase de planificación. Se seleccionaron entre 6 y
8 auditorías de cumplimiento realizadas por cada una
de las 26 FAO y se verificó si estas oficinas estaban
cumpliendo con las normas y prácticas de
planificación correspondientes. El equipo basó su
opinión en la calidad de la documentación utilizada en
las FAO. El informe también subrayó los motivos de la
falta de cumplimiento de las normas y sugirió medidas
para mejorar la situación.
6.2.1 Qué debe documentarse
Se aconseja al auditor que documente:
a. Los procedimientos de evaluación de riesgos
realizados, incluyendo aquellos relacionados
con el conocimiento y comprensión del sistema
de control interno.
b. Sus respuestas ante la evaluación de los
riesgos de incumplimiento de importancia
relativa, los procedimientos realizados para
verificar si se cumplió con los requisitos
aplicables y los resultados de dichos
procedimientos, incluyendo cualquier prueba de
los controles.
c. La importancia relativa, cualitativa y cuantitativa,
y los fundamentos que se utilizaron para su
determinación.
d. La manera en la que el equipo de auditoría
cumplió con los requisitos específicos de
auditoría del sector público (si los hay)
complementarios a las normas de auditoría.
La documentación que el auditor presente de la
evidencia relativa al incumplimiento, real o
supuesto, con las disposiciones legales y
normativas puede incluir, entre otras cosas:
a. Copias de los registros o documentos.
b. Minutas de las reuniones celebradas con la
dirección, con las personas encargadas de la
gestión o con otras partes dentro o fuera de la
entidad.
Los auditores deben documentar los
procedimientos de auditoría realizados, la
evidencia obtenida y las conclusiones alcanzadas
con respecto a los criterios utilizados en la
auditoría de cumplimiento. Los auditores deberán
elaborar y conservar los documentos que
demuestren claramente que el trabajo se realizó.
Al determinar la naturaleza y el alcance de la
documentación de una auditoría de cumplimiento,
es aconsejable que los auditores consideren los
siguientes factores:
• La naturaleza de los procedimientos de
auditoría realizados;
• El riesgo de incumplimiento de importancia
relativa de los criterios aplicables y la respuesta
de los auditores con respecto a los riesgos
evaluados;
• El grado con el cual se aplicó el juicio
profesional en el trabajo, especialmente en los
casos de incumplimiento de importancia
relativa;
• La importancia relativa de la evidencia obtenida
conforme a los criterios.
La documentación deberá ser lo suficientemente
detallada como para permitir que un auditor
experimentado, sin conocimiento previo de la
auditoría, comprenda lo siguiente: la relación entre
el objeto de la revisión, los criterios, el alcance, la
evaluación de riesgos, la estrategia y el plan de
auditoría y la naturaleza, oportunidad, extensión y
resultados de los procedimientos realizados; la
evidencia que se obtenga para sustentar la
conclusión u opinión del auditor; el razonamiento
detrás de todos los objetos de la revisión
significativos que requirieron el ejercicio de juicio
profesional; y las conclusiones resultantes1.
1
ISSAI 400.48
Página 72
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
6.2.2 Cuándo elaborar la documentación
La documentación debe prepararse en el momento
adecuado y explicar claramente los criterios
utilizados, el alcance de la auditoría, los juicios
emitidos, la evidencia obtenida y las conclusiones a
las que se llega.
El proceso de documentación debe llevarse a cabo
durante todo el proceso de la auditoría. Es
necesario reunir diferente documentación de apoyo
durante las distintas etapas del proceso de
auditoría para respaldar los resultados en cada una
de las fases.
La oportunidad de la documentación también es
importante. Preparar de manera oportuna
documentación suficiente y apropiada para la
auditoría ayuda a mejorar la calidad de la misma y
facilita la revisión y evaluación efectivas de la
evidencia obtenida y de las conclusiones
alcanzadas antes de terminar el informe de
auditoría. La documentación preparada después de
haber realizado el trabajo de auditoría muy
probablemente será menos precisa que la
elaborada en el momento en que se realiza el
trabajo. Todos los documentos de trabajo deben
reunirse y revisarse antes de la presentación del
informe de auditoría.
El auditor debe preparar la documentación de la
auditoría antes de presentar su informe y
conservarla durante un período de tiempo
razonable2.
6.2.3 Conservación de la documentación
Algunas EFS pueden contar con políticas y
procedimientos consistentes con sus leyes y
normas de auditoría para conservar la
documentación de su trabajo. Las políticas para la
conservación de la documentación garantizan que
el registro relevante esté disponible para su uso
durante un cierto número de años después de una
auditoría. Estas políticas y procedimientos
generalmente describen (a) los documentos
cubiertos (b) la forma que se
conservarán/archivarán, (c) el período durante el
cual se conservarán, y (d) la forma en que se
puede acceder a estos documentos cuando se
2 4
ISSAI 400.48
requieran. Las EFS pueden verificar si existen
políticas y procedimientos para la conservación de
documentos y, en caso de que así sea, verificar si
son adecuados. En caso contrario, las EFS pueden
considerar el establecimiento de requisitos de
documentación a través de políticas y
procedimientos para conservar dicha información.
Estos requisitos pueden derivarse de la
importancia histórica de algunos tipos de
documentos que, por ejemplo, deban conservarse
indefinidamente en los archivos. Asimismo pueden
existir requisitos adicionales relativos a las
clasificaciones de seguridad nacional, incluida la
forma en la que la documentación debe ser
archivada. Los auditores del sector público deben
estar familiarizados con la legislación aplicable en
materia de conservación de documentos3.
6.2.4 Aspectos de confidencialidad y
transparencia4
Las EFS deben establecer y garantizar la
obligación de los auditores de cumplir con los
requisitos éticos relativos a respetar en todo
momento la confidencialidad de la información
contenida en la documentación de la auditoría, a
menos que la entidad haya emitido una disposición
legal y normativa específica para divulgarla, o que
exista una obligación legal o profesional para
hacerlo. En el sector público existe una necesidad
continua para equilibrar la confidencialidad con la
rendición de cuentas. El equilibrio entre estos dos
factores exige juicio profesional para garantizar que
la documentación de naturaleza confidencial se
identifique claramente y se maneje como tal,
permitiendo al mismo tiempo el acceso adecuado a
la misma. Por lo tanto, es importante conocer las
políticas y procedimientos de la EFS en materia de
confidencialidad. Estos procedimientos pueden
incluir los tipos de documentación de auditoría que
deben considerarse como confidenciales y los que
pueden ponerse a disposición del público, líneas
de responsabilidad claramente definidas para
autorizar la divulgación de la documentación de
auditoría y procedimientos para darla a conocer en
caso necesario. Asimismo, los auditores del sector
público pueden tener otras obligaciones normativas
en materia de confidencialidad. Éstas pueden estar
basadas en el mandato de las EFS o en la
3
ISSAI 1230, Notas Prácticas
ISSAI 1230, Notas Prácticas
Página 73
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

legislación relativa a secretos oficiales o la 6.3 COMUNICACIÓN

privacidad. Dicha legislación, por ejemplo, podría
referirse a las auditorías de los departamentos de
El papel de la comunicación
defensa, salubridad, servicios sociales o agencias
tributarias. Los auditores del sector público deben
La comunicación se debe llevar a cabo en todas
familiarizarse con las disposiciones aplicables
las etapas de la auditoría; antes de que inicie la
relativas a la confidencialidad a la que están
auditoría, durante la fase inicial de planificación,
obligados.
durante la ejecución y en la etapa de elaboración
de informes. Cualquier dificultad significativa que
Los auditores del sector público también deben
se presente durante la auditoría, así como los
conocer cualquier legislación que permita el acceso
casos de incumplimiento de importancia relativa,
público a la correspondencia de la auditoría, por
deben ser comunicados al nivel de dirección
ejemplo, en el caso en que existan diarios
correspondiente o a las personas encargadas de la
electrónicos o de otro tipo que estén disponibles
gestión. El auditor también debe informarlo a la
para ser consultados por el público en general.
parte responsable de los criterios de la auditoría5.
Este tipo de correspondencia puede incluir cartas
dirigidas a la entidad auditada o remitidas por ésta
La buena comunicación con la entidad auditada
u otras partes en relación con la recopilación de
durante todo el proceso de la auditoría puede
evidencia, así como consideraciones y juicios
ayudar a que el proceso sea más eficiente y
relativos a las cuestiones de la auditoría. En el
constructivo. La comunicación bilateral es
sector público no es raro tener que responder a las
importante para lograr que6:
solicitudes de partes externas para obtener acceso
a la documentación de la auditoría. Esto puede ser
a. El auditor y los encargados de la gestión
especialmente delicado cuando la parte externa
comprendan los objetos de la revisión
intenta obtener indirectamente información de la
relacionados con la auditoría dentro de su
organización que realiza la auditoría al no poder
contexto, y establezcan una relación de trabajo
obtenerla directamente de la entidad auditada. Por
constructiva. Esta relación debe desarrollarse al
principio, cuando la entidad auditada tiene la
mismo tiempo que se mantiene la
obligación de recopilar y conservar cierta
independencia y objetividad del auditor;
información, las solicitudes por parte de terceros
b. Los auditores del sector público sean lo
para obtener dicha información se remiten
suficientemente sensibles como para poder
generalmente a la entidad auditada.
satisfacer las necesidades y expectativas del
Congreso/Parlamento o de las autoridades
En los casos en los que los auditores del sector
correspondientes sobre los objetos de la
público consideren la posibilidad de permitir el
revisión que se dan a conocer a otros niveles de
acceso a la documentación de la auditoría,
gestión, en especial cuando dichos asuntos
normalmente lo consultarán con las partes
sean objeto de especulación o de interés
interesadas (por ejemplo, la entidad auditada a la
público.
cual se refiere la solicitud) antes de divulgar la
c. El auditor obtenga de las personas encargadas
información.
de la gestión la información necesaria para la
auditoría. Por ejemplo, los encargados de la
En algunos ambientes, la EFS subcontrata a otros
gestión pueden ayudar al auditor a familiarizarse
auditores para realizar una auditoría del sector
con la entidad y su entorno, a identificar las
público. Por lo general, al aceptar dicha asignación,
fuentes apropiadas para obtener la evidencia de
el auditor que llevará a cabo el trabajo debe
auditoría, y a proporcionar información sobre
reconocer que la documentación de la auditoría
operaciones o eventos específicos.
puede estar sujeta a la inspección de la Entidad
Fiscalizadora Superior que lo contrató. La
documentación de la auditoría puede también estar
sujeta a la inspección de dependencias que tengan
derecho legal para acceder a la información 5
ISSAI 400.49
relacionada con las obligaciones del auditor. 6
ISSAI 1260.4

Página 74
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
El proceso de comunicación
Las EFS deben tener un sistema establecido para
evaluar si la comunicación bilateral entre el auditor
y los encargados de la gestión es el adecuado para
los fines de la auditoría. Si no lo es, se recomienda
que el auditor tome las acciones necesarias. En el
sector público, estas acciones pueden incluir
comunicarse con el Parlamento/Congreso, con las
autoridades competentes o con los organismos de
financiamiento.
Las leyes y reglamentos pueden limitar la
comunicación entre los auditores y los encargados
de la gestión sobre determinados temas. Por
ejemplo, pueden prohibir específicamente la
comunicación o cualquier otra acción que pueda
perjudicar una investigación realizada por una
disposición legal y normativa competente sobre
una acción ilegal real o supuesta. En algunas
circunstancias los conflictos potenciales entre la
obligación del auditor de mantener la
confidencialidad y la de dar a conocer el objeto de
la revisión pueden ser complejos. En casos como
estos el auditor debe considerar la posibilidad de
obtener asesoría legal7.
La comunicación se lleva a cabo en diferentes
etapas y a diferentes niveles8.
6.3.1 La comunicación en la fase de
planificación
Los auditores interactúan con el nivel de dirección
correspondiente y con los encargados de la
gestión, considerando las disposiciones relevantes
de las leyes que regulan dicha interacción. Entre
los puntos clave que pueden revisarse con la
entidad auditada se incluyen los siguientes:
i. La estrategia general de auditoría;
ii. La oportunidad y duración de la auditoría;
iii. Las responsabilidades de los auditores y la
entidad auditada. Generalmente la entidad
auditada designa a una persona específica
para que proporcione la información y el apoyo
necesarios durante toda la auditoría;
iv. Los criterios de auditoría. En los casos en los
que estos criterios no son directos, los
7
ISSAI 1260,7
8
ISSAI 4100.115, 116
auditores deben revisar y estar de acuerdo en
los criterios consultándolos con la dirección.
6.3.2 La comunicación en la fase de
recopilación de evidencia
Al reunir evidencia para su trabajo, la interacción
de los auditores con la entidad auditada es de vital
importancia. Como se subrayó anteriormente, la
calidad de la auditoría depende de la suficiencia y
pertinencia de la evidencia obtenida. Los auditores
que mantienen una buena comunicación con la
entidad auditada están en una mejor posición para
revisar los resultados iniciales con los funcionarios
de la misma, consolidar dichos resultados y reunir
evidencia suficiente y pertinente para apoyarlos.
Asimismo, la interacción continua permite a la
entidad auditada identificar las áreas débiles y
tomar las medidas necesarias para rectificarlas.
Cualquier dificultad significativa que se presente
durante la auditoría, así como los casos de
incumplimiento de importancia relativa deben
comunicarse de inmediato a nivel de dirección
correspondiente o a los encargados de la gestión.
Aun cuando las diferentes EFS pueden tener
enfoques distintos para mantener la comunicación
con la entidad auditada, es conveniente informar a
la dirección sobre todos los casos de
incumplimiento para que ésta pueda tomar las
medidas necesarias.
6.3.3 La comunicación en las etapas de
presentación de informes y seguimiento
Los auditores deben preparar un informe escrito
para los usuarios previstos. La redacción del
informe puede diferir entre una y otra EFS, pero
algunas de ellas incorporan las opiniones de la
dirección en el mismo. Esto le permite a los
usuarios analizar el punto de vista de la dirección a
la vez que revisan el informe de los auditores.
De acuerdo con su mandato de auditoría, algunas
EFS pueden ordenar a la entidad auditada que
corrija los casos identificados de incumplimiento. Al
hacerlo, los auditores del sector público deben
determinar si su independencia y objetividad
pueden verse afectadas y tomar las acciones
necesarias para evitarlo.
Página 75
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

6.4 CONCLUSIÓN
Este capítulo se centra en la importancia de la
documentación y la comunicación durante el
proceso de auditoría. El auditor siempre debe
preparar la documentación pertinente para una
auditoría específica antes de escribir el informe
sobre la misma. Además, los auditores deben
hacer uso de su juicio profesional para determinar
la forma y el contenido de la comunicación. Es
preferible que la comunicación sea por escrito ya
que esto facilita la documentación apropiada de la
interacción. En el siguiente capítulo sobre los
informes de las auditorías de cumplimiento
mostraremos la manera en la que la obtención y
evaluación de la evidencia se refleja en los
informes de las auditorías de cumplimiento.

Página 76
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

Capítulo 7:

Informes de una auditoría de

cumplimiento

Página 77
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
7.1 INTRODUCCIÓN
Este capítulo explica la etapa de elaboración del
informe en el proceso de auditoría y se enfoca en
la forma y contenido del mismo en el caso de una
auditoría de cumplimiento. También se refiere al
proceso de seguimiento. En los capítulos
anteriores se presentaron las técnicas y métodos
para la obtención y evaluación de la evidencia de
auditoría, lo que permiten alcanzar conclusiones y
se comentó la importancia de la documentación y
la comunicación en el proceso de una auditoría.
Las acciones tomadas por el auditor para disminuir
los riesgos de auditoría y garantizar de este modo
que la conclusión o la opinión sean adecuadas de
acuerdo con las circunstancias de la misma son de
vital importancia para todo el proceso. Esta
seguridad constituye el verdadero fundamento para
la elaboración del informe de una auditoría de
cumplimiento.
7.2 LOS INFORMES DE UNA
AUDITORÍA DE CUMPLIMIENTO
La presentación del informe es una parte
fundamental en una auditoría del sector público;
por lo tanto, es necesario manifestar si las
disposiciones legales y normativas aplicables han
sido incumplidas para que se lleven a cabo
acciones correctivas y que quienes hayan incurrido
en incumplimientos sean considerados
responsables de sus actos.
El informe es también el producto más importante
de la auditoría, ya que presenta formalmente los
resultados de la auditoría realizada por la EFS a
los usuarios previstos y a otros usuarios
relevantes, y determina si la parte responsable ha
cumplido o no con los criterios establecidos. El
informe abre el camino para que la parte
responsable tome las medidas necesarias para
resolver los casos de incumplimiento y para que el
auditor pueda dar seguimiento a sus resultados y,
si aplica, para que lleve a cabo las acciones
correctivas.
En las auditorías de cumplimiento, las ISSAI
disponen que al final de cada auditoría se elabore
un informe escrito en donde se expongan
apropiadamente los resultados de la misma. Para
garantizar que el informe se elabore de
conformidad con las normas aceptables de calidad
y sea relevante para todos los usuarios, es
necesario que esté basado en los principios de
integridad, objetividad, oportunidad y celebración
de un proceso contradictorio tanto en su formato
como en su contenido.
• El principio de integridad (completeness en
inglés) requiere que el auditor tome en
consideración toda la evidencia relevante de la
auditoría antes de emitir su informe.
• El principio de objetividad (objectivity en inglés)
requiere que el auditor aplique su juicio y
escepticismo para asegurar que todos los
informes sean correctos y que los resultados y
las conclusiones se presenten de manera
significativa y equilibrada.
• El principio de oportunidad (timeliness en
inglés) implica que el auditor elabore el informe
en el momento oportuno, cuando los resultados
sean de utilidad y relevantes para los usuarios.
• El principio relativo al proceso contradictorio
(contradictory process en inglés) requiere que
el auditor verifique la exactitud de sus hallazgos
con la entidad auditada e incorpore las
respuestas de los funcionarios responsables
según corresponda.
Asimismo, el contenido de los informes debe ser
fácil de comprender, estar libre de vaguedades o
ambigüedades, ser conciso y lógico. Las EFS
tienen diferentes opciones para elaborar el informe
de las auditorías de cumplimiento: emitir informes
en formato extenso o en formato breve, emitir
conclusiones u opiniones. No obstante, al tomar la
decisión de cómo elaborar el informe, se espera
que el auditor considere los siguientes factores:
• Las necesidades del usuario.
• El mandato de la EFS.
• La legislación y los reglamentos aplicables.
• El nivel de seguridad que se proporciona.
• El tipo de compromiso.
• La práctica acostumbrada para la elaboración
de informes.
• La complejidad de los objetos de la revisión
sobre los que se informa.
Página 78
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

Esta lista no es exhaustiva; al decidir la extensión y 7.4 CONTENIDO DE UN

la estructura de los informes de una auditoría de
cumplimiento, las EFS deben considerar el entorno
en el que éstas operan.
7.3 TIPOS DE INFORMES DE LA
AUDITORÍA DE CUMPLIMIENTO
En las auditorías de cumplimiento el informe puede
presentarse en formato breve o extenso con el fin
de proporcionar información eficiente a los usuarios
previstos. Dependiendo de las circunstancias y los
factores arriba mencionados, la EFS decidirá si
prepara un informe breve o extenso.
Los informes extensos, a veces conocidos como
“informes especiales de auditorías de
cumplimiento”, incluyen otros datos y explicaciones
cuyo objetivo no es menoscabar la conclusión del
auditor. Además de los elementos básicos, los
informes extensos pueden describir en detalle los
términos del trabajo, los criterios utilizados, los
resultados relacionados con aspectos específicos
de la auditoría, referencias sobre la formación
profesional y experiencia del auditor, así como otro
tipo de datos relacionados con el trabajo, la
divulgación de los niveles de importancia relativa y,
en algunos casos, recomendaciones.
Los informes breves por lo general incluyen
únicamente los elementos básicos. Estos informes
son más concisos y están escritos en un formato
más estandarizado. El auditor puede considerarlo
útil para transmitir sólo la información significativa
para las necesidades del usuario.
En los casos en que el mandato de la EFS
establece que los informes deben tener un formato
diferente al previsto en las directrices de las
auditorías de cumplimiento, éstas, no obstante,
pueden ser útiles a los auditores del sector público
adaptándolas de acuerdo a las circunstancias
específicas.1
INFORME DE UNA AUDITORÍA
DE CUMPLIMIENTO
Por lo general, los informes de las auditorías de
cumplimiento deben incluir los siguientes
elementos; aunque no necesariamente en el orden
abajo indicado:
a. Título.
b. Destinatario.
c. Alcance de la auditoría, incluyendo el período
de tiempo cubierto.
d. Identificación o descripción del objeto de la
revisión.
e. Criterios identificados.
f. Identificación de las normas de auditoría
aplicadas al realizar el trabajo.
g. Resumen del trabajo realizado.
h. Resultados.
i. Conclusión/opinión.
j. Respuestas de la entidad auditada (según
proceda).
k. Recomendaciones (según proceda).
l. Fecha del informe.
m. Firma2.
A continuación se presenta una breve explicación
de cada una de las secciones del informe.
a. Título:
El título debe dar una idea resumida del alcance de
la auditoría a un lector no involucrado en el
proceso.
b. Destinatario:
El destinatario es la parte o las partes a quienes
está dirigido el informe. El informe de auditoría
generalmente se dirige a la parte responsable pero,
en algunos casos puede haber algún otro usuario
que lo requiera.
c. Alcance de la auditoría, incluyendo el
período de tiempo cubierto
La introducción del informe establece el alcance de
la auditoría mediante una explicación clara del
objeto de la revisión principal, de la trascendencia y
los límites del trabajo en cuanto al cumplimiento del

1 2
ISSAI 4100 párrafo 142. ISSAI 400,59

Página 79
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
objeto de auditoría, tomando como base los
criterios establecidos. La introducción también
debe indicar el período de tiempo en el que se
realizó la auditoría.
d. Identificación o descripción del objeto de
la revisión3
El objeto de la revisión se refiere a la información,
condición o actividad que se mide o evalúa frente a
determinados criterios. Esto se debe explicar
claramente en el informe de auditoría.
e. Criterios identificados 4
Los criterios contra los cuales se evalúa el objeto
de la revisión deben estar debidamente
identificados en el informe del auditor. Por lo tanto,
la identificación clara de los criterios en el informe
es importante para que los destinatarios del mismo
puedan comprender la base sobre la que se
sustenta el trabajo y las conclusiones de los
auditores del sector público. Estos criterios pueden
incluirse directamente en el informe o se puede
hacer referencia a ellos si se incluyen en una
declaración de la dirección o si se pueden obtener
de otra fuente fácilmente accesible y confiable.
Cuando los criterios no sean fácilmente
identificables, o se tengan que obtener de otras
fuentes, deberán presentarse claramente en la
sección correspondiente del informe del auditor.
Cuando los criterios sean contradictorios es
necesario explicar la contradicción. En estos casos
se deberán detallar, en la medida de lo posible, las
consecuencias potenciales que ello puede tener y,
si es necesario, emitir las recomendaciones
pertinentes.
En tales circunstancias puede ser importante incluir
lo siguiente:
• La fuente de los criterios aplicables e indicar si
éstos se incluyen en una ley o reglamento, o si
han sido publicados por alguna dependencia
autorizada o reconocida de expertos que
aplican un procedimiento legal transparente; es
decir, si existen o no criterios establecidos
dentro del contexto del objeto de la revisión (si
no los hay, se debe explicar porqué se
consideran pertinentes).
3
ISSAI 100.26
4
ISSAI 4100/4200, sección 9.1.1.1.
• Métodos de medición o evaluación utilizados
cuando los criterios aplicables permiten elegir
entre diferentes procesos.
• Cualquier interpretación significativa obtenida al
utilizar los criterios aplicables en las
circunstancias del trabajo.
f. Identificación de las normas de auditoría
aplicadas al realizar el trabajo
Cuando las normas de auditoría de las EFS se
basan en los Principios Fundamentales de
Auditoría de INTOSAI o son consistentes con
éstos, se puede hacer referencia a los mismos en
los informes de auditoría utilizando la siguiente
leyenda:
…Hemos realizado nuestra auditoría de
conformidad con [normas], que están basadas en
[o son consistentes con] los Principios
Fundamentales de Auditoría (ISSAI 100-999) de
las Normas Internacionales de las Entidades
Fiscalizadoras Superiores.
En algunos casos, las EFS pueden adoptar las
Directrices de Auditorías de Cumplimiento como
las disposiciones legales y normativas autorizadas
para la elaboración de su trabajo. En estos casos,
se debe hacer referencia a ello mediante la
siguiente leyenda:
… …Hemos realizado nuestra[s] auditoría[s] de
[cumplimiento] de conformidad con las Normas
Internacionales de las Entidades Fiscalizadoras
Superiores [para auditorías de cumplimiento].
La referencia puede incluirse en el informe de
auditoría o la EFS puede manifestarla de manera
más general incluyendo una gama definida de
trabajos.
Al identificar las responsabilidades relativas se
debe informar a los usuarios previstos que la parte
responsable lo es del objeto de la revisión, que el
evaluador lo es de la evaluación o medición de
dicho objeto de conformidad con los criterios
aplicables y que el papel del auditor es expresar de
manera independiente una conclusión sobre la
información del objeto.
Página 80
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
g. Resumen del trabajo realizado
El resumen del trabajo realizado facilita al usuario
previsto la comprensión de la conclusión del
auditor. En teoría, en muchas de las auditorías se
puede utilizar una infinidad de procedimientos. No
obstante, en la práctica no es fácil expresarlos de
manera clara y sin ambigüedades. Por lo tanto, el
resumen del trabajo realizado debe dar una
explicación breve para que un lector no
familiarizado con el objeto de la revisión sea capaz
de entender la manera en que se efectuó la
auditoría.
Entre los factores que se deben considerar al
determinar el nivel de detalle que debe presentar el
resumen del trabajo realizado se incluyen los
siguientes:
• Circunstancias específicas de la entidad (por
ejemplo, la naturaleza específica de las
actividades de la entidad en comparación con
las que son típicas del sector).
• Circunstancias específicas del trabajo de
auditoría que afecten la naturaleza y el alcance
de los procedimientos realizados.
• Las expectativas del usuario previsto sobre el
nivel de detalle que debe mostrar el informe,
basándose en las prácticas habituales o las
leyes o reglamentos aplicables.
Es importante redactar el resumen de manera
objetiva de modo que los usuarios previstos
comprendan que el trabajo realizado es la base
sobre la que se sustenta la conclusión del auditor.
Sin embargo, es necesario asegurarse de que el
resumen no sea tan sucinto como para restarle
valor al trabajo de los auditores, especialmente
cuando ya han emitido una conclusión u opinión.
h. Resultados
La sección de hallazgos o resultados contiene la
descripción del auditor de la evidencia obtenida, la
cual se compara con los criterios utilizados. Debe
estar estructurada de manera lógica y basarse en
los criterios identificados para que el lector pueda
seguir el curso lógico de un argumento específico.
Cuando se incluye una gran cantidad de
información para sustentar los resultados de la
auditoría, es mejor que esta información se incluya
en los apéndices.
i. Conclusión/opinión
El informe del auditor sobre objetos de la revisión
de cumplimiento, normalmente contiene una
conclusión fundamentada en el trabajo de
auditoría. Cuando la auditoría de cumplimiento se
lleva a cabo conjuntamente con una auditoría de
los estados financieros, la conclusión puede
presentarse como una opinión (véase “Opinión”).
La conclusión también puede expresarse como una
respuesta más elaborada a preguntas específicas
de auditoría5. El tipo de redacción puede verse
influido por el mandato de la EFS y el marco
jurídico en el que se desarrolla la auditoría6.
En el numeral 7.5 se explica en detalle la
conclusión/opinión del auditor en una auditoría de
cumplimiento.
j. Respuestas de la entidad auditada (según
proceda).
Incorporar las respuestas de la entidad auditada
para obtener el punto de vista de los funcionarios
responsables entra dentro del principio conocido
como principio contradictorio. Este principio es una
característica exclusiva e importante de las
auditorías del sector público. Se trata de presentar
las deficiencias o los resultados críticos de modo
tal que se aliente a la entidad auditada a tomar
medidas correctivas. Implica llegar a un acuerdo
con la entidad auditada sobre los hechos para
garantizar que se presentan de forma exhaustiva,
precisa y fidedigna. También supone, llegado el
caso, incorporar las respuestas de la entidad
auditada a las cuestiones suscitadas de forma
completa o resumida.
k. Recomendaciones (según proceda)
El informe del auditor puede incluir, según proceda,
recomendaciones destinadas a lograr mejoras. Aún
cuando dichas recomendaciones sean
constructivas para la entidad auditada, no deben
ser tan detalladas como para menoscabar la
objetividad del auditor del sector público en futuras
auditorías. Si el auditor hace una recomendación
específica y la parte responsable no la lleva a cabo
sino que considera otra opción, el auditor puede
verse tentado, en auditorías subsecuentes, a
juzgar esto como un incumplimiento. En tales
5
ISSAI 4100/4200, sección 4 Definiciones.
6
ISSAI 4100/4200, sección. 9.1.1.2.
Página 81
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
casos, la clave es determinar si las
recomendaciones permiten a la entidad hacer uso
de cualquier mecanismo que considere adecuado
de acuerdo a las circunstancias para lograr el
cumplimiento.
l. Fecha del informe
El informe de la auditoría de cumplimiento debe
fecharse y firmarse. El auditor debe asegurarse
que la fecha del informe no sea anterior a la fecha
en que se haya obtenido la evidencia suficiente y
apropiada para respaldar su conclusión.
m. Firma
El informe de la auditoría de cumplimiento estará
firmado por la persona debidamente autorizada
para hacerlo, generalmente el titular de la EFS u
otra persona a la que se le haya delegado dicha
autoridad.
Como se mencionó anteriormente en este capítulo,
el auditor puede decidir elaborar un informe
extenso por diferentes razones, dependiendo de la
necesidad de los usuarios o los objetivos
específicos de una auditoría en particular. El
informe de formato extenso, también conocido
como informe especial, tiene la misma estructura
básica que el informe de formato breve; no
obstante, existen algunas pequeñas diferencias.
Dos de ellas son la inclusión de un Resumen
Ejecutivo y la estructura de las observaciones y los
resultados.
7.5 CONCLUSIONES/OPINIONES
DE UNA AUDITORÍA DE
CUMPLIMIENTO
El informe de las auditorías de cumplimiento puede
variar dependiendo de las diferentes formas de
conclusiones y opiniones estandarizadas. Cuando
la auditoría de cumplimiento se lleva a cabo
conjuntamente con una auditoría de los estados
financieros, la conclusión puede presentarse como
una opinión clara sobre el cumplimiento. Cuando
esto ocurre, la opinión sobre el cumplimiento debe
estar claramente separada de la opinión sobre los
estados financieros. Sin considerar el tipo de
trabajo o el nivel de seguridad proporcionado, el
auditor puede decidir si emitir una conclusión o una
opinión, lo cual debe manifestarse de manera clara
y explícita.
Las conclusiones/opiniones deben estar
directamente relacionadas con el objeto de la
revisión y la evidencia obtenida. Deben esclarecer
y dar un mayor significado a resultados específicos
presentados en el informe. La desviación de los
criterios lógicamente debe emanar de los
resultados. Las conclusiones/opiniones deben ir
más allá de presentar nuevamente la evidencia.
Mientras que los resultados de la auditoría se
identifican comparando lo que debe ser (criterios
de evaluación) con lo que realmente está
sucediendo (condiciones basadas en la evidencia
de la auditoría), las conclusiones/opiniones reflejan
el resumen de la EFS y las opiniones basadas en
estos resultados. Las conclusiones/opiniones
pueden incluir la identificación de un tema general
o un determinado patrón en los resultados.
Como se mencionó anteriormente, la conclusión
puede presentarse como una declaración
claramente redactada de la opinión sobre el
cumplimiento, frecuentemente además de la
opinión sobre los estados financieros. También
puede expresarse como una respuesta más
elaborada a las cuestiones específicas de
auditoría. Mientras que la opinión es común en los
trabajos de certificación (compromisos de
atestiguamiento o de elaboración de informes
directos), la respuesta a cuestiones específicas de
auditoría se utiliza con mayor frecuencia en los
trabajos de información directa. Cuando se emite
una opinión, el auditor debe manifestar si se ha
modificado o no basándose en la evaluación de la
importancia relativa y la importancia. Para emitir
una opinión normalmente se requieren una
estrategia y un enfoque de la auditoría más
elaborados7.
Los conceptos de los trabajos de información
directa y de certificación se incluyeron en el
Capítulo 2 que hace énfasis en los Conceptos
Principales. En ambos tipos de trabajo, el resultado
final es el informe de cumplimiento. En los trabajos
de certificación (compromisos de atestiguamiento o
de elaboración de informes directos), al auditor se
le entrega la información del objeto y por lo tanto,
expresa una conclusión/opinión para determinar si
7
ISSAI 400.59
Página 82
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
las declaraciones emitidas por la parte responsable
son o no correctas. En un trabajo de certificación el
auditor puede proporcionar una seguridad limitada
o razonable. Por otra parte, en el trabajo de
información directa (compromiso de elaboración de
informes directos) el auditor realiza la auditoría
basándose en los criterios y el objeto de la revisión
que ha sido identificado por la EFS. Una vez más,
la conclusión/opinión puede dar una seguridad
limitada o razonable.
Sin importar el tipo de trabajo, el informe debe
manifestar claramente cualquier limitación del
alcance, la relevancia de los criterios y el nivel de
seguridad proporcionado. Se debe observar que
aunque una opinión es común en los trabajos de
certificación, esto no significa que sólo las
opiniones puedan o no modificarse. La ISSAI 4100
establece que las conclusiones (no las opiniones)
también pueden o no modificarse, lo cual se ha
demostrado con ejemplos en esta sección. Estas
conclusiones pueden ser similares a las opiniones
pero también pueden ser las respuestas a las
cuestiones específicas.
7.5.1 Conclusiones/opiniones en
trabajos de seguridad limitada y
razonable
Al emitir sus conclusiones y opiniones, el auditor
debe considerar el nivel de seguridad
proporcionada:
Seguridad razonable: Aquí la conclusión/opinión
de la auditoría se expresa de manera positiva,
expresando que, en opinión del auditor, se cumple
o no con el objeto de la revisión en todos los
aspectos importantes o, en los casos relevantes,
que la información del objeto proporciona una
visión real y justa de acuerdo con los criterios
aplicables.
Entre los ejemplos de conclusiones expresadas de
manera apropiada en un trabajo de seguridad
razonable se incluyen los siguientes casos:
• Cuando se expresan en términos del objeto de
la revisión y los criterios aplicables, ”En nuestra
opinión, la entidad ha cumplido con los criterios
aplicables en todos los aspectos significativos”;
• Cuando se expresan en términos de la
información del objeto y los criterios aplicables
“En nuestra opinión, las estimaciones de la
actividad de la entidad han sido elaboradas
correctamente en todos los aspectos
significativos con base en los criterios
aplicables”;
Seguridad limitada: La conclusión/opinión de la
auditoría manifiesta que, con base en los
procedimientos realizados, no hay ningún elemento
que haya llamado la atención del auditor para que
considere que el objeto de la revisión no cumple
con los criterios aplicables. Los procedimientos
realizados en una auditoría de seguridad limitada
son pocos en comparación con los procedimientos
necesarios para obtener una seguridad razonable,
pero se espera que el nivel de seguridad, de
acuerdo con el juicio profesional del auditor, sea
significativo para los usuarios previstos. Un informe
de seguridad limitada transmite la naturaleza
limitada de la seguridad proporcionada.
Entre los ejemplos de las conclusiones expresadas
de manera apropiada para un trabajo de seguridad
limitada se incluyen los siguientes casos:
• Cuando se expresan en términos del objeto de
la revisión y los criterios aplicables, “Con base
en los procedimientos realizados y la evidencia
obtenida, no hemos detectado nada que nos
lleve a creer que [la entidad] ha dejado de
cumplir, en todos los aspectos importantes, con
los criterios establecidos.”
• Cuando se expresan en términos de la
información del objeto y los criterios aplicables,
“Con base en los procedimientos realizados y la
evidencia obtenida, no consideramos que sea
necesario llevar a cabo ninguna modificación
de importancia relativa a la evaluación de los
principales indicadores para que estén de
acuerdo con los criterios establecidos.”
Como se indicó anteriormente, el formato del
informe de auditoría de cumplimiento puede variar
mucho; no obstante, la consistencia de dicho
formato puede facilitar a los usuarios la
comprensión del trabajo realizado y las opiniones
alcanzadas, así como identificar circunstancias
inusuales cuando ocurran. Esto, a su vez, facilita la
calidad de la decisión tomada con base en el
informe de auditoría. Los auditores pueden utilizar
Página 83
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
los siguientes ejemplos de informe breve al
expresar sus opiniones/conclusiones:
7.5.2 Conclusión/opinión no
modificada
Si no existe ningún caso de incumplimiento de
importancia relativa que reportar, el auditor expresa
una conclusión no modificada (también llamada
opinión limpia, sin reservas, o no calificada) cuando
supone:
En el caso de un trabajo de seguridad razonable,
que la información del objeto ha sido elaborada, en
todos los aspectos importantes, de conformidad
con los criterios aplicables; o
En el caso de un trabajo de seguridad limitada, que
basándose en los procedimientos realizados y en
la evidencia obtenida, no ha surgido ninguna
cuestión que lleve al auditor a creer que la
información del objeto no se ha preparado, en
todos los aspectos importantes, en conformidad
con los criterios aplicables.
Ejemplo de una conclusión no modificada:
En este ejemplo, el objeto de la revisión de
cumplimiento se relaciona con la oficina nacional
de recaudación tributaria y la auditoría reveló que
no existía ningún caso de incumplimiento con
respecto a la ley aplicable. Las secciones
introductorias sobre las responsabilidades de la
dirección y del auditor, así como las secciones
finales del informe son similares a las presentadas
en el ejemplo de la sección 7.6 de este capítulo.
El siguiente ejemplo de informe en formato breve
solo debe utilizarse para fines ilustrativos. Algunas
EFS utilizan el formato extenso del informe en el
cual los resultados se describen con mayor detalle
en el contenido del mismo.
.... [secciones introductorias del informe]…
[Hemos auditado el cumplimiento de la Oficina
Nacional de Recaudación Tributaria de acuerdo con la
Ley del Impuesto al Valor Agregado, CAP 223A de
fecha xx.xx.20XX.]
Conclusión no modificada
Con base en el trabajo de auditoría realizado,
encontramos que la Oficina Nacional de Recaudación
Tributaria cumple en todos los aspectos importantes
con la Ley del Impuesto al Valor Agregado, CAP 223A.
… [secciones adecuadas para concluir el informe]…
7.5.3 Conclusión/opinión modificada
Los auditores del sector público modificarán sus
conclusiones en los siguientes casos8:
a. Casos de incumplimiento de importancia
relativa. Dependiendo del grado de
incumplimiento, éste puede dar como resultado:
i. Una opinión o conclusión calificada (con
reservas/con salvedades) (“Basándonos en el
trabajo de auditoría efectuado, consideramos
que, salvo en lo referente a [describir la
excepción], la información del objeto de la
entidad auditada cumple, en todos los
aspectos significativos, con [los criterios
aplicados '), o
ii. Una opinión o conclusión adversa (negativa)
(Con base en el trabajo de auditoría
efectuado, encontramos que la información
del objeto no cumple…'); o
b. Limitación del alcance. Según la magnitud de la
limitación, el resultado puede ser:
i. Una opinión o conclusión calificada (con
reservas/con salvedades) ('Basándonos en el
trabajo de auditoría efectuado, consideramos
que, salvo en lo referente a [describir la
excepción], la información del objeto de la
entidad auditada cumple en todos los
aspectos significativos, con [los criterios
aplicados]…” o
ii. Una abstención (Basándonos en el trabajo de
auditoría efectuado, no podemos emitir una
conclusión …')
7.5.4 Conclusión/opinión calificada
(con reservas/salvedades)
El auditor expresa una conclusión calificada
cuando, según su juicio profesional, los efectos o
posibles efectos de un objeto de la revisión no son
tan importantes como para emitir una conclusión
adversa o para abstenerse de emitir una
8
ISSAI 4200.156
Página 84
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
conclusión. Cuando una auditoría de cumplimiento
se realiza en conjunción con una auditoría de los
estados financieros, el auditor puede expresar una
opinión calificada si las desviaciones del
cumplimiento son de importancia relativa, o si el
auditor no puede obtener evidencia suficiente y
adecuada para la auditoría y los posibles efectos
pueden ser de importancia relativa aunque no
generalizadas.9
Ejemplo de una conclusión calificada de una
auditoría de cumplimiento:
En este ejemplo, el objeto de la revisión de la
auditoría de cumplimiento se relaciona con la
oficina nacional de recaudación tributaria y el
auditor expresa un caso de incumplimiento que
ocasionó cargos adicionales y multas a la entidad
auditada. La desviación del cumplimiento no es tan
significativa como para emitir una conclusión
adversa. Las secciones introductorias sobre las
responsabilidades de la dirección y del auditor, así
como las secciones finales del informe son
similares a las presentadas en el ejemplo de la
sección 7.6 de este capítulo.
El siguiente ejemplo de informe en formato breve
solo debe utilizarse para fines ilustrativos. Algunas
EFS utilizan el formato extenso del informe en el
cual los resultados se describen con mayor detalle
en el contenido del mismo.
... [secciones introductorias del informe]…
[Hemos auditado el cumplimiento de la Oficina
Nacional de Recaudación Tributaria de acuerdo con la
Ley del Impuesto al Valor Agregado, CAP 223A de
fecha xx.xx.20XX.]
Bases de la conclusión/opinión calificada
La legislación del IVA requiere que la Oficina Nacional
de Recaudación Tributaria envíe al Congreso informes
trimestrales. No se elaboraron informes para el período
correspondiente del 1 de abril al 30 de junio de 2013.
Opinión/conclusión calificada
Con base en el trabajo de auditoría realizado,
encontramos que, excepto por el caso de
incumplimiento indicado en el párrafo correspondiente
a las Bases para una Conclusión Calificada, la Oficina
Nacional de Recaudación Tributaria cumple en todos
9 10
ISSAI 4200.169a
los aspectos importantes con la Ley del Impuesto al
Valor Agregado, CAP 223A.
… [secciones adecuadas para concluir el informe]…
7.5.5 Conclusión/opinión adversa
(negativa)
Cuando los auditores del sector público concluyen
que existen desviaciones del cumplimiento de
importancia relativa, la opinión expresada10 puede
ser cualquiera de las siguientes:
a. Calificada (si las desviaciones del cumplimiento
son de importancia relativa, pero no
generalizada, o si los auditores del sector
público no pueden obtener evidencia de
auditoría suficiente y apropiada y sus posibles
efectos pueden ser de importancia relativa
aunque no generalizada); o
b. Adversa (si las desviaciones del cumplimiento
son de importancia relativa y generalizada).
El auditor obtuvo evidencia de auditoría suficiente y
apropiada y concluye que las desviaciones del
cumplimiento, ya sean individual o conjuntamente,
son tanto de importancia relativa como
generalizadas.
Ejemplo de una conclusión de auditoría de
cumplimiento adversa:
En este ejemplo, el objeto de la revisión de la
auditoría se refiere a la oficina nacional de
recaudación tributaria y la auditoría reveló que no
se estaban aplicando las medidas necesarias para
los contribuyentes morosos como se estipulaba en
la Ley. La desviación del cumplimiento se
consideró de importancia relativa. Las secciones
introductorias sobre las responsabilidades de la
dirección y del auditor, así como las secciones
finales del informe son similares a las presentadas
en el ejemplo de la sección 7.6 de este capítulo.
El siguiente ejemplo de informe en formato breve
solo debe utilizarse para fines ilustrativos. Algunas
EFS utilizan el formato extenso del informe en el
cual los resultados se describen con mayor detalle
en el contenido del mismo.
ISSAI 4200.169b
Página 85
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
... [secciones introductorias del informe]…
[Hemos auditado el cumplimiento de la Oficina
Nacional de Recaudación Tributaria de acuerdo con la
Ley del Impuesto al Valor Agregado, CAP 223A de
fecha xx.xx.20XX.]
Bases para la conclusión/opinión adversa
La legislación del IVA estipula que los decomisos y
embargos en casos de incumplimiento deben aplicarse
a los contribuyentes morosos que deban más de
US$10,000.00. Aun cuando hubo casos de
contribuyentes morosos en dicha categoría, estas
medidas no se pusieron en práctica tal como la Ley lo
estipula.
Conclusión adversa
Con base en el trabajo de auditoría realizado,
encontramos que, debido a la importancia del objeto
de la revisión indicado en el párrafo anterior referente a
las Bases para una Conclusión Adversa, la Oficina
Nacional de Recaudación Tributaria no cumple en
todos los aspectos importantes con la Ley del
Impuesto al Valor Agregado, CAP 223A.
… [secciones adecuadas para concluir el informe]…
7.5.6 Abstención de
opinión/conclusión
Cuando los auditores del sector público no pueden
obtener evidencia suficiente o apropiada del
cumplimiento con las disposiciones legales y
normativas y los posibles efectos son de
importancia relativa y generalizada, los auditores
del sector público se abstienen de emitir una
opinión sobre el cumplimiento11.
El auditor no ha podido obtener evidencia
suficiente y apropiada para la auditoría debido a
incertidumbre o limitaciones en el alcance que son
tanto de importancia relativa como generalizada.
Ejemplo de abstención en una auditoría de
cumplimiento
Se emite una abstención cuando el auditor del
sector público no ha podido emitir una conclusión.
En este ejemplo, se debía efectuar una auditoría
11
ISSAI 4200.170
de cumplimiento con respecto al cumplimiento de
la Oficina Nacional de Recaudación Tributaria con
la Ley del Impuesto al Valor Agregado, CAP 223A.
La oficina respectiva no conservaba
adecuadamente los expedientes individuales de los
contribuyentes del Impuesto al Valor Agregado;
además, sólo 20 de los 200 expedientes de los
contribuyentes registrados estaban completos y
contenían evaluaciones. Las secciones
introductorias sobre las responsabilidades de la
dirección y del auditor, así como las secciones
finales del informe son similares a las presentadas
en el ejemplo de la sección 7.6 de este capítulo.
El siguiente ejemplo de informe en formato breve
solo debe utilizarse para fines ilustrativos. Algunas
EFS utilizan el formato extenso del informe en el
cual los resultados se describen con mayor detalle
en el contenido del mismo.
.... [secciones introductorias del informe]…
[Hemos auditado el cumplimiento de la Oficina
Nacional de Recaudación Tributaria de acuerdo con la
Ley del Impuesto al Valor Agregado, CAP 223A de
fecha xx.xx.20XX.]
Bases para la abstención
La Oficina Nacional de Recaudación Tributaria no ha
conservado adecuadamente los expedientes
individuales de los contribuyentes que contienen
información sobre la evaluación del Impuesto al Valor
Agregado. Sólo 20 de los 200 expedientes de los
contribuyentes registrados estaban completos y
contenían evaluaciones. No hubo otros procedimientos
confiables que pudiéramos efectuar para determinar si
la Oficina Nacional de Recaudación Tributaria cumplía
con la Ley del IVA con respecto a la evaluación de los
contribuyentes.
Abstención
Con base en el trabajo de auditoría efectuado y debido
a la importancia del objeto de la revisión señalado en
el párrafo anterior correspondiente a las Bases para la
Abstención, no podemos emitir ninguna conclusión
sobre el cumplimiento de la Oficina Nacional de
Recaudación Tributaria de las estipulaciones de la Ley
del IVA.
… [secciones adecuadas para concluir el informe]…
Página 86
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
7.5.7 Párrafo de énfasis y párrafo
sobre otros objetos de la revisión
En ciertas situaciones puede ser necesario dar
detalles sobre algunos objetos de la revisión
específicos que no afectan la conclusión del
informe de la auditoría de cumplimiento pero que
es importante mencionarlos debido a que han
llamado la atención del auditor. En tales
circunstancias el auditor utiliza el párrafo de énfasis
en el objeto de la revisión u otros objetos de
revisión. La decisión de incluir este párrafo
depende de si el objeto de la revisión específico se
presenta o divulga o no, tal como se explica más
adelante.
Párrafo de énfasis en el objeto de la revisión:
Si el auditor considera necesario llamar la atención
de los usuarios previstos sobre un objeto de la
revisión presentado o divulgado en la información
del objeto que, a juicio del auditor sea tan
importante que resulte fundamental para que los
usuarios previstos comprendan dicha información,
deberá añadir un párrafo de énfasis en el objeto de
la revisión.
Párrafo sobre otros objetos de la revisión:
Si, a juicio del auditor es necesario informar sobre
un objeto de la revisión diferente a los presentados
o divulgados en la información del objeto y éste es
relevante para que los usuarios previstos
comprendan la auditoría, las responsabilidades del
auditor o el informe de auditoría, el auditor añadirá
un párrafo sobre otros objetos de la revisión.
En caso de tener que incluir otro objeto de la
revisión, el auditor debe indicar claramente en un
párrafo del informe, con un encabezado adecuado,
que su conclusión no se ha modificado con
respecto al objeto de la revisión de la auditoría. Por
otro lado, en el caso de tener que incluir un párrafo
de énfasis, dicho párrafo sólo hará referencia a la
información presentada y divulgada en la
información del objeto. El siguiente ejemplo sólo se
presenta con fines ilustrativos.
Ejemplo de un párrafo de énfasis u otro(s) objeto(s) de
la revisión
Las secciones introductorias sobre las responsabilidades
de la dirección y del auditor, así como las secciones finales
del informe son similares a las presentadas en el ejemplo
de la sección 6. 6.
.... [secciones introductorias del informe]…
Conclusión
Con base en el trabajo de auditoría realizado, encontramos
que la Oficina Nacional de Recaudación Tributaria cumple
en todos los aspectos importantes con la Ley del Impuesto
al Valor Agregado, CAP 223A.
Párrafo de énfasis
Llamamos la atención sobre la Nota xx de las cuentas que
detallan gastos administrativos por $xxxx.xx en relación
con la información facilitada por la agencia sobre el
cumplimiento de las estipulaciones del convenio de
financiamiento. Nuestra conclusión no ha sido calificada
con respecto a este objeto de la revisión.
Párrafo sobre otros objetos de la revisión
Llamamos la atención sobre el hecho de que el presente
informe ha sido elaborado para su utilización por la
organización donante XYZ y que, por lo tanto, puede no
resultar adecuado para otros fines.
… [secciones adecuadas para concluir el informe].…
7.6 EJEMPLO DE UN INFORME
BREVE DE UNA AUDITORÍA DE
CUMPLIMIENTO
Como se explicó anteriormente, el formato de un
informe de auditoría de cumplimiento puede variar
dependiendo del número de factores tales como el
mandato de la EFS, la legislación aplicable, las
prácticas seguidas habitualmente para la
elaboración de los informes o la complejidad de las
cuestiones que se informan. Sin embargo, cierto
grado de consistencia en el formato del informe
puede ayudar a los destinatarios a comprender el
trabajo realizado y las conclusiones resultantes, así
como a identificar circunstancias especiales, en
caso de que surjan. El siguiente ejemplo de
informe breve es exclusivamente de carácter
ilustrativo. Algunas EFS optarán por un informe
extenso en el que los resultados se describen
con más detalle en el contenido del documento.
Página 87
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
Informe de la auditoría de cumplimiento realizada por la
EFS de XXX
[Destinatario, por ejemplo, Organización donante XYZ]
Informe sobre [el cumplimiento por la agencia gubernamental
ABC de las estipulaciones del convenio de financiamiento
celebrado con la organización donante XYZ de fecha
xx.xx.20XX]
Hemos auditado [el cumplimiento por la agencia
gubernamental ABC de las estipulaciones del convenio de
financiamiento celebrado con la organización donante XYZ de
fecha xx.xx.20XX, tal y como se establece en las cuentas del
proyecto para el ejercicio que finalizó el 31.12.20XX que
muestran gastos por un total de $ xxxxxx.xx]..
Obligaciones de la dirección
De conformidad con [las estipulaciones del convenio de
financiamiento celebrado con la organización donante XYZ de
fecha xx.xx.20XX], la dirección de la agencia gubernamental
ABC tiene la obligación de [elaborar las cuentas íntegras del
proyecto en cumplimiento de lo estipulado en el convenio de
financiamiento].
Obligaciones del auditor
Nuestra obligación es expresar de manera independiente una
conclusión sobre [las cuentas del proyecto] basada en nuestra
auditoría. Nuestro trabajo se ajustó a lo dispuesto en los
[Principios fundamentales de auditoría y Directrices para la
auditoría de cumplimiento de la INTOSAI]. Estos principios
requieren de nuestra parte la observancia de las exigencias
éticas y una planificación y ejecución de la auditoría
destinadas a obtener una seguridad razonable de que [la
utilización de los fondos del proyecto se ha efectuado, en
todos los aspectos significativos, conforme a lo estipulado en
el convenio de financiamiento de fecha xx.xx.20XX]..
Una auditoría implica la aplicación de procedimientos para
obtener evidencia suficiente y apropiada que fundamente
nuestra conclusión. Los procedimientos aplicados dependerán
del juicio profesional del auditor, que podrá consistir también
en el análisis del riesgo de incumplimiento de importancia
relativa, ya sea por fraude o error. Los procedimientos de
auditoría aplicados son los que hemos juzgado convenientes
según las circunstancias. Opinamos que la evidencia de
auditoría obtenida resulta suficiente y apropiada para
fundamentar nuestra conclusión.
Conclusión
Con base en el trabajo de auditoría efectuado, consideramos
que [la utilización por la agencia gubernamental ABC de los
fondos para el proyecto recibidos de la organización donante
XYZ] cumple, en todos los aspectos significativos, con [lo
estipulado en el convenio de financiamiento de fecha
xx.xx.20XX].
[Respuestas de la entidad auditada, según corresponda, por
ejemplo de modo resumido bajo el encabezado “Respuestas
de la entidad auditada “, o en forma de apéndice]
[Recomendaciones cuando corresponda, por ejemplo bajo el
encabezado “Recomendaciones”, o en forma de apéndice]
[Fecha del informe del auditor]
[Firma del auditor]
7.7 SEGUIMIENTO DE LA
AUDITORÍA
Las directrices de auditoría recomiendan que los
auditores den seguimiento a los casos de
incumplimiento cuando esto sea conveniente.
En el proceso de seguimiento, el auditor de
cumplimiento supervisa el caso para asegurarse
que la parte responsable ha puesto en práctica
medidas correctivas para reparar el incumplimiento
identificado en el (los) informe(s) previo(s) de
auditoría. Cuando esto es necesario, la EFS debe
dar seguimiento a sus recomendaciones para
poder entregar al usuario pertinente una
actualización de las acciones e iniciativas de la
parte responsable para corregir el incumplimiento.
Se debe tener en cuenta que el proceso de
seguimiento puede no ser aplicable en todos los
casos y en todas las EFS. El mandato de la EFS
junto con la naturaleza de la auditoría determinará
si el seguimiento debe efectuarse.
7.7.1 Razón para el seguimiento
La EFS juega un papel importante para vigilar las
acciones adoptadas por la parte responsable en
respuesta a las cuestiones resultantes del informe
de auditoría. La necesidad de dar seguimiento a
los casos de incumplimiento previamente
reportados variará según la naturaleza del objeto
de la revisión en cuestión, el incumplimiento
identificado y las circunstancias específicas de la
auditoría. El proceso de seguimiento facilita la
implementación eficiente de las acciones
correctivas y proporciona retroalimentación útil a la
entidad auditada, a los usuarios del informe y a los
auditores para la planificación de futuras auditorías.
El seguimiento sirve a las tres partes para muchos
propósitos. Entre estos se incluyen los siguientes:
• Para la parte responsable:
Demuestra la eficiencia de la entidad auditada
para tratar el objeto de la revisión.
• Para el presunto usuario:
Es una actualización de lo que ha logrado la
parte responsable y las fallas existentes, si las
hay.
• Para el auditor:
Página 88
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
Evaluar la eficacia de su trabajo.
7.7.2 A qué se le debe dar
seguimiento
El seguimiento se centra en determinar si la
entidad auditada ha tratado de resolver de manera
adecuada los objetos de la revisión destacados en
un informe de auditoría específico.
A continuación presentamos algunos ejemplos de
los aspectos a los que debe darse seguimiento:
• Recomendaciones en el informe de auditoría.
• Cuestiones planteadas por los usuarios
previstos; por ejemplo, el
Parlamento/Congreso, alguna de sus
comisiones o el público en general.
Es importante resaltar que el auditor puede
extender el alcance para incluir otros aspectos
relevantes además de sus recomendaciones. En
este caso, la clave es determinar si la entidad
cumplió con todas las normas necesarias.
7.7.3 Cuándo realizar un seguimiento
La decisión de cuándo realizar un seguimiento se
basará en varios factores. Si la auditoría fue un
trabajo de certificación (compromiso de
atestiguamiento o compromiso de elaboración de
informes directos), entonces el seguimiento puede
no ser necesario. No obstante, si los auditores
detectan desviaciones significativas que tengan
implicaciones para los ciudadanos, incluso si el
trabajo de auditoría es aislado, es necesario dar
seguimiento a sus resultados.
Si la auditoría es un trabajo directo (compromiso de
elaboración de informes directos) y se realiza en
períodos específicos, entonces el seguimiento
puede ser necesario.
El auditor debe dar a la parte responsable tiempo
suficiente para implementar las recomendaciones
pero también debe asegurarse de que el
seguimiento es relevante para los usuarios
previstos. Como resultado, el auditor ejercerá su
juicio profesional a este respecto.
Algunas EFS, dependiendo de la frecuencia de un
trabajo de auditoría, efectuarán las acciones de
seguimiento al mismo tiempo que realizan la
auditoría.
7.7.4 Cómo efectuar el seguimiento
Las EFS pueden haber establecido políticas y
procedimientos para efectuar el seguimiento. El
auditor puede preparar un plan de auditoría
identificando los recursos que se van a utilizar, las
recomendaciones y los resultados de la auditoría
que deben ser examinados y el periodo de tiempo
en que se debe concluir.
Algunos procedimientos de auditoría que se
utilizaron durante el trabajo inicial pueden aplicarse
durante el seguimiento. El auditor debe determinar
la conveniencia de usar estos procedimientos.
Otros procesos de seguimiento pueden incluir
revisiones y evaluaciones internas realizadas por la
entidad auditada u otros organismos.
Sin importar la forma, el auditor debe obtener
evidencia de auditoría suficiente y apropiada para
respaldar sus resultados y conclusiones.
El informe de seguimiento puede utilizar los
mismos lineamientos que se usaron en el trabajo
de auditoría, incluyendo su presentación a los
usuarios previstos.
7.7.5 Decisiones de la EFS
Con base en los resultados del seguimiento, la
EFS puede continuar supervisando las medidas
implementadas por la entidad auditada o puede
decidir llevar a cabo un trabajo de auditoría
completamente nuevo. En el caso de auditorías
periódicas, las acciones de seguimiento pueden
formar parte de la evaluación de riesgos del año
siguiente.
Página 89
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

7.8 CONCLUSIÓN
Este capítulo se enfocó en la elaboración de
informes que son el producto final de una auditoría
de cumplimiento. El informe del auditor debe estar
completo, ser objetivo y oportuno, y estar sujeto al
proceso revalidación antes de concluirlo. El
capítulo también resaltó las consideraciones que
deben tenerse en mente al emitir una
conclusión/opinión y los tipos de informes y de
conclusiones/opiniones.

Se destacaron y explicaron las partes específicas

de los informes breves. Finalmente, se mencionó el
concepto de seguimiento, en especial el momento
y la forma de realizarlo. Los factores importantes,
tales como el tipo de trabajo y la política de las
EFS en materia de seguimiento determinarán el
momento y la forma en que debe efectuarse.

Hasta el momento, el enfoque de este documento

ha sido presentarle a los participantes las
principales consideraciones que deben tomar en
cuenta al efectuar una auditoría de cumplimiento.
Ahora estamos listos para continuar con el
siguiente capítulo que explica la forma en que las
EFS pueden tomar acciones concretas para poner
en práctica las ISSAI en las auditorías de
cumplimiento.

Página 90
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

Capítulo 8:

Estrategias de implementación de las

ISSAI para auditorías de cumplimiento

Página 91
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

8.1 INTRODUCCIÓN
La guía proporcionada en este capítulo es para las
EFS que han decidido implementar las ISSAI para
La implementación de las ISSAI significa un
auditorías de cumplimiento de nivel 4, es decir, que
cambio fundamental que requiere de
han adoptado las ISSAI serie 4000 como sus
consideraciones institucionales y estratégicas por
normas reguladoras. Sin embargo, como se explicó
parte de la dirección de la EFS. Por lo tanto, antes
anteriormente, las EFS también pueden hacer
de emprender la iniciativa de implementación se
referencia a normas internas que sean
recomienda examinar algunos aspectos clave
consistentes con los principios fundamentales de
relacionados con las operaciones de la EFS. Estos
las auditorías de cumplimiento. Aunque esta guía
aspectos son, por ejemplo, el mandato de la EFS,
se limita a la estrategia de implementación de las
las expectativas de los usuarios, los recursos
ISSAI para auditorías de cumplimiento, se está
disponibles, el ambiente bajo el cual está operando
planeando desarrollar una guía con los
la EFS, sus prácticas actuales, etc. Sólo después
lineamientos para la implementación general del
de examinar estos aspectos a fondo la EFS estará
marco de referencia de las ISSAI como un
en posición de decidir de forma realista si quiere
documento separado. Muchas EFS cuentan con un
referirse a las ISSAI de las auditorías de
plan estratégico para un período en particular, por
cumplimiento (así como de otros tipos de
lo que resulta importante que la EFS integre su
auditoría). Si la respuesta es afirmativa, entonces
estrategia de implementación de las ISSAI para
necesitará saber cómo hacerlo y desarrollar la
auditorías de cumplimiento a su estrategia general,
estrategia de implementación que se describe en
tal como está establecido en su propio plan
este capítulo.
estratégico.
8.1.1 Estrategia de implementación de las ISSAI
para auditorías de cumplimiento

Las EFS pueden usar las ISSAI de nivel 3, es

decir, los principios fundamentales de las
auditorías de cumplimiento para establecer normas
internas como base para conducir sus auditorías o
usar las ISSAI de nivel 4. Al conducir una auditoría
las EFS necesitan declarar las normas que
aplicarán en ellas. Las EFS pueden declarar que
en las auditorías han aplicado las normas internas
que desarrollaron o adoptaron y que están basadas
en o son consistentes con las ISSAI de nivel 3. Sin
embargo, sólo pueden afirmar eso si sus normas
internas cumplen plenamente con todos los
principios relevantes de las ISSAI. En tales casos
sus informes de auditoría podrán incluir una
referencia al hecho de que las normas internas
usadas se basan o son consistentes con los
principios fundamentales de las auditorías de
cumplimiento de las ISSAI.

Por otro lado, en los casos en los que las EFS

quieran referirse a las ISSAI de nivel 4, el primer
paso será determinar los requisitos
correspondientes de las ISSAI para auditorías de
cumplimiento y evaluar el estado de la EFS con
respecto a dichos requisitos. La Figura 8.1 muestra
un resumen de este proceso.

Página 92
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

Figura 8.1: Proceso de toma de decisiones para la implementación de las ISSAI de las auditorías de
cumplimiento

¿La EFS quiere implementar las ISSAI?

SI

¿Cuál es el mandato de la EFS?

¿Cuáles son las expectativas de los usuarios?

¿Con qué recursos cuenta la EFS?

¿La EFS quiere hacer referencia a las ISSAI de

nivel 4 o desarrollar normas internas consistentes
con las ISSAI de nivel 3?

Nivel 3 Nivel 4

¿La EFS cuenta con normas internas para

auditorías de cumplimiento?

La EFS adoptó las ISSAI serie 4000

como normas reguladoras

Si No

Mapear las normas internas Es necesario desarrollar Mapear la metodología y práctica de

con los requisitos de Nivel 3 normas internas auditoría con las ISSAI utilizando la
herramienta iCAT CA

Mapear la práctica con los

requisitos
Evaluar lo que se necesita para
implementar las ISSAI para las
Evaluar las necesidades de auditorías de cumplimiento
implementación

Estrategia de implementación de las Estrategia de implementación de las

ISSAI para auditorías de cumplimiento ISSAI para auditorías de cumplimiento

Página 93
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
Como se puede ver en la Figura 8.1, cuando una
EFS quiere implementar las ISSAI y establecer una
estrategia para ello necesita considerar primero
cuál es su mandato, es decir, si las leyes
respectivas le dan a la EFS la facultad de conducir
auditorías de cumplimiento. De ser así, entonces
¿en qué forma se menciona en las leyes la
capacidad de la EFS para conducir diferentes tipos
de auditorías? La interpretación del mandato
también es muy importante, ya que permite saber
su alcance y los diferentes tipos de auditoría que
puede desarrollar.
Además de su mandato, la EFS también necesita
determinar cuáles son las expectativas que tienen
los usuarios sobre su trabajo con qué recursos
cuenta, p. ej. recursos humanos o de otro tipo, así
como la competencia y capacidad de la fuerza de
trabajo disponible para llevar a cabo las auditorías
de manera profesional y el ambiente en el que está
operando. Finalmente, junto con estos aspectos la
EFS necesita responder a la pregunta clave:
¿cómo puede referirse a las ISSAI en sus informes
de auditoría?
Antes de formular una estrategia de
implementación de las ISSAI para auditorías de
cumplimiento, la EFS necesita decidir cómo le
gustaría referirse a las ISSAI. El proceso de toma
de decisiones con dos escenarios posibles se
ilustra en la Figura 8.1. Como se mencionó
anteriormente, si la EFS decide referirse a las
ISSAI de nivel 3, entonces necesita contar con
normas internas para auditorías de cumplimiento
que estén en línea con los principios de la ISSAI
400. Si la EFS no cuenta con tales normas pero
aún así desea referirse a las ISSAI de nivel 3,
entonces necesita desarrollarlas.
Las ISSAI de nivel 3, Principios Fundamentales de
Auditoría, son la base de las Directrices Generales
de Auditoría del nivel 4 del marco de referencia de
las ISSAI. Los principios del nivel 3 se pueden usar
para desarrollar normas reguladoras en tres
formas:
• como base sobre la que las EFS pueden
desarrollar normas;
• como base para la adopción de normas
internas consistentes;
• como base para la adopción de las Directrices
Generales de Auditoría como normas.
Las EFS pueden elaborar un solo documento
normativo, una serie de tales documentos o una
combinación de documentos normativos y otros
documentos reguladores.
El siguiente paso es mapear las normas internas
con los requisitos de las respectivas ISSAI de nivel
3. Sin embargo, para referirse a las ISSAI de nivel
3 no es suficiente con revisar que las normas
internas sigan sólo los requisitos de dichas ISSAI.
Es igual de importante corroborar que las
auditorías de la EFS se conduzcan conforme a las
normas. Mediante este mapeo la EFS será capaz
de identificar las necesidades evaluando las
deficiencias tanto en las normas como en la
práctica. A partir de esto se puede formular una
estrategia de implementación para superar tales
deficiencias.
Del mismo modo, como se muestra en la Figura
8.1, si el objetivo de la EFS es referirse a las ISSAI
para auditorías de cumplimiento de nivel 4
entonces puede empezar por mapear su práctica
actual con respecto a los requisitos de estas ISSAI.
La Herramienta para la Evaluación del
Cumplimiento de las ISSAI para auditorías de
cumplimiento (iCAT) puede usarse para este
propósito. La siguiente sección de este capítulo
sirve de guía para el desarrollo de una Estrategia
de Implementación de las ISSAI para auditorías de
cumplimiento basada en la iCAT.
8.1.2. Marco de referencia para la estrategia de
implementación de las ISSAI
Para integrar las ISSAI de Nivel 4 en sus prácticas
de auditoría se ha desarrollado una herramienta
que proporciona un procedimiento paso a paso
para servir de guía a las EFS. Este procedimiento
toma en cuenta varios factores que le permitirán a
las EFS adoptar diferentes estrategias de acuerdo
con su mandato, leyes y reglamentos. El marco de
referencia propuesto para la Estrategia de
Implementación de las ISSAI para auditorías de
cumplimiento (Figura 8.2) describe cada paso por
el que la EFS necesita pasar para formular una
estrategia que se adapte a su naturaleza y su
ambiente.
Página 94
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

Función de la Auditoría de
Cumplimiento de la EFS
Paso 1

iCAT

Fortalezas Debilidades
Paso 2 FODA
Independencia y Procesos básios de la
marco legal EFS

Oportunidades Amenazas
Liderazgo y Expectativas de los
gobernanza interna usuarios

DETERMINAR
Paso 3 LAS
PRIORIDADES

Paso 4 FORMULAR LA
ESTRATEGIA

Tamaño
Ambiente:
• Político
Recursos • Social
• Económico
Paso 5
Experiencias SELECCIONAR
LAS OPCIONES
ESTRATÉGICAS

Paso 5
Estrategia de Implementación de las ISSAI

Figura 8.2 Marco de referencia para la estrategia de implementación de las ISSAI para auditorías de
cumplimiento

Página 95
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

8.2 PROCESO DE Nota: Bajo el Programa 3i, la Iniciativa de

Desarrollo de la INTOSAI (IDI), en colaboración
FORMULACIÓN DE LA con los tres subcomités del Comité de Normas
ESTRATEGIA DE Profesionales de la INTOSAI y las EFS regionales
han capacitado a un grupo de facilitadores en
IMPLEMENTACIÓN DE LAS determinadas EFS. La información de los
ISSAI facilitadores de las ISSAI está disponible en el
portal de la Comunidad 3i en
Como se puede ver en la Figura 8.2, hay varios www.idicommunity.org. Los facilitadores de las
pasos críticos que la EFS debe seguir para ISSAI en cada EFS podrán ayudarlas a aplicar la
formular una estrategia de implementación sólida y iCAT para sus respectivas prácticas de auditoría.
eficaz que permita una aplicación sostenible de las Por lo tanto, se recomienda ampliamente a las EFS
ISSAI. Estos pasos son los siguientes. que contraten a facilitadores capacitados para
guiar y ayudar al equipo que está trabajando con la
Paso 1: Mapear la práctica de las auditorías de iCAT.
cumplimiento de la EFS con respecto a los
requisitos de las ISSAI.
Paso 2: Realizar un análisis FODA
Paso 3: Determinar las prioridades de la EFS
Paso 4: Identificar las opciones estratégicas para
abordar los aspectos prioritarios
Paso 5: Seleccionar las opciones estratégicas de
la EFS
Paso 6: Formular la estrategia de implementación
de las ISSAI para las auditorías de
cumplimiento

A continuación se explican estos seis pasos.

Paso 1: Mapear la práctica de las auditorías de

cumplimiento de la EFS con respecto a los
requisitos de las ISSAI

El primer paso de la EFS es mapear su práctica

actual con respecto a los requisitos de las ISSAI
para las auditorías de cumplimento. La
Herramienta de Detección de Necesidades para el
Cumplimiento de las ISSAI (iCAT) de las auditorías
de cumplimiento ayudará a la EFS con este
ejercicio. Por medio de esta herramienta la EFS
será capaz de identificar las causas de
incumplimiento y formular las acciones necesarias
para cumplir con las ISSAI. Es importante que la
EFS conduzca este ejercicio con diligencia y
profesionalismo, ya que constituye una valiosa
aportación para la formulación de estrategias
prácticas y realizables.

Página 96
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

Para entender mejor los seis pasos del proceso

que se muestra en la Figura 8.2, se ha usado un
sencillo estudio de caso de la EFS X como
ejemplo. El contexto de la EFS X es el siguiente:

La EFS X tiene el mandato constitucional de realizar auditorías financieras, de cumplimiento y de desempeño, así
como la autoridad exclusiva de fiscalizar a todas las agencias del gobierno. La EFS X cuenta además con un
Código de Auditoría que explica sus poderes y funciones constitucionales, su jurisdicción y su estructura
organizativa.
La EFS tiene un Código de Ética que actualmente está siendo actualizado. También se ha creado una Oficina de
Investigación Administrativa bajo las órdenes del titular de la EFS para investigar cualquier comportamiento indebido
de los auditores, así como las posibles violaciones al Código de Ética y la Ley Anticorrupción. Los empleados de la
EFS tienen asimismo la obligación de presentar regularmente una declaración patrimonial.
La EFS cuenta con un Centro de Educación Continua que proporciona constantemente cursos prácticos y de
capacitación a varios niveles para su personal en distintas disciplinas. Para obtener una promoción es necesario
completar los cursos de un nivel particular. La EFS solamente contrata a profesionistas con licenciatura como
abogados debido a sus funciones de tipo judicial, contadores públicos certificados, ingenieros y otros profesionistas
que han aprobado el Examen del Servicio Público Profesional.
La EFS premia a sus empleados por su desempeño ejemplar y durante años sus galardonados han recibido el
reconocimiento del Estado de manos del presidente.
El código de auditoría requiere que las agencias auditadas proporcionen un espacio permanente y adecuado de
oficinas, así como los fondos y el equipo necesarios para el trabajo de los auditores de la EFS (auditorías
residentes). El código prohibe estrictamente que los auditores reciban algo más allá de esto de parte de las
entidades auditadas. Los infractores son inmediatamente sancionados, con penas que van desde una amonestación
hasta la terminación de su contrato con suspensión de beneficios.
Los grupos de auditorías pasan por un proceso de coordinación en el que los aspectos de alto impacto que parecen
existir en diferentes agencias o donde hay proyectos que son puestos en marcha por varias agencias son revisados
simultáneamente con la Dirección. Cuando esto sucede los auditores llenan formularios preestablecidos para cada
fase de la auditoría, empezando con una comprensión clara de la entidad que constituye la base para la
identificación de riesgos de incumplimiento. Los resultados se unen con las demás fases hasta que la auditoría
alcance la etapa de elaboración de informes.
Aunque el proceso de revisión es un tanto elaborado, la EFS X aún no ha puesto en operación una Oficina de
Aseguramiento de la Calidad para llevar a cabo una revisión independiente de los procesos de control de calidad de
la auditoría. Recientemente se realizó una evaluación del grado de cumplimiento de la EFS con las ISSAI usando la
iCAT para Auditorías de Cumplimiento. Los resultados preliminares se muestran más adelante.

La EFS X ha decidido implementar las ISSAI para
auditorías de cumplimiento de nivel 4 siguiendo el
proceso de seis pasos. Su primera tarea es
completar el mapeo de sus prácticas actuales con
respecto a los requisitos de las ISSAI.
La Tabla 8.1 muestra un ejemplo de algunos de los
requisitos de las ISSAI para auditorías de
cumplimiento usados para mapear los casos de
cumplimiento con las prácticas de auditoría de la
EFS X. Debido a que se ha hecho énfasis en que
la iCAT debe aplicarse considerando lo que
realmente se necesita para que un requisito en
particular se “cumpla”, es decir, que la práctica de
auditoría de la EFS “cumpla” con ese requisito, el
presente ejemplo se da únicamente con fines
ilustrativos y no para llevar a cabo el mapeo
completo usando la iCAT.
Nota: El curso virtual realizado de octubre a
diciembre de 2012 bajo el Programa 3i proporcionó
los lineamientos para la realización del mapeo
completo usando la iCAT para auditorías de
cumplimiento.

Página 97
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

La Tabla 8.1 muestra la evaluación de algunos

requisitos bajo el Nivel 4, en los que el estatus de
cumplimiento de la iCAT aplicada por la EFS X
aparece como "cumplido".

Manejo y control
implementación

Documentación
Comunicación
Mecanismo de

Resultados

de calidad
Política
Documentos
Requisitos Referencia Justificación de la evaluación
de referencia

10.1: El auditor identifica y evalúa el riesgo de ISSAI 4100.82 Cumpl Cumpl Cumpl Cumpl El requisito se encuentra incluido en el Manual de
fraude y obtiene evidencia suficiente y ido ido ido ido manual de auditorías de cumplimiento. Se auditorías de
apropiada en relación con los riesgos de fraude han preparado procedimientos y un cumplimiento.
detectados mediante la aplicación de cuestionario estándar para uso de los
procedimientos de auditoría adecuados. auditores. Los casos de fraude están
incluidos en el informe. La revisión del
procedimiento por parte de la dirección está
documentada en la auditoría.

10.2: En presencia de un presunto fraude, los ISSAI 4100.82 Cumpl Cumpl Cumpl Se encuentra incluido en el manual. Los Manual de
auditores del sector público se aseguran de ido ido ido auditores consultan a la dirección, asesores auditorías de
actuar adecuadamente en función del mandato legales y autoridades competentes. El cumplimiento,
de la EFS y las circunstancias particulares. asesor legal es parte del equipo de lineamientos
auditoría, así que siempre está "en el legales
lugar". La revisión de la dirección está
documentada.

11.5: Se procederá a realizar pruebas ISSAI 4100.89 Cumpl Cumpl El muestreo se hace con base en el juicio Manual de
adicionales de confirmación cuando existan ido ido profesional, sin embargo cuando se trata de auditorías de
riesgos significativos de incumplimiento. Si el áreas de alto riesgo existe la duda acerca cumplimiento.
enfoque de auditoría consiste sólo en pruebas de la suficiencia de los casos examinados.
de confirmación, entonces se llevarán a cabo Se usan principalmente pruebas de detalle.
pruebas de detalle (y no sólo pruebas Revisión de los documentos por parte de la
analíticas). dirección.

12.4: La EFS conservará la documentación de ISSAI Cumpl Cumpl Cumpl Se cuenta con requisitos para los métodos Reglas para el
la auditoría de cumplimiento en la que 4100.113 ido ido ido y tiempo de conservación de los archivos manejo y
constarán los criterios empleados, el trabajo de la auditoría. Los tiempos son apropiados conservación de
efectuado, la evidencia obtenida, los juicios y se comunican a todas las divisiones archivos y
emitidos y la revisión. Estos documentos se interesadas. La supervisión de la dirección documentos
conservarán durante un determinado período está documentada.
de tiempo.

14.1: Los auditores se mantendrán alerta ante ISSAI Cumpl Cumpl Cumpl El requisito se encuentra incluido en el Manual de
la posibilidad de que surjan indicios de actos 4100.118 ido ido ido manual. Se han preparado procedimientos auditorías de
ilícitos, incluyendo fraude, al llevar a cabo su y un cuestionario estándar sobre fraude cumplimiento.
labor. para uso de los auditores. La revisión de la
dirección está documentada.

Tabla 8.1: iCAT de la EFS X (paso 1) en la que se muestran requisitos de las ISSAI de Nivel 4 con estatus
"Cumplido"

Página 98
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

De manera similar, la Tabla 8.2 muestra algunos

casos de incumplimiento con los requisitos de las
ISSAI en la EFS X.

Manejo y control
implementación

Documentación
Comunicación
Mecanismo de

Resultados

de calidad
Política
Documentos
Requisitos Referencia Justificación de la evaluación
de referencia

2.3: Se han identificado criterios o pautas para ISSAI 4100.42 Parcial No No No Parcial Los criterios no están claramente definidos Manual de
cada auditoría mente cumpli cumpli cumpli mente en los documentos de trabajo ni en el auditorías de
cumpli do do do cumpli informe de auditoría debido al amplio cumplimiento.
do do alcance del objeto de la revisión, así como
de criterios adecuados. Ciertas acciones se
dan en la metodología, aunque la lista no es
exhaustiva.

2.6: Al identificar los criterios, se analiza la ISSAI 4100.50 No No No Cuando se evalúan los casos de
materialidad o importancia relativa en relación cumpli cumpli cumpli incumplimiento se está considerando la
con el riesgo de incumplimiento en cada objeto do do do importancia cualitativa dependiendo de las
de la revisión de la auditoría. circunstancias, por lo que en la etapa de
planificación la importancia relativa no está
claramente definida.

10.4: Se tendrán presentes las relaciones entre ISSAI 4100.84 No No Normalmente la auditoría se concentra en
distintas entidades públicas al analizar el riesgo cumpli cumpli las relaciones entre los sectores público y
de la auditoría, particularmente el de fraude o do do privado, que es donde hay mayor
incumplimiento. posibilidad de que ocurra fraude. Las
relaciones entre los organismos públicos
rara vez se consideran.

12.2: La documentación es una actividad que ISSAI Parcial No Todos los requisitos se encuentran Informe de
tiene lugar durante toda la auditoría. 4100.113 mente cumpli incluidos en el manual, pero el informe de revisión, manual
cumpli do revisión muestra deficiencias en la
do documentación y en la revisión continua de
la calidad.

15.5: El auditor aplicará procedimientos de ISSAI Parcial No No No No Normalmente todo el trabajo realizado a Manual de
auditoría para determinar si han sucedido 4100.134 mente cumpli cumpli cumpli cumpli este respecto se basa en hallazgos auditoría.
hechos posteriores durante el tiempo cumpli do do do do accidentales más que en procedimientos de
comprendido entre la finalización del trabajo de do auditoría enfocados. Los procedimientos de
campo y la fecha del informe de la auditoría auditoría necesarios no están claramente
que puedan dar lugar a un incumplimiento definidos en la metodología.
significativo.

Tabla 8.2: iCAT de la EFS X (paso 1) en la que se muestran requisitos de las ISSAI de Nivel 4 con estatus "No
cumplido"

Página 99
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
Las razones del incumplimiento pueden expresarse
en términos de:
• Las razones por las que decimos que no
estamos cumpliendo, es decir, señalando cuál
es el problema; o
• Los hechos que demuestran la forma en que no
estamos cumpliendo o que estamos
cumpliendo parcialmente con un requisito,
como se puede ver en este ejemplo.
Los ejemplos de la iCAT en las Tablas 8.1 y 8.2
proporcionan una buena idea del grado de
cumplimiento de la EFS X con los requisitos de las
ISSAI para auditorías de cumplimiento de Nivel 4.
Sin embargo, para tener un panorama completo la
EFS debe llevar a cabo el mapeo de todos los
requisitos. La información de la iCAT ayuda al
equipo de diagnóstico a identificar las deficiencias,
así como los sistemas y prácticas en vigor con los
que cuenta para lograr el cumplimiento de los
requisitos.
Paso 2: Realizar un análisis FODA
Después de evaluar el cumplimiento con los
requisitos de las ISSAI usando la iCAT, el equipo
deberá realizar un análisis FODA de la EFS para
La Figura 8.3 identifica los siguientes elementos de las ISSAI de nivel 2 y los agrupa en cuatro dominios.
Liderazgo y
gobernanza
interna
Independencia y
marco legal • Código de Ética
• Disposiciones para la
gestión
• Recursos
determinar sus debilidades y fortalezas en los
términos de la auditoría de cumplimiento. A través
del análisis FODA la EFS puede evaluar su
situación actual y elaborar sus opciones
estratégicas. Este ejercicio ayudará a explorar las
amenazas y oportunidades que rodean a la EFS,
además de ayudar a la alta dirección a tomar
decisiones informadas.
En el ejemplo de la iCAT de la Tabla 8.2 la
columna "justificación de la evaluación" explica las
razones del incumplimiento. Todo los requisitos
incumplidos de las ISSAI pueden tener la
explicación de su incumplimiento en esta columna
de la iCAT. Una vez que la iCAT está completa
muestra que por lo general las causas del
incumplimiento con los requisitos tienen su origen
en un nivel organizacional más amplio, como el
mandato, la legislación, los procedimientos
establecidos de la EFS o las prácticas diarias del
personal. Una vez más, todos estos aspectos
organizacionales se encuentran en el nivel 2 de las
ISSAI, que trata aspectos como la independencia,
el valor y beneficio, la transparencia y rendición de
cuentas, la ética y el control de calidad.
Relaciones con
partes
interesadas
externas
Procesos básicos
de la EFS • Prácticas para la
elaboración y
presentación de
informes
• Comunicación
Página 100
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
El primer dominio se refiere a la independencia
institucional de la EFS y describe los requisitos
establecidos en la ISSAI 10
El segundo dominio se refiere a la capacidad
organizativa y profesional del personal y la alta
dirección de la EFS. Una combinación de requisitos
de las ISSAI de Nivel 2 se encuentra bajo este
dominio.
El tercer dominio se refiere a los procesos básicos
de la EFS, que son los requisitos específicos para
los procedimientos de auditoría.
El cuarto dominio se refiere a las relaciones con los
usuarios y partes interesadas externas, tanto en
términos de elaboración y presentación de
informes como de comunicación sobre la eficacia e
impacto de la auditoría.
Tabla 8.3: Análisis FODA de la EFS X
Fortalezas
Independencia y marco legal
• Mandato fuerte y claro
Liderazgo y gobernanza
• Liderazgo fuerte y dinámico que dirige con el ejemplo
• Auditores de cumplimiento enérgicos y competentes, capacitados
en la interpretación estatutaria y legal y en la identificación y
análisis de la evidencia de auditoría
• Clara rendición de cuentas en los trabajos de auditoría
• Asignación y aceptación de la responsabilidad para los trabajos de
auditoría
Procesos básicos de la EFS
• Un sistema sólido para comunicar los resultados de la auditoría
• Fuerte apoyo legal
• Educación continua del personal de la EFS
• Procedimiento y metodología de auditoría que asegura que los
auditores apliquen la evaluación de riesgos e identifiquen los
riesgos de fraude
Oportunidades
Liderazgo y gobernanza interna
• La dirección apoya una práctica sólida y firme nominando a sus
mejores auditores para que reciban el reconocimiento del gobierno
Procesos básicos de la EFS
• Autoridad exclusiva en la determinación del alcance, las áreas y
los métodos de auditoría
• Libre de intervención externa
• Excelente conocimiento de las entidades auditadas
Relaciones externas con las partes interesadas externas
• Anima a los donadores a que financien las actividades de
capacitación con la asistencia de un Centro de Educación Continua
y un Manual de Auditoría
• Anima a las entidades auditadas a proporcionar capacitación en
leyes, reglamentos y normas de contabilidad y auditoría con ayuda
de las instalaciones de la EFS
Con base en los cumplimientos e incumplimientos
identificados por los resultados de la iCAT así
como por el escenario de la EFS, ésta puede
determinar sus puntos fuertes, puntos débiles,
oportunidades y amenazas. Éstas pueden
clasificarse bajo los cuatro dominios señalados en
la Figura 8.3. Una vez que los puntos débiles y las
amenazas relacionadas se hayan identificado, se
podrá dar la dirección correcta a la EFS para
canalizar sus recursos con el fin de lograr una
mejoría. Esto también ayudará a explorar los
puntos fuertes y las oportunidades que la EFS
puede capitalizar para formular estrategias que le
permitan instituir prácticas sólidas de auditoría de
cumplimiento en conformidad con todos los
requisitos de las ISSAI.
El análisis FODA (paso 2) para la EFS X se
muestra en la Tabla 8.3.
Debilidades
Independencia
• Auditorías residentes
Liderazgo y gobernanza
• Falta de tiempo o asignación de recursos insuficientes
para llevar a acabo las auditorías
Procesos básicos de la EFS
• Falta de capacidad para organizar y preparar
documentos de trabajo que puedan ser fácilmente
comprendidos (Principio de documentación)
• No se cuenta con un marco estandarizado de calidad a
nivel de trabajo.
• Conocimiento inadecuado del proceso de administración
de riesgos de las entidades auditadas
• Estrategia general y planificación de la auditoría
preparadas de manera incorrecta
Amenazas
Independencia
• Alto riesgo de mala reputación debido a la percepción de
falta de independencia
Procesos básicos de la EFS
• Aumento en el riesgo de auditoría
• Prácticas de auditoría ineficientes e ineficaces
Relaciones externas con las partes interesadas externas
• Riesgo de emitir un informe de auditor inapropiado
Página 101
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
Al analizar los aspectos identificados en cada
cuadro se obtiene un panorama general de los
puntos débiles y los retos que enfrentan las EFS e
impiden que cumplan con los requisitos de las
ISSAI. La EFS también puede identificar sus
propias fortalezas y buenas prácticas que facilitan
el cumplimiento de los requisitos. Por otro lado, a
partir del análisis FODA las EFS también pueden
identificar sus puntos fuertes y buenas prácticas
que facilitan su cumplimiento con los requisitos de
las ISSAI. Por lo tanto, el análisis FODA, si se
conduce de manera objetiva, presenta un conjunto
único de hechos para cada EFS dentro de los
cuatro dominios del Nivel 2. Por ejemplo, el
requisito de la ISSAI 4100.82 presentado en la
iCAT de la EFS X en la Tabla 8.1 estipula que "El
auditor identifica y evalúa el riesgo de fraude y
obtiene evidencia suficiente y apropiada en
relación con los riesgos de fraude detectados
mediante la aplicación de procedimientos de
auditoría adecuados".
Al mismo tiempo, el análisis FODA reveló que la
EFS X cuenta con un punto fuerte identificado
como un “procedimiento y metodología de auditoría
que asegura que los auditores apliquen la
evaluación de riesgos e identifiquen los riesgos de
fraude".
El vínculo entre la iCAT y el análisis FODA explica
muchas de las relaciones causales de las
deficiencias identificadas mediante la iCAT. Por lo
tanto, el análisis también ayudará a identificar las
razones de tales deficiencias. Al considerar las
deficiencias y sus causas a través de los dominios,
identificados como independencia y marco legal,
liderazgo y gobernanza interna, procesos básicos
de la EFS y relaciones con partes interesadas
externas, es posible que muchas de ellas puedan
vincularse bajo un aspecto común. Por ejemplo, la
ISSAI 4100.113 señala que “la documentación es
una actividad que tiene lugar durante toda la
auditoría” – un requisito no cumplido por la EFS X,
según lo revela la iCAT en la Tabla 8.2. Un análisis
posterior utilizando el FODA reveló que cuando se
evalúan casos de incumplimiento, existe la falta de
capacidad para organizar y preparar documentos
de trabajo que puedan ser fácilmente
comprendidos, lo cual es un problema relacionado
con la documentación.
Por lo tanto, integrar los resultados de las dos
herramientas, iCAT y FODA, permitirá revelar una
serie de aspectos estratégicos que requieren de
intervención.
Paso 3: Determinar las prioridades de la EFS
Una vez que el equipo ha realizado el análisis
FODA para la EFS, los resultados muestran los
principales problemas que enfrenta la organización.
En esta etapa el equipo de evaluación debe hacer
una lista de las fortalezas y debilidades en
diferentes áreas. En muchos casos pueden existir
fortalezas y debilidades similares a través de los
cuatro dominios. Se espera que el equipo agrupe
estos aspectos con los aspectos más amplios que
enfrenta la EFS. Estos aspectos se considerarán
prioridades estratégicas si tienen el potencial de
afectar o impedir directamente el establecimiento
de una sólida práctica de auditoría de cumplimiento
en la EFS. Por ejemplo, la EFS X no cuenta con un
"marco de control de calidad". Ésta es una cuestión
importante para la EFS, ya que el marco podría
proporcionar las directrices para completar los
archivos de auditoría a tiempo y establecer
expectativas claras de documentación. De la
misma manera, aspectos como la falta de
capacidad e independencia del personal pueden
ser objetos de la revisión prioritarios para la EFS X.
En esta etapa es probable que el equipo deba
realizar un análisis más profundo para identificar
los aspectos comunes a los dominios principales.
Se debe tener cuidado y actuar con la debida
diligencia para identificar los aspectos prioritarios
bajo cada dominio. Puede resultar conveniente
involucrar en el proceso a la dirección, a los
gerentes de nivel medio así como, de ser posible, a
todo el personal. Sin embargo, se recomienda
contar al menos con la participación de
representantes del personal, jefes de equipo o un
grupo focal familiarizado con las políticas, prácticas
y limitaciones del ambiente de trabajo. La
participación de personal de distintos niveles
proporcionará diferentes perspectivas y ayudará a
identificar los aspectos estratégicos.
La EFS deberá dar prioridad a los aspectos
incluidos en el cuadro de debilidades y la
asignación de recursos o la estrategia deberán
enfocarse en remediar las deficiencias observadas
y en mitigar las posibles amenazas. Sin embargo,
Página 102
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
la EFS no deberá descuidar sus propias fortalezas,
ya que representan diferentes oportunidades para
aprovechar las mejores prácticas y sistemas con
los que ya cuenta. Apoyarse en estas fortalezas
ayudará a la EFS a alcanzar su objetivo final que
es la implementación de una práctica de auditoría
de cumplimiento en conformidad con las ISSAI
Como se puede ver en los ejemplos de iCAT y del
análisis FODA de la EFS X, algunos de los
aspectos prioritarios identificados (paso 3) por la
EFS son:
• Determinar el alcance de la auditoría;
• Las debilidades en las actividades de
planificación;
• Un proceso de documentación que incluya los
documentos de trabajo;
• Métodos para la recopilación de evidencia;
• Revisiones de calidad; e
• Independencia de los auditores residentes.
Paso 4: Identificar las opciones estratégicas
para abordar los aspectos prioritarios
Con base en los aspectos prioritarios identificados
en el paso 3, el equipo deberá buscar diversas
opciones estratégicas para solucionar
apropiadamente estos problemas. Como se
mencionó arriba, se deberá enfocar en los
aspectos prioritarios y obtener una mayor
asignación de recursos para su resolución.
Figura 8.4: Factores que determinan la selección de las opciones estratégicas para la
implementación de las ISSAI
Recursos
Estrategia de
Tamaño Implementación
de las ISSAI
Ambiente
En esta etapa el equipo identifica varias opciones
estratégicas dirigidas a superar las deficiencias.
Por lo tanto, deberá empezar haciendo consultas y
evaluando diversas ideas sobre las causas de
dichas deficiencias. Al igual que en el paso 3, el
equipo deberá contar con la participación de la alta
dirección, los gerentes de nivel medio y el grupo
focal para identificar las diversas opciones. Este
enfoque participativo también ayudará a aumentar
la aceptabilidad y reducir la resistencia de los
empleados a la implementación de las estrategias.
En este ejemplo la EFS X ha identificado los
aspectos prioritarios enumerados en el paso 3.
Para ilustrar el paso 4, algunas de las opciones
estratégicas que se tienen para abordar las
prioridades identificadas son:
• Revisar las prácticas seguidas por la EFS para
determinar el alcance de la auditoría;
• Actualizar la metodología existente para la
documentación de archivos, evaluación de
riesgos y planificación de las auditorías de
cumplimiento;
• Mejorar la capacidad del equipo para
documentar su trabajo de auditoría; y
• Desarrollar un sólido sistema de aseguramiento
de la calidad.
Experiencia
Página 103
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"
Paso 5: Seleccionar las opciones estratégicas
de la EFS
Una vez que el equipo ha formulado las distintas
opciones estratégicas, deberá valorar las
alternativas dentro del contexto de varios factores
clave que pudieran determinar la factibilidad de las
estrategias. Por lo tanto, al evaluar las opciones el
equipo deberá considerar la disponibilidad de
recursos, el tamaño de la EFS, los años de
experiencia en la conducción de auditorías de
cumplimiento y la dinámica del ambiente en el que
opera. Todos estos factores requieren de una
consideración cuidadosa, ya que implican aspectos
complejos que son capaces de afectar
negativamente las iniciativas o estrategias
propuestas durante la implementación.
Cada opción estratégica identificada en el paso 4
se someterá a evaluación y se examinará con
respecto a varios factores para justificar la
factibilidad y beneficios de las estrategias
propuestas. Por lo tanto, la selección de las
opciones estratégicas para la implementación de
las ISSAI debe verse desde cuatro aspectos o
factores principales, tal como se muestra en la
Figura 8.4.
i. Recursos
La elección de una opción estratégica debe tomar
en cuenta la disponibilidad de los recursos, tanto
humanos como financieros. Es muy común,
especialmente en las EFS de los países en
desarrollo, que este aspecto tenga demasiado
peso al determinar la elección de las alternativas
disponibles. Debido a que algunas de las
estrategias propuestas pueden implicar un reajuste
en la práctica de las auditorías de cumplimiento, lo
que puede incluir reformas institucionales, el
desarrollo y armonización de las leyes existentes y
la elaboración de manuales y políticas, la
consideración sobre los recursos es fundamental
en todas las iniciativas propuestas. Los recursos
humanos e institucionales también son vitales al
determinar si la EFS tiene la capacidad para poner
en práctica las estrategias propuestas.
ii. Tamaño
En general, las EFS pequeñas pueden encontrar
más difícil la implementación de las estrategias
propuestas, ya que es probable que cuenten con
recursos limitados para llevar a cabo otros
proyectos además de las actividades de auditoría
establecidas por mandato en comparación con las
EFS más grandes. Sin embargo, éste puede no ser
el caso para todas las situaciones, dependiendo
del contexto local y otros factores. Por lo tanto, el
equipo deberá considerar las diferentes opciones
tomando en cuenta el tamaño de la EFS.
iii. Experiencia
Existen EFS con distintos grados de experiencia en
auditorías de cumplimiento. La regla general es
que las EFS con más años de experiencia pueden
tener cierta ventaja en la implementación de las
estrategias en comparación con las EFS que
apenas están empezando o no tienen experiencia
en la conducción de auditorías de cumplimiento.
Por lo tanto, la selección de las opciones
estratégicas también puede depender en gran
medida del número de años que la EFS lleva
realizando estas auditorías.
iv. Ambiente
La viabilidad y factibilidad de las estrategias de
implementación de las ISSAI para auditorías de
cumplimiento también dependerá en gran medida
del ambiente en el que la EFS está operando
actualmente. Por lo tanto, el equipo también
deberá analizar el ambiente desde varios aspectos,
incluyendo la diversidad social, económica, política
y cultural para seleccionar las opciones
estratégicas más viables. Es importante recordar
que cada EFS opera en ambientes completamente
diferentes y puede no haber una estrategia única
que se adapte a todas ellas. Existen EFS con un
esquema institucional estructurado bajo el sistema
de tribunales o bajo el sistema Westminster
(parlamentarista), dependiendo del sistema político
del país. Del mismo modo, cada EFS opera en un
país con un nivel diferente de desarrollo
socioeconómico y con diferentes creencias y
valores culturales, por lo que imponer una sola y
única estrategia podría no tener sentido. Desde
una perspectiva geográfica más amplia todas las
EFS alrededor del mundo pertenecen a uno de los
muchos grupos regionales, como ASOSAI,
AFROSAI-E, ARABOSAI, CAROSAI, CREFIAF,
EUROSAI, PASAI y OLACEFS. Sin embargo,
también es posible que no todas las EFS bajo el
Página 104
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

mismo grupo regional tengan una situación en
común, lo que requerirá de un conjunto único y
diferente de estrategias acorde a las necesidades
específicas de la EFS y a la situación que impera
en su ambiente.
En el ejemplo de la EFS X, ésta formuló una lista
de opciones estratégicas como las descritas en el
paso 4. Asumiendo la disponibilidad de recursos, el
tamaño pequeño de la EFS, el nivel moderado de
experiencia en la conducción de auditorías de
cumplimiento y un ambiente favorable para la
implementación de las opciones estratégicas
seleccionadas, la EFS eligió las siguientes
opciones (paso 5):
• Actualizar la metodología existente para la
documentación de archivos, evaluación de
riesgos y planificación de las auditorías de
cumplimiento;
• Desarrollar un sólido sistema de aseguramiento
de la calidad.
promotor y tendrá un papel más importante en el
éxito o fracaso de la implementación. Por lo tanto,
el apoyo del titular de la EFS a las estrategias de
implementación de las ISSAI es esencial.
En el ejemplo de la EFS X, a partir de las dos
opciones estratégicas la EFS X decidió actualizar
la metodología existente para la documentación de
archivos, evaluación de riesgos y planificación de
las auditorías de cumplimiento, para lo cual formuló
un plan de acción.
La siguiente sección describe el proceso de
formulación de un plan de acción en los cuatro
dominios identificados en el paso 2. En la Tabla 8.4
se muestra un ejemplo y se proporciona un formato
para preparar el plan de acción.

Nota: es importante recordar que éste es

solamente un ejemplo con fines informativos y
puede no ser válido para todo tipo de situaciones.

Paso 6: Formular la estrategia de

implementación de las ISSAI para las auditorías
de cumplimiento

La implementación de estrategias toma tiempo y

más aún para las EFS que apenas empiezan. Para
lograr la implementación de estrategias a gran
escala se recomienda dar pequeños pasos en una
o dos estrategias fáciles en las que la EFS tenga
alguna confianza y experiencia. Comenzar con
estrategias fáciles y pequeñas le proporcionará
valiosas lecciones y experiencias que le permitirán
no tener que lidiar más adelante con estrategias
complicadas que pueden requerir un reajuste
mayor en la práctica de las auditorías de
cumplimiento.

Por lo tanto, el equipo deberá tomar en

consideración todos los factores discutidos arriba al
determinar la estrategia de implementación más
viable. Sin embargo, en esta etapa también es muy
importante que el equipo diseñe un proceso para
que el titular de la EFS y la alta dirección participen
en la selección de las opciones estratégicas más
viables. De hecho, la alta dirección es el principal

Página 105
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

8.3 FORMULACIÓN DE UN PLAN DE ACCIÓN

El plan de acción seguirá después de haber realizado el análisis
FODA y una vez que se ha pasado por el análisis de las
necesidades. Éste se presenta en forma de cuatro dominios, junto
con los problemas que se han identificado. A continuación se puede
ver un ejemplo del plan de acción para uno de los dominios:
Independencia y marco legal.

Tabla 8.4: Ejemplo y formato de preparación de un plan de acción

Dominio 1: Independencia y marco legal

Acciones/pasos
[¿Qué se hará?]
Lanzar una iniciativa y trabajar 4° trimestre
de cerca con el
Parlamento/Congreso para
hacer cumplir la disposición de
autonomía financiera de la
EFS X.
Lanzar una iniciativa y trabajar 4° trimestre
de cerca con el
Parlamento/Congreso para
proponer cambios a la ley y
darle al mandato de la EFS X
la autonomía suficiente para la
contratación y desarrollo
profesional de los auditores.
Establecer la prioridad de las
asignaciones para las
auditorías de acuerdo con los
recursos humanos y
financieros disponibles y con
la capacidad del personal.
Calendario Persona(s) Recursos Evaluación
de trabajo responsable(s)
[Humanos/Financieros/ [¿Cómo sabrá la EFS que
[¿Cuándo?] [¿Quién lo hará?] Equipo/Herramientas, está progresando? ¿Cuáles
etc.] son los puntos de referencia?
Titular de la EFS Grupo de trabajo Al hacer cumplir la
de 2014 y representante disposición de autonomía
legal financiera.
Titular de la EFS Grupo de trabajo Al aprobar la enmienda para
de 2014 y representante la autonomía en la
legal contratación de la EFS X
propuesta al Parlamento o
Congreso.
4° trimestre Jefes de División Sin costo • Al clasificar a las entidades
de 2014 en tres categorías: A, B y C
[A: auditoría anual; B:
auditoría una vez cada dos
años; y C: auditoría una
vez cada tres años].
• Al usar el monto del
presupuesto asignado a
las entidades, la naturaleza
y el perfil de riesgo como
criterios para la
categorización.

Aprobado por:
Firma: _______________________________ Fecha: ___________________________
Nombre: _____________________________ Puesto: __________________________

Página 106
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

8.4 COMPROMISO DE LA ALTA 8.5 LINEAMIENTOS PARA LA

DIRECCIÓN EN LA PREPARACIÓN DEL PLAN DE
IMPLEMENTACIÓN DEL PLAN ACCIÓN
DE ACCIÓN
Al traducir estas opciones en un plan de acción, la
EFS necesitará identificar las actividades, el
Una vez que se ha preparado el plan de acción con
calendario de trabajo, los recursos necesarios y la
base en la serie de problemas a los que se
responsabilidad. Los planes de acción deberán
enfrenta la EFS para la implementación de las
evaluarse de manera continua para asegurar que
ISSAI, el mismo deberá presentarse al titular de la
la implementación de las ISSAI siempre siga por
EFS ya que el éxito de la implementación
buen camino. Después de completar el plan de
dependerá de su compromiso y dirección.
acción, éste deberá discutirse a nivel de dirección
Asimismo, el calendario de trabajo y los recursos
con el funcionario responsable y ser aprobado por
indicados en el plan de acción deberán acordarse y
el titular de la EFS.
ser aprobados por el titular de la EFS.
i. Identificación de las actividades para alcanzar
Para demostrar su compromiso con la
el resultado final
implementación del plan de acción, por ejemplo, el
titular de la EFS deberá emitir una orden ejecutiva
Al identificar las actividades, la EFS deberá hacer
para hacer que los funcionarios responsables
una lista de los proyectos o mejoras a los procesos
cumplan con el calendario de trabajo establecido
que deberán llevarse a cabo para lograr el
en el plan y evaluar el resultado de las acciones
resultado final.
implementadas. La EFS también deberá desarrollar
una cultura de la transparencia en la que los
ii. Calendario de trabajo
funcionarios señalados en el plan de acción sean
responsables de cualquier falla que llegara a
También es vital para el plan de acción programar
ocurrir y en la que aquellos con un alto desempeño
cada tarea, por lo que la EFS necesitará elaborar
sean premiados según corresponda.
un calendario de trabajo en el que se indique la
realización o aprobación de cada tarea. La EFS
También es el papel del titular de la EFS buscar el
deberá determinar si las fechas de entrega son a
financiamiento necesario para implementar el plan
corto o largo plazo con base en sus prioridades y el
de acción, en especial en las áreas de capacitación
ambiente actual. Estas fechas deberán ser
y adquisición de equipo, y contar con la
realistas, alcanzables y dependerán del ambiente y
infraestructura necesaria para lograr dichos
la disponibilidad de recursos de la EFS. Las EFS
resultados.
más pequeñas quizá deban considerar la
reasignación de funciones y deberes o el personal
Debido a que la implementación de las ISSAI
deberá desempeñar múltiples funciones debido a la
puede ser un área completamente nueva para
falta de personal dedicado exclusivamente a la
algunas EFS, la gestión y adaptación a dichos
realización de estas actividades. Esto podrá
cambios a menudo se vuelve difícil. Por lo tanto, la
requerir más tiempo para realizar las tareas. En
alta dirección de la EFS deberá comprometerse a
cuanto a la obtención de fondos, ésta deberá ser a
impulsar el cambio. El titular de la EFS podrá
largo plazo, ya que algunas EFS deben pasar por
delegar la responsabilidad por la implementación
un proceso presupuestario.
del plan de acción; sin embargo, deberá asumir la
responsabilidad final de la misma.
iii. Recursos necesarios

Las EFS necesitan considerar los recursos

necesarios para implementar las soluciones. Estos
recursos podrán ser de financiamiento, experiencia
técnica, materiales, equipo, recursos humanos y

Página 107
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

sistemas entre otros. La EFS también necesitará las EFS de los países en vías de desarrollo trabaja
considerar el costo de estos recursos con base en con recursos limitados. Todos estos pasos se han
su ambiente y su situación actual. ilustrado a través del ejemplo de la EFS X.

iv. Funcionario responsable Las diferencias entre las prácticas o la situación

Para que una estrategia tenga éxito, el recurso
humano constituye uno de los factores más
importantes. Por lo tanto, la EFS necesita
considerar a las personas que llevarán a cabo las
diferentes tareas. Las personas elegidas serán las
responsables y actuarán como agentes de cambio
para lograr que toda los funcionarios afectados por
el proyecto o la estrategia participen con el fin de
obtener su apoyo y compromiso. Las tareas y
actividades deberán traducirse en un plan de
trabajo individual para cada funcionario
responsable.
v. Supervisión del plan
También deberán tomarse medidas para la
supervisión del plan. Esto deberá hacerse para
medir la realización oportuna de las tareas y
actividades planeadas, identificar problemas y
recomendar medidas de contingencia.
actual de la EFS y los requisitos de las ISSAI se
explican a través de una relación causal
identificada en el análisis FODA realizado para la
EFS. Este análisis ayuda a determinar varias
fortalezas y debilidades y establecer la posición de
la EFS. Al integrar los resultados de ambas
herramientas, iCAT y FODA, se revela una serie de
problemas estratégicos que pueden requerir de
intervención. Resulta interesante señalar que
muchas de las deficiencias identificadas tienen una
relación causal con las carencias que se
encuentran en el estrato superior de los cuatro
dominios identificados bajo el Nivel 2. Por lo tanto,
la clave para la implementación de prácticas
sólidas de auditoría de cumplimiento en la EFS
radica en eliminar las carencias que tienen su
origen en los principales dominios del nivel 2.

8.6 CONCLUSIÓN
La formulación de una sólida estrategia de
implementación de las ISSAI para las auditorías de
cumplimiento es clave para la adopción de una
práctica de auditorías de cumplimiento que sea
consistente y cumpla con los requisitos de las
ISSAI. El enfoque estructurado propuesto en este
capítulo puede resultar útil para el equipo o los
facilitadores de las ISSAI al momento de formular
la estrategia de implementación para sus
respectivas EFS.

El proceso paso a paso toma en cuenta diversos

factores que deben considerarse bajo cada etapa,
desde la aplicación de la iCAT hasta la realización
del análisis FODA, el cual ayudará a determinar las
prioridades, explorar estrategias alternativas y
seleccionar las opciones estratégicas más viables
de acuerdo a la naturaleza, experiencia y ambiente
de la EFS. La selección de las opciones
estratégicas también toma en cuenta la
disponibilidad de recursos, ya que la mayoría de

Página 108
Curso de capacitación virtual de IDI para la
"Implementación de las ISSAI de Auditoría de Cumplimiento"

Acerca del Programa 3i de IDI

El Programa de Iniciativas de Implementación de las ISSAI (Programa 3i) es un programa
global lanzado por la IDI en apoyo a la implementación de las ISSAI. Mientras que las
actividades del programa en las cinco regiones de la INTOSAI de habla inglesa iniciaron en
2012, las actividades en las regiones de idioma árabe, francés y español inician en 2014.

Socios
El Programa de Implementación de las ISSAI es un proyecto conjunto entre el Comité de
Normas Profesionales de INTOSAI, sus subcomités de Auditoría Financiera, de Desempeño y
de Cumplimiento, el Comité para la Creación de Capacidades de INTOSAI y las regiones de
habla inglesa correspondientes. El objetivo del programa es crear la capacidad necesaria para
la implementación de las ISSAI de auditoría financiera (incluyendo las auditorías de
cumplimiento) y auditorías de desempeño de Nivel 4 en las cinco regiones de habla inglesa de
AFROSAI-E, ASOSAI, CAROSAI, EUROSAI y PASAI.

Página 109