Auditoría Interna vs Auditoría Externa
Una misma organización puede recibir dos informes de auditoría en el mismo trimestre y, aun así, estar respondiendo a preguntas completamente distintas. El informe de auditoría interna puede concluir que el proceso de compras presenta una exposición relevante por segregación insuficiente de funciones. El auditor externo, después de revisar parte de ese mismo proceso, puede emitir una opinión no modificada sobre los estados financieros.
No existe contradicción. Cada auditor trabajó con un mandato, unos usuarios y un umbral de decisión diferentes.
En este artículo, auditoría externa se refiere a la auditoría independiente de estados financieros realizada conforme a las Normas Internacionales de Auditoría (NIA/ISA). No se incluyen las auditorías de certificación de sistemas de gestión, las auditorías de proveedores ni otros encargos de aseguramiento, que responden a marcos y propósitos distintos.
Las mismas herramientas pueden servir a preguntas distintas
Auditores internos y externos evalúan riesgos, obtienen evidencia, entrevistan a responsables, observan actividades, inspeccionan documentos, aplican procedimientos analíticos, seleccionan muestras y documentan conclusiones. Esa similitud técnica explica por qué las funciones suelen confundirse.
Pero las herramientas no determinan el propósito.
Las Normas Globales de Auditoría Interna establecen que la auditoría interna fortalece la capacidad de la organización para crear, proteger y mantener valor mediante aseguramiento, asesoramiento, prospectiva y conocimiento independientes, objetivos y basados en riesgos para el consejo y la alta dirección. Su campo natural es la organización completa: sus objetivos, gobierno, gestión de riesgos y procesos de control.
La NIA 200, en cambio, sitúa el propósito de la auditoría de estados financieros en aumentar la confianza de los usuarios previstos mediante la opinión del auditor sobre si los estados financieros han sido preparados, en todos los aspectos materiales, conforme al marco de información financiera aplicable.
La técnica explica cómo se audita; el mandato explica para quién, sobre qué y con qué responsabilidad.
Cinco diferencias que cambian el trabajo
| Dimensión | Auditoría interna | Auditoría externa de estados financieros |
|---|---|---|
| Mandato | Lo establece el consejo mediante el estatuto de auditoría interna, considerando también los requisitos legales o regulatorios aplicables. | Surge de la ley, la regulación, los estatutos, un contrato o la decisión de propietarios y responsables del gobierno de la entidad. |
| Usuarios principales | Consejo, comité de auditoría, alta dirección y responsables que deben actuar sobre riesgos, controles y procesos. | Usuarios previstos de los estados financieros, como accionistas, inversores, acreedores, reguladores y responsables del gobierno de la entidad. |
| Independencia | Independencia dentro de la organización, protegida mediante la rendición de cuentas directa al consejo, una posición adecuada y ausencia de interferencias. | Independencia respecto de la entidad auditada, tanto mental como en apariencia, conforme a requisitos éticos y legales aplicables. |
| Alcance | Dinámico y basado en riesgos; puede abarcar estrategia, operaciones, cumplimiento, tecnología, cultura, información financiera, fraude y asesoramiento. | Centrado en los estados financieros, los riesgos de incorrección material y la evidencia necesaria para sustentar una opinión. |
| Resultado principal | Conclusiones, hallazgos, recomendaciones o planes de acción, conocimiento transversal y seguimiento de la implementación. | Informe del auditor independiente con una opinión sobre los estados financieros y las comunicaciones exigidas por las NIA. |
La distinción más importante es que auditoría interna trabaja para mejorar la capacidad de la organización, mientras que auditoría externa proporciona credibilidad sobre información financiera destinada a usuarios previstos. Ambas contribuyen a la confianza, pero lo hacen desde perspectivas diferentes.
La independencia se protege de maneras distintas
Decir que los auditores internos “no son independientes porque trabajan para la organización” simplifica en exceso el concepto. La independencia de auditoría interna es principalmente organizativa. La Norma 7.1 exige que el Director de Auditoría Interna confirme al consejo, al menos anualmente, la independencia de la función y comunique cualquier impedimento y las salvaguardas aplicadas. El consejo debe permitir una relación directa, una posición suficiente y libertad frente a interferencias al definir el alcance, ejecutar los trabajos y comunicar resultados.
La auditoría externa requiere otra forma de separación. El Código Internacional de Ética del IESBA exige independencia para los encargos de auditoría y revisión. Esta comprende independencia mental e independencia en apariencia: no basta con emitir un juicio imparcial; también deben evitarse relaciones o circunstancias que llevarían a un tercero razonable e informado a concluir que la objetividad, la integridad o el escepticismo profesional están comprometidos.
Por eso, la independencia no debe evaluarse con una sola pregunta. Para auditoría interna, importa si la función puede desafiar a la dirección sin interferencias y escalar asuntos al consejo. Para auditoría externa, importa además si la firma y el equipo mantienen la distancia exigida frente al cliente, sus intereses y las relaciones que podrían crear amenazas.
El alcance y el resultado no son intercambiables
La auditoría interna puede examinar un proceso porque amenaza un objetivo estratégico, aunque su impacto financiero todavía sea pequeño. Puede evaluar si una transformación tecnológica está gobernada adecuadamente, si la cultura favorece conductas indebidas o si la respuesta a un riesgo emergente es suficiente. También puede prestar servicios de asesoramiento, siempre que no asuma responsabilidades de gestión.
La auditoría externa diseña su trabajo para obtener seguridad razonable sobre si los estados financieros, considerados en su conjunto, están libres de incorrección material por fraude o error. Puede estudiar controles internos, utilizar analítica de datos y comunicar deficiencias, pero normalmente lo hace en la medida necesaria para planificar y ejecutar la auditoría financiera. Una opinión no modificada no certifica que todos los controles sean eficaces, que no exista fraude, que la organización sea eficiente ni que su estrategia sea sólida.
Los productos también reflejan esa diferencia. Conforme a la Norma 15.1 de las Normas Globales, la comunicación final de un trabajo de auditoría interna incluye objetivos, alcance, conclusiones y, cuando corresponda, hallazgos, recomendaciones o planes de acción, responsables y fechas previstas. Además, la función monitorea la implementación.
El auditor externo culmina con una opinión. Dependiendo de la evidencia y de las circunstancias, esta puede ser no modificada o modificada. El informe puede incluir otras secciones requeridas, pero su núcleo no es un plan de mejora operativa: es una conclusión profesional sobre los estados financieros bajo un marco definido.
Coordinar no significa transferir responsabilidad
La coordinación es necesaria precisamente porque las funciones son distintas. La Norma 9.5 de las Normas Globales exige al Director de Auditoría Interna coordinar con proveedores internos y externos de aseguramiento y considerar la posibilidad de confiar en su trabajo. El objetivo es reducir duplicidades, revelar brechas de cobertura y aumentar el valor conjunto del aseguramiento.
Desde la otra dirección, la NIA 610 (Revisada 2013) permite que el auditor externo utilice determinados trabajos de auditoría interna después de evaluar la objetividad respaldada por la posición organizativa, la competencia y la aplicación de un enfoque sistemático y disciplinado, incluido el control de calidad. Cuanto mayor sea el juicio o el riesgo de incorrección material, más trabajo debe realizar directamente el auditor externo.
La frontera es clara: el auditor externo conserva la responsabilidad exclusiva por la opinión. Del mismo modo, cuando auditoría interna confía en otro proveedor, el Director de Auditoría Interna debe documentar la base de esa confianza y sigue siendo responsable de las conclusiones emitidas por su función.
Una coordinación sana puede incluir calendarios compartidos, intercambio controlado de informes, conversaciones sobre riesgos, acceso acordado a papeles de trabajo y una matriz de aseguramiento. No debería convertir el plan de auditoría interna en una extensión del programa del auditor externo ni generar una dependencia que debilite el mandato de cualquiera de las dos funciones.
Un mapa práctico para no pedirle a una auditoría lo que corresponde a la otra
Antes de decidir qué tipo de auditoría se necesita, conviene responder tres preguntas:
- ¿Quién necesita confianza? El consejo y la dirección pueden requerir una evaluación amplia de riesgos y controles; inversores, acreedores o reguladores pueden necesitar confianza sobre estados financieros.
- ¿Sobre qué materia se necesita una conclusión? Un proceso, una conducta, un sistema o un riesgo estratégico apuntan normalmente a auditoría interna. Los estados financieros y su marco aplicable apuntan a auditoría externa.
- ¿Qué autoridad y responsabilidad debe respaldar el resultado? El estatuto aprobado por el consejo define el mandato interno. La ley, la regulación o el encargo profesional determinan el mandato externo.
Para los comités de auditoría, la decisión práctica no es elegir entre una función y otra. Es construir una arquitectura de aseguramiento en la que cada proveedor tenga un propósito claro, cobertura suficiente y mecanismos de coordinación. Cuando los mandatos se confunden, aparecen expectativas imposibles: se espera que el auditor externo diagnostique toda la organización o que auditoría interna otorgue credibilidad pública a los estados financieros.
Cuando los mandatos se entienden, las dos funciones se refuerzan. Auditoría interna ayuda a que la organización gestione mejor sus riesgos y controles. Auditoría externa aporta una opinión independiente sobre la información financiera. Comparten técnicas, pero protegen formas diferentes de confianza.