Papeles de trabajo de auditoría: requisitos, documentación y archivo

La NIA-ES 230 usa el término documentación de auditoría y admite «papeles de trabajo» como sinónimo (apartado 6(a)). Recoge qué procedimientos se aplicaron, qué evidencia se obtuvo y a qué conclusiones llegó el auditor.

La norma pide que ese contenido permita entender cómo, cuándo y hasta dónde se aplicaron los procedimientos, qué resultados y qué evidencia se obtuvieron, y qué cuestiones significativas quedaron, con sus conclusiones y el juicio profesional que las sostiene (apartado 8). También pide prepararlo a tiempo, no al final (apartado 7).

La Ley 22/2015 añade el archivo: uno por cada trabajo, que incluye el análisis previo a la aceptación o continuidad, la documentación sobre independencia y los papeles que soportan las conclusiones del informe (artículo 29.2).

Cuando la información financiera depende de sistemas informáticos, los papeles suelen incluir también la evaluación de los controles generales de TI. Cómo documentarlos está en la guía de ITGC y NIA-ES 315.

La NIA-ES 230 enumera sus fines (apartado 3): que el equipo rinda cuentas de su trabajo, que la supervisión y la revisión puedan hacerse sobre algo concreto, que se conserve la memoria de los asuntos relevantes para auditorías posteriores, y que la firma pueda revisar la calidad de los encargos y hacer su seguimiento.

El reglamento regula además un uso concreto: el ICAC puede requerir los papeles en sus actuaciones de control, y el auditor debe ponerlos a su disposición en el plazo que se fije en cada caso (artículo 94 del Real Decreto 2/2021). Por eso conviene escribir cada papel para que un tercero lo siga sin ayuda de su autor: el reglamento pide que, obtenida la documentación base, los procedimientos puedan volver a ejecutarse (artículo 69.1.b).

La norma no fija un formato. Fija el contenido que debe quedar identificado en cada momento del encargo. La tabla resume cada fase con su base.

La tabla resume qué debe quedar documentado. Cómo se acredita la revisión es el asunto de la sección siguiente.

La NIA-ES 230 exige dejar constancia de quién realizó cada trabajo y cuándo lo completó, y de quién lo revisó, con la fecha y el alcance de la revisión (apartado 9(b) y 9(c)).

Ni la norma ni la ley piden dos firmas en cada papel. La guía de la NIA-ES 230 aclara que documentar quién revisó no obliga a que cada papel tenga evidencia de la revisión: sí obliga a dejar constancia del trabajo revisado, de quién lo revisó y de la fecha (guía A13). El reglamento exige que el archivo recoja la evidencia de la revisión realizada por los miembros con más experiencia del equipo y por los auditores principales responsables, incluido el firmante del informe (artículo 69.1.b, 5.º, del Real Decreto 2/2021).

La documentación de auditoría debe permitir identificar quién realizó los procedimientos, cuándo los completó y quién revisó el trabajo, incluyendo la fecha y el alcance de la revisión. La forma concreta de documentar estas actuaciones puede variar según la metodología de la firma y los requisitos aplicables: firma en cada hoja, registro por área o acta de revisión.

Conviene distinguir lo que exige la norma de lo que fija la política interna de la firma. Estas son buenas prácticas, no requisitos literales:

• Que la revisión la haga alguien distinto de quien preparó el papel.
• Que los puntos abiertos se cierren antes de dar un papel por revisado.
• Que un cambio posterior en un papel ya revisado vuelva a pasar revisión.

Para cada prueba, la norma pide dejar las características que identifican las partidas o cuestiones probadas (apartado 9(a) y guía A12). Como buena práctica general, y sin que la norma lo fije, una prueba de detalle sobre el mayor suele documentarse en estos pasos:

1. Selección: la población probada, el criterio de selección escrito (importe, partidas atípicas, movimientos sin contrapartida evidente) y, si el muestreo es sistemático, su origen, su punto de partida y su intervalo.
2. Petición de soporte: facturas, contratos y extractos, con la fecha de la solicitud y la de la recepción.
3. Cruce partida a partida: importe, fecha, contrapartida, base imponible, IVA y vencimiento frente al documento.
4. Diferencias: asientos sin soporte, soportes sin asiento, importes que no cuadran, cuentas equivocadas o duplicados, cada una con su explicación y su efecto.
5. Conclusión: qué se probó, qué se encontró, cómo se resolvió cada diferencia y si alguna pasa al resumen de incorrecciones, evaluada según la NIA-ES 450 (apartados 5 y 11). La conclusión debe poder seguirse desde el papel, sin depender de la memoria de quien lo preparó.

La evidencia que sostiene una conclusión tiene que ser suficiente y adecuada (NIA-ES 500). La suficiencia mide la cantidad y depende del riesgo valorado; la adecuación mide la calidad, es decir, la relevancia de la prueba para la afirmación que apoya y su fiabilidad. Reunir más papeles no subsana una evidencia poco fiable, y un soporte que no se puede relacionar con la partida no prueba nada por sí mismo.

La Ley y el reglamento completan el régimen de la evidencia: los papeles deben soportar las conclusiones del informe, y lo que no está en el archivo no se considera evidencia del trabajo realizado (artículo 69.1 del Real Decreto 2/2021).

La importancia relativa para los estados financieros en su conjunto se fija en la estrategia de auditoría. Si hay tipos de transacciones, saldos o revelaciones cuyas incorrecciones, aun por debajo de ese nivel global, podrían afectar a las decisiones de los usuarios, se fija también un nivel propio para ellos (NIA-ES 320, apartado 10).

La importancia relativa para la ejecución sirve para valorar los riesgos y para decidir cómo, cuándo y en qué medida se aplican los procedimientos posteriores (apartado 11). El auditor documenta esas cifras y los factores que las determinan (apartado 14). Cada elemento del trabajo cumple una función distinta:

• Organización del trabajo: quién hace qué, con qué calendario y bajo qué responsable (artículo 29.1 de la Ley 22/2015).
• Riesgos: identificación y valoración de los riesgos de incorrección material, incluidos los riesgos significativos (NIA-ES 315, Revisada 2019, apartados 12(l), 28 y 32), y la revisión de los tipos materiales que no se consideraron significativos (apartado 36).
• Materialidad: la global, la de ejecución y las específicas, fijadas en la planificación y revisadas a medida que avanza la auditoría (NIA-ES 320, apartados 10 a 12).
• Procedimientos: su naturaleza, su momento y su extensión, según los riesgos valorados (NIA-ES 330).
• Documentación: qué se hizo, con qué evidencia y por qué (NIA-ES 230 y NIA-ES 320, apartado 14).

Una partida por debajo de la importancia relativa para la ejecución no queda excluida por ese solo hecho. La NIA-ES 330 pide pruebas sustantivas para cada clase de transacciones, saldos o revelaciones que resulte material, sin depender del riesgo valorado (apartado 18). Si el riesgo es significativo, los procedimientos sustantivos deben responder a él de forma específica, e incluir pruebas de detalle cuando solo hay procedimientos sustantivos (apartado 21). Y la NIA-ES 450 recoge que la naturaleza y las circunstancias pueden hacer material una incorrección de importe menor que el umbral global (apartado 11 y guía A21).

Lo claramente insignificante no equivale a lo no material: si hay duda, no se considera claramente insignificante (NIA-ES 450, guía A2).

El archivo de auditoría reúne la documentación de un encargo concreto, en papel o en soporte electrónico (NIA-ES 230, apartado 6(b)). Por cada trabajo, la Ley exige un archivo que comprenda, como mínimo, el análisis previo a la aceptación o continuidad, con la independencia, el resto de la documentación del trabajo y los papeles que soportan las conclusiones del informe (artículo 29.2 de la Ley 22/2015).

El reglamento precisa su contenido, que el archivo se compile en formato electrónico con medidas de seguridad que garanticen su autenticidad, y que solo cuenta como evidencia lo que consta en él (artículo 69.1 del Real Decreto 2/2021):

• La documentación de las políticas y procedimientos de calidad aplicados al trabajo.
• Los papeles con el registro del trabajo, la información utilizada y las decisiones que sostienen el informe, y la prueba de que el trabajo se planificó y se hizo conforme a la normativa.
• Los criterios de riesgo, la naturaleza, el momento y la extensión de las pruebas, el muestreo cuando lo hubo, las cuestiones significativas y la evidencia de la revisión.

Durante la conservación, los sistemas que guardan el archivo deben tener controles de custodia, integridad y recuperación, identificar de forma única el archivo compilado y su fecha, y hacer imposible modificarlo una vez vencido el plazo de compilación. Las copias de seguridad se hacen al crear la documentación y al modificarla, y como mínimo una vez al año si no hubo cambios (artículo 72.2 del Real Decreto 2/2021).

• Compilación en 60 días desde la fecha del informe. El plazo máximo lo fija el artículo 29.2 de la Ley 22/2015. La NIA-ES 230 pide completar la compilación oportunamente tras el informe (apartado 14), y su guía indica que habitualmente no excede de 60 días (guía A21). La Ley no precisa si son días naturales o hábiles: conviene fijar el cómputo antes de planificar el cierre.
• Solo tareas administrativas. Compilar no permite aplicar procedimientos nuevos ni alcanzar conclusiones nuevas. Cabe ordenar y referenciar los papeles, retirar borradores sustituidos y cerrar las listas de comprobación (NIA-ES 230, guía A22). Si falta una prueba, se trata como cuestión posterior al informe y se aplica el apartado 13 de la NIA-ES 230.
• Nada se elimina durante la conservación. Una vez terminada la compilación, no se elimina ni descarta documentación antes de que acabe el plazo de conservación (NIA-ES 230, apartado 15).
• Los cambios posteriores quedan registrados. La NIA-ES 230 (apartados 13 y 16) exige documentar las circunstancias, los motivos, las fechas y las personas que hicieron y revisaron cada cambio. En España, el reglamento va más lejos: el archivo no puede modificarse como consecuencia de revisiones internas o externas posteriores al informe (artículo 69.2 del Real Decreto 2/2021). Solo cabe un archivo complementario en los supuestos del artículo 69.3: hechos posteriores al informe, hechos anteriores que el auditor conoce más tarde y exigen procedimientos, o planes de subsanación que requieren documentación adicional. Ese archivo debe indicar quién autoriza el cambio, sus motivos y su fecha, y la documentación modificada.
• Conservación durante cinco años desde la fecha del informe. El artículo 30 de la Ley 22/2015 fija ese plazo, que la guía de la NIA-ES 230 (A23) describe como habitual pero no inferior a cinco años. Dos matices: si hay reclamación, juicio o litigio relacionado con el informe, o en el que la documentación pueda servir de prueba y el auditor lo conoce, el plazo se extiende hasta la resolución firme o hasta cinco años desde la última intervención en el conflicto (artículo 72.1 del Real Decreto 2/2021); y la obligación subsiste si el auditor causa baja en el Registro Oficial de Auditores de Cuentas (artículo 72.3).
• Comunicación de pérdidas al ICAC. Es una obligación distinta del plazo de conservación: la pérdida o el deterioro de la documentación, con sus razones, se comunica al ICAC en quince días hábiles desde que se produjo o se tuvo conocimiento (artículo 72.4 del Real Decreto 2/2021).
• Encargos de grupo. La guía de la NIA-ES 230 (A23) cuenta el plazo también desde el informe sobre las cuentas del grupo, si es posterior. La Ley no lo dice expresamente, así que en un encargo de grupo conviene confirmar el cómputo.

Los fallos que más se repiten son de trazabilidad más que de contenido. La lista recoge buenas prácticas, salvo cuando se cita el precepto que la exige.

• Papeles sin fecha de preparación o de revisión, o una revisión sin alcance escrito (NIA-ES 230, apartado 9(b) y 9(c)).
• Conclusiones que no citan la evidencia en la que se apoyan, y referencias cruzadas que no llevan a ningún papel.
• Un papel cambiado después de compilar sin el motivo, la fecha ni quién lo cambió (NIA-ES 230, apartado 16; Real Decreto 2/2021, artículo 69.3).
• Documentación que se usa como prueba pero está fuera del archivo (Real Decreto 2/2021, artículo 69.1).
• Hojas de cálculo sin control de versiones: no se sabe qué versión se revisó.
• Escribir la documentación al final del encargo. La guía de la NIA-ES 230 (A1) advierte de que así resulta probablemente menos exacta.
• Leer el umbral de ejecución como una lista de exclusiones. Sirve para valorar riesgos y fijar la extensión de los procedimientos (NIA-ES 320, apartado 11); la norma no admite dejar sin procedimientos un tipo de transacción material (NIA-ES 330, apartado 18).