«Programa de auditoría» tiene dos sentidos. En el trabajo de auditoría es el documento que recoge qué procedimientos se aplican a un área, con qué alcance y con qué conclusión. En un buscador, muchas veces significa software de auditoría. Este artículo usa la primera acepción: qué es un programa, en qué se diferencia del plan de auditoría y de la estrategia global, y qué dicen la NIA-ES 300 y la NIA-ES 330 de cada uno.
Lo esencial
- Un programa de auditoría es el documento de procedimientos de un área. Las NIA-ES lo citan como herramienta, pero no lo definen.
- La estrategia global fija el alcance, el momento y la dirección del encargo (NIA-ES 300, apartados 7 y 8). El plan baja al detalle de los procedimientos (apartado 9). El programa registra esos procedimientos para un área.
- La NIA-ES 330 exige que los procedimientos posteriores dependan de los riesgos valorados (apartado 6). La norma no pide un documento con ese nombre: el programa es una forma de dejarlo por escrito.
- Un programa estándar sirve si se adapta al encargo (NIA-ES 300, apartados A20 y A23).
- Se actualiza cuando cambian los riesgos o aparecen incorrecciones no esperadas (NIA-ES 300, apartado 10; NIA-ES 330, apartados 23 y 25).
¿Qué es un programa de auditoría?#
Las normas lo nombran, pero no lo definen. La NIA-ES 230 lo incluye entre los ejemplos de documentación de auditoría (apartado A3). La NIA-ES 300 habla de programas de auditoría estándar y de listados de comprobaciones que se adaptan al encargo (apartados A20 y A23). La NIA-ES 220 (Revisada) reconoce que una firma puede diseñar un programa para circunstancias concretas, como un programa específico para un sector (apartado A9).
En la práctica, un programa de auditoría es el papel que recoge, para un área o un ciclo, el enfoque, los procedimientos que se van a aplicar, su extensión prevista, los resultados y la conclusión. Cada firma fija su formato; la norma no lo prescribe.
¿Es lo mismo que un software de auditoría?#
No. Un programa es un documento de trabajo. Un software de auditoría es una herramienta informática que ayuda a ejecutarlo. La propia NIA-ES 220 (Revisada) la usa en los dos sentidos: en el apartado A9, como programa de procedimientos de la firma, y en el A11, como programa informático de auditoría con un fallo de seguridad. Por eso, en un papel de trabajo conviene decir siempre de qué se habla.
¿Qué es el plan de auditoría según la NIA-ES 300?#
El plan es el documento de detalle que la NIA-ES 300 pide al auditor (apartado 9). Describe cuatro cosas:
- cómo se dirige, se supervisa y se revisa el trabajo del equipo (apartado 9, letra a);
- los procedimientos de valoración del riesgo, con la NIA-ES 315 como referencia (apartado 9, letra b);
- los procedimientos posteriores sobre las afirmaciones, con la NIA-ES 330 como referencia (apartado 9, letra c);
- cualquier otro procedimiento que las NIA exijan para cumplir con ellas en el encargo (apartado 9, letra d).
El plan baja a más detalle que la estrategia, porque incluye los procedimientos que aplicará cada miembro del equipo (apartado A15). Además, la planificación de los procedimientos posteriores depende del resultado de la valoración del riesgo. Por eso el plan no se cierra al principio del encargo.
¿Y la estrategia global?#
La estrategia global fija el alcance del encargo, cuándo se hace y con qué orientación, y sirve de guía para el plan (apartado 7). Para fijarla, el auditor tiene en cuenta las características del encargo, los objetivos de los informes, los factores que dirigen al equipo, las conclusiones de las actividades previas al inicio del encargo y los recursos necesarios (apartado 8, letras a a e).
En una entidad pequeña, la estrategia puede ser un memorando breve, actualizado con las conversaciones con la propiedad (apartados A13 y A23).
Estrategia, plan y programa: tabla de diferencias#
| Estrategia global | Plan de auditoría | Programa de auditoría | |
|---|---|---|---|
| Qué responde | Qué se audita, cuándo y con qué dirección | Qué procedimientos se aplicarán, por quién y cuándo | Cómo se ejecutan los procedimientos de un área concreta |
| Dónde lo trata la norma | NIA-ES 300, apartados 7 y 8 | NIA-ES 300, apartado 9 | No hay requisito con ese nombre; las NIA-ES lo citan como herramienta (NIA-ES 230, A3; NIA-ES 300, A20) |
| Documentación | Constancia escrita de las decisiones clave, por ejemplo en un memorando (NIA-ES 300, apartado 12, letra a, y A19) | Registro de la planificación de los procedimientos (NIA-ES 300, apartado 12, letra b, y A20) | Papel de área, que puede ser un programa estándar adaptado (NIA-ES 300, A20 y A23) |
| Cuándo cambia | Ante hechos inesperados o cambios en las condiciones (NIA-ES 300, apartado 10 y A18) | Igual que la estrategia, y cuando cambia la valoración del riesgo (NIA-ES 300, apartado 10; NIA-ES 330, apartados 23 y 25) | Con el plan del que forma parte |
| Revisión | El socio del encargo la revisa (NIA-ES 300, apartado 11) | El socio del encargo lo revisa (NIA-ES 300, apartado 11) | Sin requisito específico; depende de las políticas de la firma (NIA-ES 220 (Revisada)) |
La NIA-ES 300 no trata plan y programa como dos documentos distintos: en A20 el programa estándar es una forma de documentar el plan. Separar el plan, del encargo, y el programa, de cada área, es la práctica habitual de las firmas, no un requisito.
¿Qué pide la NIA-ES 330 sobre los procedimientos que luego recoge el programa?#
La NIA-ES 330 no pide un programa. Pide que los procedimientos posteriores tengan una naturaleza, un momento y una extensión que dependan de los riesgos valorados, y que respondan a ellos (apartado 6). Esa es la información que suele reflejar un programa. Lo que sí exige es dejar documentados la naturaleza, el momento y la extensión de los procedimientos aplicados, su conexión con los riesgos valorados y sus resultados (apartado 28, letras a a c). No dice en qué documento.
Los tres conceptos se entienden así. La naturaleza es el objeto del procedimiento, que puede ser una prueba de controles o una prueba sustantiva, y su tipo concreto, como un recálculo o una confirmación (apartado A5). El momento es cuándo se aplica, o a qué fecha o periodo corresponde la evidencia (apartado A6). La extensión es el volumen: por ejemplo, el tamaño de la muestra (apartado A7).
De riesgo a procedimiento#
Del texto se desprenden cuatro pasos, que van del riesgo al procedimiento:
- Motivos de la valoración. El auditor considera el riesgo inherente de cada tipo de transacción, saldo o información a revelar significativos, y, si cuenta con los controles, el riesgo de control (apartado 7, letra a).
- Fuerza de la evidencia. Cuanto más alta es la valoración del riesgo, más convincente debe ser la evidencia que se obtenga (apartado 7, letra b).
- Pruebas de controles. Se exigen cuando se espera que los controles funcionen o cuando las pruebas sustantivas no bastan por sí solas (apartado 8).
- Procedimientos sustantivos. Se diseñan y aplican sobre cada tipo de transacción, saldo o información a revelar material, sea cual sea el riesgo valorado (apartado 18).
¿Cómo se conectan la NIA-ES 300, la 315 y la 330?#
La NIA-ES 300 es la hoja de ruta. El plan incluye la valoración del riesgo, que la NIA-ES 315 (Revisada 2019) regula (apartado 9, letra b), y los procedimientos posteriores, que regula la NIA-ES 330 (apartado 9, letra c).
La NIA-ES 315 trata de identificar y valorar esos riesgos. La NIA-ES 330 diseña la respuesta a esos riesgos. El programa de cada área es donde esa respuesta queda escrita, con sus procedimientos, su muestra y su conclusión.
¿Se puede usar un programa estándar?#
Sí, siempre que se adapte. La NIA-ES 300 admite programas estándar o listados de comprobaciones adaptados a las circunstancias concretas del encargo (apartado A20). Para entidades pequeñas, los programas elaborados con la hipótesis de pocos controles pueden usarse si se adaptan también a las valoraciones de riesgo del auditor (apartado A23).
Un programa aplicado tal cual, sin adaptarlo, difícilmente responde a los riesgos de ese encargo, que es lo que pide la NIA-ES 330 (apartado 6).
¿Cuándo se actualiza?#
Durante todo el encargo. Estas son las reglas que la norma fija:
- La estrategia y el plan se actualizan y cambian cuando haga falta, por hechos inesperados, cambios en las condiciones o evidencia nueva (NIA-ES 300, apartado 10 y A18).
- Los cambios significativos se documentan con sus motivos, junto con los cambios en la naturaleza, el momento y la extensión de los procedimientos (NIA-ES 300, apartado 12, letra c, y A21).
- Si en una fecha intermedia aparecen incorrecciones que no estaban previstas en su valoración, evalúa si hay que modificar la valoración del riesgo y los procedimientos sustantivos que quedan para el resto del periodo (NIA-ES 330, apartado 23).
- Antes de terminar la auditoría, el auditor evalúa si sigue siendo adecuada la valoración que hizo de los riesgos (NIA-ES 330, apartado 25).
Errores frecuentes#
- Usar «programa» sin decir de qué se habla. Puede ser el documento de procedimientos o el software. Conviene aclararlo en el papel.
- Heredar el programa del encargo anterior sin revisar los riesgos del año. La respuesta a los riesgos tiene que basarse en la valoración de este encargo (NIA-ES 330, apartado 6).
- Cerrar el plan al principio. Los procedimientos posteriores dependen del resultado de la valoración del riesgo, y su planificación avanza durante la auditoría (NIA-ES 300, A15).
- Cambiar el plan sin dejar el motivo. Un cambio significativo sin explicación no se puede reconstruir después (NIA-ES 300, apartado 12, letra c, y A21).
- Tratar la estrategia como un trámite. Sirve para dejar constancia de las decisiones clave sobre la calidad del encargo (NIA-ES 300, A19).
Ejemplo ilustrativo con cifras supuestas#
Las cifras de este ejemplo son supuestas y no corresponden a ningún cliente. Imaginemos una sociedad con un saldo de existencias de 400.000 € (cifra supuesta), y una valoración de riesgo alta porque parte del inventario podría estar sobrevalorada (supuesto).
| Elemento del programa | Decisión ilustrativa |
|---|---|
| Riesgo valorado | Alto en la valoración de las existencias |
| Naturaleza | Prueba sustantiva de detalle: comprobación del valor de cada partida de la muestra frente a precios de venta posteriores al cierre (inspección de documentos y recálculo) |
| Momento | Una parte en una fecha intermedia y el resto después del cierre |
| Extensión | Una muestra de 30 partidas (cifra supuesta), que se amplía si aparecen excepciones |
| Conexión con el plan | Se registra en el plan como procedimiento posterior sobre la valoración (NIA-ES 330, apartado 6) |
Si en la fecha intermedia aparecen incorrecciones que no se esperaban, el auditor revisa la valoración del riesgo y los procedimientos que quedan (NIA-ES 330, apartado 23). Así el programa cambia por una razón documentada, no por costumbre.
Cómo lo recoge Neuroon Audit#
En Neuroon Audit, el plan de auditoría es el papel B-4, que cita la NIA-ES 300. Las áreas de base, planificación y cierre están siempre activas. Cada área de balance y resultados trae su programa: el enfoque, el catálogo de procedimientos de esa área, la ejecución con la muestra y las excepciones, la conclusión y la firma. Cada procedimiento cita la norma que cubre, desde la NIA-ES 330 hasta la 540 (Revisada), o la 550 para partes vinculadas. Para ver el detalle, consulta los programas de trabajo por área.
El criterio sobre el riesgo y sobre la respuesta sigue siendo del auditor.
Neuroon Audit no sustituye tu juicio profesional.
Fuentes oficiales#
Las NIA-ES se citan por apartado y se resumen: su texto solo puede reproducirse sin fines comerciales.
- Resolución de 11/04/2024 del ICAC, por la que se publica la actualización de las Normas Técnicas de Auditoría (NIA-ES) (BOE-A-2024-8358)
- Normas técnicas de auditoría y control de calidad en la web del ICAC
- NIA-ES 300, Planificación de la auditoría de estados financieros (texto adaptado por la Resolución de 11/04/2024)
- NIA-ES 330, Respuestas del auditor a los riesgos valorados (texto adaptado por la Resolución de 11/04/2024)
- NIA-ES 230, Documentación de auditoría, y NIA-ES 220 (Revisada), Gestión de la calidad de una auditoría de estados financieros (texto adaptado por la Resolución de 11/04/2024)
- NIA-ES 315 (Revisada 2019), citada en la NIA-ES 300, apartado 9, letra b
Preguntas habituales
- FAQ.1
¿Qué diferencia hay entre programa y plan de auditoría?
El plan, según la NIA-ES 300 (apartado 9), describe la dirección del equipo, la valoración del riesgo, los procedimientos posteriores y cualquier otro procedimiento que exijan las NIA. El programa recoge, para un área concreta, cómo se ejecutan esos procedimientos, con su conclusión y su firma. La norma no define el programa; lo cita como herramienta.
- FAQ.2
¿La NIA-ES 330 exige un programa de auditoría?
No con ese nombre. La NIA-ES 330 pide que los procedimientos posteriores tengan una naturaleza, un momento y una extensión que dependan de los riesgos valorados, y que respondan a ellos (apartado 6). Además, deben quedar documentados junto con sus resultados (apartado 28). Un programa es una forma habitual de hacerlo, pero no la única.
- FAQ.3
¿Se puede usar un programa estándar?
Sí, si se adapta al encargo. La NIA-ES 300 admite programas estándar o listados de comprobaciones adaptados a las circunstancias del encargo (apartado A20). Para entidades pequeñas, pueden usarse si se adaptan también a la valoración de riesgos del auditor (apartado A23).
- FAQ.4
¿Es lo mismo que un software de auditoría?
No. El programa es un documento con los procedimientos de un área; el software es una herramienta informática. La NIA-ES 220 (Revisada) la usa en un sentido documental (apartado A9) y en otro informático (apartado A11), así que conviene aclarar de cuál se habla.
- FAQ.5
¿Cuándo se actualiza el plan y el programa?
El plan se actualiza cuando cambian las condiciones o los riesgos (NIA-ES 300, apartado 10). Si en una fecha intermedia aparecen incorrecciones no previstas, se evalúan los procedimientos sustantivos que quedan (NIA-ES 330, apartado 23). Antes de terminar, se revisa si la valoración del riesgo sigue siendo adecuada (apartado 25). El programa de cada área cambia con su plan.