Caso Enron: qué cambió en la auditoría mundial y qué seguimos sin aprender

En diciembre de 2001, Enron Corporation se declaró en quiebra y arrastró consigo a Arthur Andersen, una de las cinco grandes firmas de auditoría del mundo. Más de dos décadas después, el caso sigue siendo una referencia obligada para entender la auditoría actual. Conviene precisar desde el principio qué cambió y qué ya existía. El marco de control interno COSO se publicó en 1992, y una revisión de la norma internacional sobre fraude (ISA 240) se aprobó en marzo de 2001, antes de la quiebra, según el IAASB. Enron no inventó esos conceptos: aceleró y reforzó reformas que ya estaban en marcha.

Este artículo repasa qué ocurrió, qué cambió en Estados Unidos, en la Unión Europea y en España, y qué patrones seguimos sin corregir en el mid-market. Distinguimos entre hechos acreditados, interpretaciones profesionales e hipótesis.

El resumen del caso Enron cabe en cuatro hechos. Enron se declaró en quiebra el 2 de diciembre de 2001, en un procedimiento de reorganización (Chapter 11). Según la denuncia de la SEC contra su director financiero, Enron mantuvo fuera de su balance entidades de propósito especial que debían haberse consolidado, lo que ocultó deuda. Su auditor, la firma Arthur Andersen, fue declarada culpable de obstrucción a la justicia por un jurado federal el 15 de junio de 2002. El Tribunal Supremo de EE. UU. anuló esa condena el 31 de mayo de 2005 por defectos en las instrucciones al jurado, lo que no equivale a declarar inocente a la firma. La respuesta regulatoria fue la Ley Sarbanes-Oxley de 2002.

Qué fue Enron: una empresa energética convertida en máquina financiera#

Enron surgió de la fusión de Houston Natural Gas e InterNorth, dos compañías de gasoductos, y adoptó ese nombre en 1986. A lo largo de los años noventa se transformó en algo muy distinto: una plataforma de trading de energía y derivados que llegó a cotizar como una de las empresas más admiradas de Estados Unidos. Su informe anual de 2000 recoge unos ingresos totales de 100.789 millones de dólares. Según una antología de materiales del caso publicada por la Universidad de Chicago, Fortune la situó de forma reiterada como la empresa más innovadora de Estados Unidos.

La clave de esa transformación fue contable. Enron adoptó de forma agresiva el método de mark-to-market accounting (valoración a precio de mercado) para contratos energéticos a largo plazo. En la práctica, esto significaba reconocer en el momento de la firma el valor presente estimado de beneficios futuros que podrían materializarse o no años más tarde. Según el informe del Senado de Estados Unidos de octubre de 2002, la Oficina del Contable Jefe de la SEC envió a Enron, el 30 de enero de 1992, una carta de «no objeción» al método contable que proponía para una filial. Ese informe describe también una venta de activos a una entidad controlada por Fastow a un precio inflado.

A esta agresividad contable se sumó un segundo mecanismo: las Special Purpose Entities (SPE), vehículos jurídicos creados para sacar deuda y activos problemáticos del balance consolidado. Bajo las reglas contables de la época, una SPE podía quedar fuera de la consolidación si un tercero independiente aportaba una parte suficiente de su capital. Enron creó numerosas estructuras de este tipo —algunas, como LJM o Raptor, tienen nombre propio— y algunas, como LJM, fueron dirigidas por directivos de la compañía.

Varios directivos de la cúpula acabaron ante la justicia penal. Tres de ellos fueron los más conocidos. Andrew Fastow, director financiero, se declaró culpable de dos cargos de conspiración (fraude de valores y fraude electrónico) el 14 de enero de 2004 y aceptó cooperar con la investigación. Jeffrey Skilling, consejero delegado, fue declarado culpable de 19 de los 28 cargos que se le imputaban el 25 de mayo de 2006. Este artículo solo recoge ese veredicto de 2006 y no revisa los recursos posteriores. Kenneth Lay, presidente, fue declarado culpable ese mismo día de los seis cargos del juicio con jurado y, en un juicio sin jurado, de un cargo de fraude bancario y tres de falsas declaraciones a bancos. Murió el 5 de julio de 2006, antes de que se dictara sentencia. El 17 de octubre de 2006 un juez federal anuló su condena, de modo que no tiene condena firme.

El caso también llegó al cine: el documental Enron: The Smartest Guys in the Room (2005) fue nominado al Óscar al mejor documental en la edición de 2006, con Alex Gibney y Jason Kliot como nominados. El premio fue para March of the Penguins.

El papel de Arthur Andersen: consultoría, obstrucción y el informe de 2001#

El Tribunal Supremo describe a Arthur Andersen como auditor de los estados financieros publicados de Enron, a la que además prestaba servicios de auditoría interna y de consultoría. Esa combinación de funciones sobre un mismo cliente es el núcleo del conflicto de independencia que se ha señalado desde entonces.

El debate sobre independencia no se agota en los honorarios. La condena penal de la firma se refiere a la destrucción de documentación relacionada con el cliente: un jurado federal declaró culpable a Arthur Andersen de obstrucción a la justicia el 15 de junio de 2002. La firma fue acusada formalmente, y la condena fue confirmada después por el Tribunal de Apelación del Quinto Circuito (374 F.3d 281). El Tribunal Supremo de EE. UU. revocó por unanimidad esa condena el 31 de mayo de 2005 porque las instrucciones al jurado no exigían la culpabilidad que requiere el delito; no declaró inocente a la firma. El mismo 15 de junio de 2002, Andersen había informado a la SEC de que dejaría de ejercer ante ella a más tardar el 31 de agosto de 2002, salvo que la SEC fijara otra fecha. De las Big Five se pasó a las Big Four que conocemos hoy.

Antes de la quiebra, Andersen ya había emitido un informe sobre el control interno de Enron. El 23 de febrero de 2001, en el informe anual de 2000 de la compañía, la firma incluyó un informe de examen sobre la afirmación de la dirección acerca del sistema de control interno (página 30 del documento impreso), que cubría las fechas de 31 de diciembre de 1998, 1999 y 2000. Era un trabajo de aseguramiento sobre lo que la dirección afirmaba, realizado con las normas profesionales de la época. No equivale al régimen actual de la sección 404 de SOX, que exige a la dirección evaluar el control interno y, en las emisoras sujetas a la 404(b), a su auditor emitir un informe de atestación sobre esa evaluación. La lección no es que faltara una evaluación, sino qué alcance tuvo, con qué evidencia y con qué escepticismo se hizo. La existencia de evaluaciones e informes sobre controles no garantiza por sí sola la detección de fraudes significativos.

Leído desde el marco actual, el caso ilustra lo que la NIA-ES 240 sobre el fraude pide evaluar: incentivos intensos de la dirección y estructuras complejas sin justificación de negocio. Que esas señales existían lo recogen las acusaciones del Gobierno federal y los informes del Senado de 2002. Si el equipo de auditoría las valoró con escepticismo profesional es una cuestión de juicio que ninguna resolución judicial resuelve, porque las sentencias citadas se refieren a la obstrucción y al procedimiento penal.

Sarbanes-Oxley: la respuesta regulatoria de Estados Unidos#

El 30 de julio de 2002, el presidente George W. Bush firmó la Sarbanes-Oxley Act (SOX), una de las reformas regulatorias más amplias en la historia financiera estadounidense. El texto de la ley en su versión original de 2002 es la fuente primaria de lo que sigue:

• Creación del PCAOB (Public Company Accounting Oversight Board). La ley lo estableció como una corporación privada sin ánimo de lucro, sujeta a la supervisión de la SEC, con funciones de inspección, sanción y elaboración de normas para las firmas que auditan emisoras. Antes, la supervisión de la profesión descansaba sobre todo en la autorregulación del sector. La sección 101(d) condicionó su funcionamiento a una determinación de la SEC de que el organismo estaba organizado y podía operar.
• Sección 302 — certificación de los informes periódicos. El consejero delegado y el director financiero certifican personalmente, en cada informe anual y trimestral, que han revisado el informe y que no contiene declaraciones falsas relevantes; que los estados financieros reflejan fielmente la situación; que son responsables de los controles internos y los han evaluado, y que han informado al auditor y al comité de auditoría de las deficiencias significativas y de las debilidades materiales del control interno, y de cualquier fraude, sea o no material, que afecte a la dirección y a otros empleados con un papel significativo en el control interno. La sección 302 no exige una opinión del auditor.
• Sección 906 — sanciones penales. Añade una certificación escrita de esos mismos directivos que acompaña a los informes periódicos y fija el régimen penal. Certificar a sabiendas un informe que no cumple puede acarrear hasta 1 millón de dólares de multa, 10 años de prisión o ambas; si la certificación es deliberada, hasta 5 millones de dólares, 20 años de prisión o ambas.
• Sección 404 — control interno sobre la información financiera (ICFR). La dirección debe evaluar la eficacia del control interno sobre la información financiera y reportarla (404(a)). El auditor debe atestiguar esa evaluación (404(b)), pero no en todas las emisoras: la ley original lo exigía a todas; la ley Dodd-Frank (2010, sección 989G) eximió de forma permanente a las que no son aceleradas ni grandes aceleradas, la JOBS Act (2012) a las emisoras de crecimiento emergente durante un máximo de cinco años y la SEC excluyó en 2020 de las categorías de aceleradas a las pequeñas empresas informantes con ingresos anuales inferiores a 100 millones de dólares. Las definiciones de «acelerada» y «gran acelerada» están en la regla 12b-2 de la SEC, no en la ley. A 26 de octubre de 2026, esta clasificación está en revisión: la SEC propuso el 19 de mayo de 2026 simplificar las categorías de emisoras (la propuesta se publicó en el Federal Register el 21 de mayo), y no es definitiva.
• Sección 201 — servicios prohibidos. La ley enumera servicios que la firma auditora no puede prestar al mismo cliente durante la auditoría: contabilidad y registros, diseño e implantación de sistemas de información financiera, valoraciones, servicios actuariales, externalización de la auditoría interna y funciones de dirección o de recursos humanos, entre otros. Los demás servicios, como los fiscales, exigen la aprobación previa del comité de auditoría.
• Sección 203 — rotación del socio firmante. La firma no puede auditar a un emisor si el socio responsable, o el que revisa el encargo, ha prestado servicios de auditoría a ese mismo emisor en cada uno de los cinco ejercicios anteriores.

Muchas de las medidas de SOX responden a problemas que el caso Enron puso de manifiesto: la responsabilidad personal de la dirección en la certificación, la supervisión de la profesión y la mezcla de auditoría y consultoría sobre el mismo cliente. Conviene leerla como una respuesta acelerada a debates que ya existían, no como la invención de esos conceptos. El marco de control interno de referencia, COSO, se publicó en 1992.

SOX, Europa y España: tres marcos distintos#

Europa siguió su propio camino normativo, con reglas propias. En su redacción original, la Directiva 2006/43/CE exigía a las entidades de interés público la rotación del socio principal tras un máximo de siete años y un periodo de enfriamiento de dos años (art. 42.2); hoy esa regla está en el art. 17.7 del Reglamento (UE) 537/2014, con tres años de enfriamiento. Para la firma, el art. 17 fija una duración máxima de diez años, que cada Estado puede ampliar a veinte con licitación pública o a veinticuatro con auditoría conjunta. En España, el artículo 40.1 de la Ley 22/2015 permite prorrogar, tras los diez años, hasta catorce años adicionales con auditoría conjunta, o hasta diez años si hay convocatoria pública de ofertas (24 y 20 años en total). La Directiva 2014/56/UE y el Reglamento reforzaron después el marco para las entidades de interés público con una lista de servicios prohibidos con reglas propias, que no es la de SOX 201, y comités de auditoría con competencias reforzadas. Por eso no conviene leer la norma europea como una simple transposición de SOX.

En España, el marco vigente es la Ley 22/2015 de Auditoría de Cuentas, supervisada por el ICAC, junto con la adopción de las Normas Internacionales de Auditoría como NIA-ES. El marco ISA del IAASB, que estructura el trabajo en torno a la identificación de riesgos, el control interno y la materialidad, es hoy el lenguaje común de la profesión. Cuando un auditor aplica la NIA-ES 315 (Revisada), sobre riesgos de incorrección material o emite un informe según la NIA-ES 700, usa un marco cuya forma actual se ha ido construyendo en las dos décadas posteriores a Enron, en paralelo a las reformas de Estados Unidos y de la Unión Europea. Atribuir todo ese recorrido a Enron sería simplificar: el caso aceleró algunas reformas y dejó una referencia didáctica. Esta lectura es una interpretación profesional, no un dato.

El concepto de control interno sobre la información financiera —que en SOX 404 se hizo explícito y exigible— se ha incorporado de forma transversal al razonamiento del auditor. Ya no es posible planificar un encargo sin comprender los procesos de control del cliente y evaluar si los riesgos identificados están mitigados. Las cotizadas informan sobre su sistema de control interno sobre la información financiera (SCIIF). En España no existe una obligación legal equivalente a la de la sección 404(b): el auditor no tiene que opinar sobre su eficacia, aunque cabe un encargo voluntario de aseguramiento razonable. En la auditoría de cuentas, el auditor obtiene conocimiento del control interno que le interesa para su trabajo (NIA-ES 315).

Los paralelismos españoles: Bankia, Pescanova, Gowex, Koldo#

España ha tenido su propia secuencia de casos. Ninguno alcanza la magnitud de Enron, y cada uno tiene una identidad jurídica distinta:

• Bankia (2011-2012): la entidad salió a bolsa el 20 de julio de 2011 y en mayo de 2012 reformuló las cuentas de 2011, que pasaron de un beneficio a unas pérdidas de varios miles de millones de euros. La Audiencia Nacional absolvió a los 34 acusados el 29 de septiembre de 2020 y el Tribunal Supremo confirmó esas absoluciones por sentencia de 24 de octubre de 2022 (núm. 839/2022). En la vía contencioso-administrativa, la Audiencia Nacional anuló en junio de 2025 las tres sanciones que el ICAC había impuesto en 2014 a la firma auditora y a su socio por sus trabajos sobre los estados financieros de marzo y junio de 2011, y tomó como base los hechos probados de la sentencia penal. Ninguna de estas resoluciones declara una infracción profesional de la firma ni de su socio. Se cita por el debate técnico que abrió.
• Pescanova (2013): la crisis estalló entre febrero y abril de 2013. Los hechos probados describen ventas ficticias, operaciones de factoring y neteos que ocultaban la situación real de la compañía en las cuentas de 2010 y 2011 y en la información financiera hasta 2012. El Tribunal Supremo condenó el 10 de febrero de 2023 al expresidente a seis años de prisión y absolvió al auditor externo y a la firma auditora, que la Audiencia Nacional había condenado. La sentencia de instancia consideró descuidada la actuación del auditor; el Supremo concluye que no se acredita un delito doloso. El parecido con Enron es limitado: los mecanismos son distintos, aunque en ambos casos las cuentas se alejaban de la realidad.
• Gowex (2014): el 1 de julio de 2014 Gotham City Research publicó un informe crítico sobre la compañía. Según la prensa económica de la época, el 6 de julio siguiente la compañía comunicó al MAB que sus cuentas de, al menos, los últimos cuatro ejercicios no reflejaban la imagen fiel. El procedimiento penal seguía pendiente de juicio en la última información pública que hemos podido verificar. No hemos localizado una sentencia posterior.
• Caso mascarillas (conocido como caso Koldo, 2024-2026): el Tribunal Supremo dictó el 22 de junio de 2026 la sentencia 418/2026 (ECLI:ES:TS:2026:2553), en la causa especial 20775/2020, que condena a Ábalos y a Koldo García por organización criminal, cohecho, tráfico de influencias y malversación, y a Víctor de Aldama por organización criminal y cohecho; absuelve de otros delitos imputados, entre ellos prevaricación. No es un caso de información financiera: su objeto son la contratación pública y las gestiones ante la Administración y las empresas públicas, y su interés para el auditor está en los controles administrativos y la segregación de funciones. La pieza de obra pública se remitió a la Audiencia Nacional en febrero de 2026. El Supremo desestimó después los incidentes de nulidad (prensa del 14 de octubre de 2026); la prensa consultada no informa de que se haya presentado amparo ante el Tribunal Constitucional. Lo desarrollamos en detalle en el análisis del caso Koldo, junto a Bankia y Pescanova, desde el control interno y el compliance penal.

Los casos no comparten un patrón único. Pescanova presenta, según los hechos probados, estructuras opacas y riesgo sobre la información financiera. Según la nota resumen de la sentencia, en Koldo no se describen controles de información financiera: la lectura de este artículo es que los controles de contratación pública no frenaron adjudicaciones a una empresa vinculada con uno de los acusados. En Bankia, las resoluciones citadas absuelven y no declaran probados incentivos inadecuados ni opacidad; en Gowex no hay hechos declarados probados por sentencia penal. No atribuimos a ninguna firma auditora fallos o responsabilidades que las resoluciones no declaran.

Nota sobre estos casos: se citan por su valor pedagógico. Los datos judiciales proceden de notas del Poder Judicial y de la nota resumen de la sentencia del caso Koldo, consultadas el 27 de octubre de 2026 (la sentencia de la Audiencia Nacional sobre Bankia en la vía contencioso-administrativa es ECLI:ES:AN:2025:2642). Ninguna mención implica juicio sobre personas concretas y, donde no hay sentencia firme, rige la presunción de inocencia.

Tres puntos de atención para el mid-market español#

Más de dos décadas después, hay tres áreas que merecen atención especial en las firmas medianas y pequeñas españolas.

1. Concentración de clientes. La Ley 22/2015 obliga al auditor a abstenerse de auditar el ejercicio siguiente de una entidad cuando los honorarios de la auditoría y de otros servicios distintos de ella representan más del 30 % del total de sus ingresos anuales en los tres últimos ejercicios consecutivos (art. 25 de la Ley y art. 64.1.b del Reglamento). El artículo 64 del Reglamento aprobado por el Real Decreto 2/2021 fija el 35 % para auditores y sociedades pequeñas (art. 64.5) y, en ciertos supuestos, el 40 % para entidades que no son de interés público (art. 64.3). En las entidades de interés público el umbral baja al 15 % (art. 41.2). En ese caso, si la sociedad de auditoría es pequeña o mediana, la comisión de auditoría puede autorizar, excepcionalmente, por una sola vez y con la motivación que exige la ley, que siga con la auditoría del ejercicio siguiente; la autorización debe darse antes de iniciar ese trabajo y, en todo caso, antes de que finalice el ejercicio (art. 86.1 del Reglamento). El límite legal no agota el riesgo. Por ejemplo, un cliente que no es de interés público y pesa un 20 % de la facturación de una firma pequeña puede condicionar su independencia aunque la ley no obligue a renunciar.

2. Independencia efectiva, no formal. Las memorias del ICAC permiten un dato con matices. En las inspecciones del sistema de control de calidad, la categoría de ética e independencia concentró el 30 % de los requerimientos de mejora en 2024 y el 49 % en 2025 (Memoria 2024, tabla 11; Memoria 2025, tabla 15). Son porcentajes del total de requerimientos de cada año, no de firmas incumplidoras, y las categorías de ambas tablas no coinciden: el dato no permite afirmar que la situación empeorara. Lo que sí indica es dónde se concentran las deficiencias. La independencia material, la capacidad real de mantener una posición incómoda frente al cliente, depende de factores que el papel no captura: el tamaño relativo del cliente, los vínculos personales o la expectativa de continuidad. La brecha entre independencia formal y efectiva es, por ahora, una hipótesis de trabajo, no una conclusión estadística.

3. Comisiones de auditoría fuera de las entidades de interés público. El régimen reforzado de la comisión de auditoría se aplica a entidades de interés público, y gran parte del tejido empresarial español auditado opera fuera de ese perímetro. En sociedades medianas, la comisión de auditoría, cuando existe, puede carecer de la independencia, la dedicación o el conocimiento técnico que presupone el marco anglosajón. Es una hipótesis que conviene contrastar con datos: las fuentes que hemos consultado no miden de forma sistemática esas características en las sociedades no cotizadas.

A esto se suma una cuestión estructural más amplia, que tratamos en el análisis del modelo de auditoría de cuentas en España: los incentivos económicos del encargo no han cambiado de forma sustancial. Mientras quien paga la auditoría sigue siendo, en la práctica, el auditado, las condiciones que hicieron posible Enron pueden seguir presentes, aunque atenuadas por el marco normativo. Es una interpretación profesional, no un dato.

Lecciones para el auditor de hoy#

Releer Enron desde 2026 no es un ejercicio histórico, sino metodológico. Hay cinco lecciones que el marco actual permite extraer y aplicar a cualquier encargo, sea cotizado o de pyme:

• Una evaluación de controles no garantiza detectar el fraude. Enron tuvo en 2001 un informe de control interno de su auditor, y eso no impidió que meses después salieran a la luz los problemas. Lo que importa es el alcance de la evaluación, la evidencia que la respalda y el escepticismo con que se hace.
• El escepticismo profesional es un acto, no un atributo. No basta con declararlo en los papeles de trabajo; debe traducirse en preguntas específicas a la dirección sobre operaciones inusuales, estructuras complejas y partidas estimadas.
• La complejidad sin justificación de negocio es un indicador de riesgo. Cuando una operación requiere varias entidades vinculadas, contratos cruzados o valoraciones internas, la pregunta no es si es legal, sino por qué es necesaria.
• Los incentivos a la dirección forman parte del riesgo de fraude. El anexo 1 de la NIA-ES 240 recoge como factor de riesgo que una parte significativa de la retribución de la dirección, como las primas o las opciones sobre acciones, dependa de objetivos excesivos de cotización, resultados o flujos de efectivo. El auditor debe ponderar ese factor al diseñar sus procedimientos.
• El control interno se evalúa por su funcionamiento, no por su existencia. Tener un manual de procedimientos no es tenerlo implementado. Probar el control implica revisar evidencias de su ejecución durante todo el ejercicio.

Si Enron se auditara hoy: qué riesgos exigirían atención especial#

Este ejercicio es hipotético. Aplica el marco vigente a los riesgos que el caso dejó a la vista. No atribuye a Arthur Andersen normas que no existían en 2001, ni traslada a 2001 el marco contable español, ni sustituye el juicio sobre un encargo concreto.

La aplicación depende de la entidad, de su marco de información financiera y del tipo de encargo.

Una reflexión final#

La auditoría se apoya en el juicio profesional y en la calidad de la evidencia, y ninguna norma sustituye al escepticismo con que se aplica. Enron dejó una lección incómoda: que existan procedimientos no garantiza que funcionen. La NIA-ES 240 parte de una seguridad razonable, no absoluta, y advierte de que las limitaciones inherentes pesan especialmente en el fraude (apartados 5 y 6). Ante un fraude, la norma exige informar a quien dirige la entidad y, según los casos, a los responsables del gobierno de la entidad (apartados 41 a 43), y dejar constancia documental (apartados 45 a 47).

Neuroon Audit, el proyecto que impulsa este blog, sigue en desarrollo. Este artículo no describe funcionalidades del software.