NIA-ES 315 (Revisada 2019): identificación y valoración del riesgo de incorrección material
La NIA-ES 315 (Revisada 2019) obliga al auditor a identificar y valorar los riesgos de incorrección material, sea por fraude o por error, tanto en los estados financieros en su conjunto como en las afirmaciones. Para ello debe conocer la entidad, su entorno, el marco de información financiera aplicable y el sistema de control interno. Exige valorar por separado el riesgo inherente y el de control (si no se van a probar controles, el de control se fija de modo que el riesgo de incorrección material iguale al inherente, apartado 34), y es la base de las respuestas de la NIA-ES 330. Se aplica a todas las entidades, sean o no complejas.
Título oficial: «Identificación y valoración del riesgo de incorrección material». Es la adaptación española, publicada por el ICAC, de la norma internacional de auditoría 315 del IAASB. Todas las normas, con su fecha, están en el índice de normas NIA-ES.
Para los controles generales de TI, cuando el encargo los requiera, lee la guía de ITGC y NIA-ES 315.
- Norma
- NIA-ES 315 (Revisada 2019)
- Texto vigente
- 11/04/2024
- Fase del encargo
- Planificación y riesgos
- Contenido revisado
- 27 de octubre de 2026
Objetivo de la NIA-ES 315 (Revisada 2019)
Identificar y valorar los riesgos de incorrección material, por fraude o por error, que afecten a los estados financieros o a las afirmaciones, para dar base al diseño de las respuestas a esos riesgos.
Texto vigente y fecha de aplicación
El texto vigente es el adaptado por la Resolución del ICAC de 11 de abril de 2024. Es de aplicación obligatoria en auditorías de cuentas anuales u otros estados financieros de ejercicios que se inicien a partir del 1 de enero de 2024 y, en todo caso, en los trabajos contratados o encargados a partir del 1 de enero de 2025. La versión Revisada 2019 llegó a las NIA-ES con la Resolución del ICAC de 14 de octubre de 2021 (BOE-A-2021-17162): primera aplicación en ejercicios iniciados desde el 1 de enero de 2022 y en encargos contratados desde el 1 de enero de 2023.
Requisitos clave de la NIA-ES 315 (Revisada 2019)
Procedimientos de valoración del riesgo, sin sesgo
Los procedimientos deben dar base para identificar y valorar los riesgos y para diseñar los procedimientos posteriores de la NIA-ES 330. Incluyen indagaciones, procedimientos analíticos y observación e inspección. Se diseñan sin sesgo hacia la evidencia que corrobora ni hacia la eliminación de la que contradice (A14).
apartados 13-14Considerar otras fuentes y discutir la susceptibilidad en equipo
El auditor tiene en cuenta la información de la aceptación o continuidad del cliente y de otros encargos del socio. Si va a usar su experiencia anterior, evalúa si sigue siendo relevante y fiable. El socio y los miembros clave del equipo discuten la aplicación del marco y el riesgo de que los estados contengan errores materiales, y el socio decide qué comunica a quien no participó.
apartados 15-18Conocer la entidad, su entorno y el marco de información financiera
Conoce la organización, la propiedad y el gobierno de la entidad, su modelo de negocio y su uso de las TI, los factores sectoriales y normativos, y cómo mide su resultado. Conoce el marco aplicable y las políticas contables, y evalúa si son adecuadas y congruentes con él. Con ello determina en qué medida los factores de riesgo inherente hacen más o menos susceptibles de incorrección a las afirmaciones.
apartados 19-20Conocer entorno de control, valoración del riesgo y seguimiento
Obtiene conocimiento de estos tres componentes y evalúa en cada uno si encajan con el tipo y la sofisticación de la entidad. En el entorno de control evalúa, entre otras cosas, si la dirección, vigilada por los responsables del gobierno, ha fomentado una cultura de honradez y conducta ética. Si identifica riesgos que la dirección no identificó y era de esperar que el proceso de la entidad los hubiera detectado, averigua por qué no lo hizo.
apartados 21-24Conocer el sistema de información y comunicación
Sigue el flujo de la información de los tipos significativos de transacciones, saldos contables e información a revelar: cómo se inician, se registran, se procesan, se trasladan al mayor y llegan a los estados financieros. Incluye los registros, el proceso de información financiera, los recursos y el entorno de TI. Evalúa si ese sistema sustenta la preparación de los estados financieros conforme al marco aplicable.
apartado 25Identificar controles, riesgos de TI y deficiencias de control
En actividades de control identifica los que responden a riesgos significativos, los de asientos en el diario, los que piensa probar y los que considere oportunos. Identifica las aplicaciones de TI expuestas a riesgos por su uso a partir de los controles identificados en 26(a), y para ellas los riesgos de TI y los controles generales que responden a ellos (apartado 26(b)-(c), A150). Puede no haber ninguna aplicación en esa situación (A170). Evalúa el diseño de cada control, comprueba su implementación con algo más que indagaciones y determina si hay deficiencias de control.
apartados 26-27Identificar riesgos y determinar las afirmaciones relevantes
El auditor detecta los riesgos de incorrección material y precisa si afectan a los estados financieros en su conjunto o a afirmaciones concretas. Determina qué afirmaciones son relevantes y qué tipos de transacciones, saldos e información a revelar son significativos. Para los riesgos de los estados financieros, valora si afectan a las afirmaciones y cuál es su efecto generalizado.
apartados 28-30Valorar el riesgo inherente y determinar los riesgos significativos
Valora el riesgo inherente por la probabilidad y la magnitud de la incorrección, según el modo y el grado en que influyen los factores de riesgo inherente (complejidad, subjetividad, cambio, incertidumbre y sesgo de la dirección, además de factores de fraude; apartado 12(f)). Determina si algún riesgo es significativo y si hay riesgos que con sustantivos solos no se cubren con evidencia bastante. Los riesgos de los estados financieros también influyen en esa valoración.
apartados 31-33Valorar el riesgo de control y evaluar la evidencia obtenida
Si piensa comprobar la eficacia operativa de los controles, valora el riesgo de control. Si no, la valoración debe ser tal que el riesgo de incorrección material sea el mismo que el riesgo inherente. Después evalúa si la evidencia de los procedimientos de valoración del riesgo sirve de base adecuada, ya respalde o desmienta lo que afirma la dirección.
apartados 34-35Comprobar lo material no significativo, revisar y documentar
Si un tipo de transacciones, un saldo o una revelación es material pero no se ha tratado como significativo, el auditor evalúa si esa determinación sigue siendo adecuada. Si llega información incongruente con la que usó, revisa la identificación o la valoración. Documenta la discusión del equipo, el conocimiento clave, la evaluación de los controles y los riesgos con sus juicios significativos.
apartados 36-38
Lo que añade la versión española
Renunciar al encargo si el entorno de control no permite auditar
Las reservas sobre la integridad de la dirección o sobre la fiabilidad de los registros pueden hacer imposible obtener evidencia suficiente, y entonces la guía contempla la renuncia si la normativa lo permite. En España, la nota del ICAC remite a los artículos 5.2 y 22 de la LAC y a su normativa de desarrollo. La nota del apartado A199, sobre la opinión modificada o la renuncia, remite a la misma.
nota aclaratoria al apartado A198El órgano de administración responde del proceso y del control interno
El ICAC aclara que las referencias a las manifestaciones y directrices de la dirección se entienden sin perjuicio de las del órgano de administración que formula las cuentas. Según el artículo 25.2 del Código de Comercio, los administradores responden de todo el proceso de elaboración de las cuentas anuales, incluido el sistema de control interno necesario para que estén libres de incorrecciones materiales por fraude o error.
nota aclaratoria del Anexo 3, apartado 6(b); criterio 15 de la Resolución del ICAC de 11/04/2024
Cómo se aplica en un encargo en España
Sociedad limitada dirigida por su propietario: controles informales
En entidades dirigidas por el propietario, los procesos pueden no estar estructurados ni documentados. La norma no dispensa de obtener el conocimiento: el auditor lo consigue con observación e indagación (A17). La autorización directa del gerente sobre créditos o compras importantes puede ser un control fuerte, pero que una sola persona dirija puede ser una posible deficiencia, porque facilita que la dirección eluda los controles. A la vez, el propietario-gerente puede supervisar con más eficacia por su participación directa (A156-A157).
Software contable comercial: cuándo importan los controles generales de TI
La guía pone el ejemplo de una entidad que usa software comercial sin acceso al código fuente: es poco probable que tenga un proceso de cambios en los programas o que necesite controles generales de TI formales, aunque sí puede gestionar el acceso y la configuración (A170). Cuando sí se identifican aplicaciones sujetas a riesgos de TI, se identifican también los controles generales de acceso, cambios y operaciones que responden a esos riesgos (26(c)(ii), Anexo 6). Un solo control general no suele bastar (A150).
Del «alto, medio, bajo» al espectro de riesgo inherente
La norma deja clasificar los riesgos en categorías dentro del espectro (A214) y expresar el riesgo de control como cada firma prefiera (A227). Lo exigible es que la valoración sea defendible: probabilidad y magnitud, con los factores de riesgo inherente que la explican. Un riesgo alto puede venir de una probabilidad baja con magnitud muy alta (A213). El efectivo de una tienda tiene mucha probabilidad y poca magnitud, y por eso probablemente no sea riesgo significativo (A220).
Estimaciones y tratamientos complejos: candidatos a riesgo significativo
La guía cita situaciones que pueden dar un riesgo inherente alto: estimaciones con mucha incertidumbre o modelos complejos, varios tratamientos contables aceptables, principios sujetos a interpretación y dificultad para reunir y tratar los datos (A221). Su ejemplo de la entidad que negocia vender un segmento reúne subjetividad, incertidumbre y posible sesgo de la dirección sobre el deterioro del fondo de comercio (A220).
La memoria: revelaciones materiales sin riesgo identificado
En España, los estados financieros son las cuentas anuales y las notas explicativas, la memoria (criterio 2 de la Resolución). El apartado 36 se aplica también a las revelaciones de la memoria. La guía pone el ejemplo de la remuneración a directivos: el auditor puede no haber identificado un riesgo y, aun así, concluir que la revelación es material (A234). Cita además las partes vinculadas y los análisis de sensibilidad entre las revelaciones de posible significatividad (A204).
Primer encargo, encargo recurrente y revisión durante el trabajo
En el primer encargo los procedimientos pueden ser más extensos. En los siguientes, el auditor se centra en los cambios desde el periodo anterior (A18) y puede reutilizar documentación actualizada (A237). Las valoraciones no son definitivas: si las pruebas de controles o los procedimientos sustantivos dan resultados incongruentes, por ejemplo controles que no funcionaron en momentos clave, se revisan (A236).
Papeles de trabajo que genera
Acta de la discusión del equipo del encargo
Fecha, participantes, cuestiones tratadas (aplicación del marco, susceptibilidad a incorrección material y a fraude, información a revelar) y decisiones significativas (A42, A46). Si el encargo lo hace una sola persona, el análisis de esas cuestiones queda en su memorando (A44).
apartado 38Memorando de conocimiento de la entidad, el entorno y el marco
Elementos clave del conocimiento de los apartados 19, 21, 22, 24 y 25, con sus fuentes y los procedimientos de valoración usados. No hace falta documentar todo el conocimiento ni cada factor de riesgo inherente considerado (A241).
apartado 38Evaluación de controles: diseño e implementación
Para cada control identificado, la evaluación de su diseño y la prueba de que se aplica, con algo más que indagaciones: observación, inspección de documentos e informes (A177). Aclara si el auditor prevé probar su eficacia operativa.
apartado 38Mapa de TI: aplicaciones, riesgos y controles generales
Las aplicaciones y demás aspectos del entorno de TI expuestos a riesgos por su uso, esos riesgos y los controles generales de TI que los mitigan (A173-A174).
apartado 26Matriz de riesgos de incorrección material
Riesgos de los estados financieros en su conjunto y de cada afirmación, afirmaciones relevantes, riesgo inherente y de control valorados, riesgos significativos, riesgos con procedimientos sustantivos insuficientes y fundamento de los juicios significativos. En entidades menos complejas puede ir dentro del plan de auditoría o de la documentación de los procedimientos posteriores (A241).
apartado 38
Errores frecuentes
Valorar un único nivel de riesgo sin separar inherente y de control
La norma exige una valoración separada (apartado 5). Si no se van a probar controles, el apartado 34 hace que el riesgo de incorrección material coincida con el inherente, pero eso no exime de justificar el riesgo inherente por probabilidad y magnitud (A205).
apartados 31 y 34Dejar que los controles rebajen un riesgo significativo
El riesgo significativo se define por el riesgo inherente, es decir, antes de considerar los controles (apartado 12(l)). La identificación de los riesgos también se hace antes de ellos (A186). Un control sólido no convierte un riesgo alto en no significativo.
apartado 32Dar por implementado un control con la sola indagación
Para determinar la implementación hay que aplicar procedimientos además de indagar. Preguntar sin más no basta para dar por implementado un control (A177). Evaluar el diseño y la implementación tampoco prueba la eficacia operativa (A180).
apartado 26Olvidar los controles sobre los asientos en el diario
El apartado 26(a)(ii) exige identificarlos y la guía los da por esperables en todas las auditorías (A160). En entidades menos complejas pueden ser los únicos controles que haya que evaluar.
apartado 26Ignorar la TI al identificar controles automatizados
Si identifica controles automatizados, identifica las aplicaciones afectadas y sus controles generales (26(b)-(c)); probarlos depende de si confía en ellos (A180, A229).
apartado 26Dar por no significativa una partida material sin volver a comprobarlo
Una revelación material puede quedar sin riesgo identificado. El apartado 36 obliga a evaluar si esa determinación sigue siendo adecuada, por ejemplo con la información sobre la remuneración a directivos (A234).
apartado 36
Relación con otras NIA-ES
- NIA-ES 200: objetivos globales
La NIA-ES 200 fija los objetivos globales del auditor. Esta norma recuerda (apartado 2) que el riesgo de auditoría se compone de dos elementos: uno de incorrección material y otro de detección.
- NIA-ES 330: respuestas a riesgos
Exige respuestas globales y procedimientos posteriores basados en los riesgos valorados aquí (apartado 8). Pide además procedimientos sustantivos específicos para los riesgos significativos (A218).
- NIA-ES 240: fraude
Añade requisitos específicos para identificar, valorar y responder a los riesgos debidos a fraude (apartado 6). Hay riesgos que esa norma obliga a tratar como significativos (apartado 12(l)(ii)).
- NIA-ES 320: materialidad
Al identificar y valorar riesgos por tipos de transacciones, saldos e información a revelar, el auditor tiene en cuenta la materialidad y el riesgo de auditoría (A233).
- NIA-ES 265: deficiencias del control interno
Si el auditor identifica deficiencias de control, esa norma decide si, solas o combinadas, constituyen una deficiencia significativa (A183).
- NIA-ES 540 (Revisada): estimaciones contables
Incluye requisitos para identificar y valorar riesgos en estimaciones contables (A11) y para los riesgos que no se pueden cubrir solo con pruebas sustantivas (A225).
Preguntas frecuentes sobre la NIA-ES 315 (Revisada 2019)
¿Qué es la NIA-ES 315 (Revisada 2019)?
Explica cómo se identifican y valoran los riesgos de incorrección material, sea por fraude o por error, tanto en los estados financieros en su conjunto como en las afirmaciones. Parte del conocimiento de la entidad, del marco de información financiera y del sistema de control interno, y da base a los procedimientos posteriores de la NIA-ES 330.
¿Qué significa «Revisada 2019» y qué cambió respecto a la NIA 315 de 2013?
El año es el de la revisión del IAASB, no el de la adaptación en España (criterio 16 del ICAC). Frente al texto de 2013 aparecen el espectro y los factores de riesgo inherente, la valoración separada del riesgo inherente y del de control, las afirmaciones relevantes y requisitos sobre TI. La guía de aplicación llega hasta el apartado A241.
¿Qué es el espectro de riesgo inherente?
Es el rango, de menor a mayor, en el que el auditor sitúa cada riesgo identificado según cómo se combinen la probabilidad de error y el tamaño que tendría si existe. Un riesgo alto puede nacer de una probabilidad baja con magnitud muy alta. La valoración debe orientar la respuesta posterior (apartado 5; A209, A213 y A214).
¿Qué es un riesgo significativo con la Revisada 2019?
Un riesgo de incorrección material cuyo riesgo inherente está próximo al límite superior del espectro, o que otra NIA obliga a tratar como significativo (apartado 12(l)). El texto de 2013 lo definía como un riesgo identificado y valorado que, a juicio del auditor, exige un tratamiento singular.
¿Qué son los controles generales de TI y cuándo hay que identificarlos?
Son controles de los procesos de TI que apoyan el funcionamiento continuo del entorno de TI y la integridad de la información (apartado 12(d)). Se identifican cuando hay aplicaciones de TI expuestas a riesgos por su uso, a partir de los controles identificados en 26(a), y los controles generales sustentan esos controles (apartados 26(b)-(c) y A150). No hacen falta en todos los encargos: puede no haber ninguna aplicación en esa situación (A170). Se agrupan en acceso, cambios y operaciones (Anexo 6).
¿Hay que valorar el riesgo de control si no se van a probar los controles?
Solo si se prevé comprobar su eficacia operativa. Si no, la valoración del riesgo de control debe ser tal que el riesgo de incorrección material sea el mismo que el riesgo inherente (apartado 34). El riesgo inherente se sigue valorando por separado, y las afirmaciones relevantes se determinan antes de considerar los controles (apartado 12(h)).
¿Desde cuándo es obligatoria la NIA-ES 315 (Revisada 2019)?
La Resolución del ICAC de 14 de octubre de 2021 la incorporó: ejercicios desde el 1 de enero de 2022 y encargos desde el 1 de enero de 2023. El texto vigente, de la Resolución de 11 de abril de 2024, rige para ejercicios desde el 1 de enero de 2024 y encargos desde el 1 de enero de 2025.
Referencia normativa
- Estado
- Vigente en España
- Denominación oficial
- Identificación y valoración del riesgo de incorrección material
- Resolución base
- Resolución de 11/04/2024 (BOE 25/04/2024)
- Resoluciones anteriores y modificaciones
- Resolución de 14/10/2021 (BOE 21/10/2021)revisión de 2019 (315R), primera aplicación
- Condiciones de aplicación
- Ejercicios iniciados a partir del 1 de enero de 2024.
- En todo caso, encargos contratados a partir del 1 de enero de 2025.
- Primera aplicación de la versión de 2019 (Resolución de 14/10/2021): ejercicios iniciados a partir del 1 de enero de 2022 y encargos contratados a partir del 1 de enero de 2023.
Verificada el 27 de octubre de 2026.
Fuentes oficiales
- Texto vigente de la NIA-ES 315 (Revisada 2019) (PDF del ICAC)
- Resolución del ICAC de 11 de abril de 2024, con el texto de todas las NIA-ES (BOE-A-2024-8358)
- Resolución del ICAC de 14 de octubre de 2021, que adaptó la NIA 315 (Revisada 2019) (BOE-A-2021-17162)
- ICAC: normas técnicas de auditoría y control de calidad vigentes
Los apartados citados remiten al texto vigente de la NIA-ES 315 (Revisada 2019) publicado por el ICAC. Esta ficha resume y explica la norma; no la sustituye. Referencia normativa verificada el 27 de octubre de 2026.
Acceso prioritario
Cómo aplicar la NIA-ES 315 (Revisada 2019) a tu cartera de encargos
Solicita acceso prioritario y te avisaremos cuando habilitemos el acceso a la plataforma.
Registro gratuito y sin compromiso.