Plan Anual de Auditoría Interna Basado en Riesgos (RBIA): Metodología paso a paso

¿Qué es un Plan Anual de Auditoría Interna Basado en Riesgos (RBIA)?

El Plan Anual de Auditoría Interna Basado en Riesgos (Risk-Based Internal Audit o RBIA) es un instrumento de gestión que permite a la función de auditoría interna enfocar sus recursos en los procesos, áreas y actividades con mayor exposición a riesgos que puedan afectar el logro de los objetivos de una organización.

En lugar de auditar todas las áreas con la misma intensidad o repetir revisiones por costumbre, el enfoque RBIA prioriza aquello que realmente puede generar pérdidas económicas, incumplimientos normativos, fraude, errores materiales en la información financiera o daños reputacionales.

En el contexto peruano, esta metodología resulta especialmente útil para empresas familiares, MYPES en crecimiento, ONGs, asociaciones, cooperativas y compañías medianas que necesitan optimizar recursos de control sin perder de vista sus obligaciones legales, tributarias y operativas.

Además, el RBIA se alinea con las mejores prácticas internacionales de auditoría. Aunque la auditoría interna y la auditoría externa tienen finalidades distintas, este enfoque conversa adecuadamente con principios de evaluación de riesgos presentes en la NIA 315, “Identificación y valoración de los riesgos de incorrección material mediante el conocimiento de la entidad y de su entorno”, así como con la lógica de respuesta a riesgos contenida en la NIA 330, “Respuestas del auditor a los riesgos valorados”.

¿Por qué implementar un RBIA en una organización peruana?

Muchas organizaciones en Perú todavía elaboran su plan anual de auditoría en función de la experiencia del año anterior, solicitudes de gerencia o revisiones cíclicas sin una evaluación objetiva del riesgo. Ese enfoque puede generar tres problemas frecuentes:

• Se auditan áreas de bajo impacto y se descuidan procesos críticos.
• Se consume tiempo del equipo de auditoría en revisiones poco relevantes.
• La gerencia y el directorio reciben menor valor estratégico de la auditoría interna.

Un plan basado en riesgos permite:

• Priorizar procesos críticos.
• Asignar mejor horas-hombre y presupuesto.
• Anticipar eventos de fraude, incumplimiento o ineficiencia.
• Fortalecer el sistema de control interno.
• Dar soporte a la toma de decisiones del directorio, comité de auditoría o gerencia.

Por ejemplo, en una ONG que administra fondos de cooperación internacional, probablemente el mayor riesgo no esté en caja chica, sino en rendiciones de proyectos, elegibilidad del gasto, cumplimiento de convenios y adquisiciones. En una empresa comercial peruana, el foco puede estar en inventarios, cuentas por cobrar, compras, tesorería y cumplimiento tributario ante SUNAT.

Marco de referencia para elaborar el Plan Anual de Auditoría Interna Basado en Riesgos

Para construir un RBIA sólido, no basta con listar áreas “importantes”. Es necesario apoyarse en criterios técnicos y normativos. Entre los principales marcos de referencia destacan:

1. Objetivos estratégicos y operativos de la entidad

Todo riesgo debe evaluarse en relación con los objetivos del negocio. Si la empresa busca crecer en provincias, por ejemplo, la auditoría interna debe considerar riesgos vinculados a expansión, logística, cobranzas y contratación de personal descentralizado.

2. Sistema de control interno

El análisis debe considerar la madurez del control interno. Un proceso con alto riesgo inherente pero con controles robustos puede requerir una frecuencia distinta a otro con menor exposición, pero con controles débiles o inexistentes.

3. Requerimientos legales y regulatorios

En Perú, el plan debe incorporar riesgos derivados de obligaciones societarias, laborales, tributarias, financieras y sectoriales. Por ejemplo:

• Código Tributario, aprobado por Decreto Supremo N.° 133-2013-EF, Norma VIII del Título Preliminar y disposiciones sobre fiscalización y obligaciones formales.
• Ley del Impuesto a la Renta, Texto Único Ordenado aprobado por Decreto Supremo N.° 179-2004-EF, especialmente reglas vinculadas a causalidad del gasto del artículo 37.
• Ley del IGV e ISC, TUO aprobado por Decreto Supremo N.° 055-99-EF, con especial atención al artículo 18 sobre crédito fiscal.
• Ley General de Sociedades, Ley N.° 26887, por ejemplo el artículo 175 sobre responsabilidad del directorio y el artículo 190 respecto a la gerencia, en cuanto a la adecuada administración y control.

4. Resultados de auditorías previas

Las observaciones recurrentes, hallazgos no implementados y debilidades persistentes son señales claras para la priorización del plan.

Metodología paso a paso para elaborar un RBIA

Paso 1: Comprender la organización y su contexto

El primer paso consiste en entender cómo funciona la entidad, cuáles son sus objetivos, qué procesos son críticos y qué cambios relevantes ha experimentado.

Para ello, auditoría interna debe revisar:

• Plan estratégico y presupuesto anual.
• Estructura organizacional.
• Mapa de procesos.
• Estados financieros y reportes gerenciales.
• Informes de auditoría anteriores.
• Matriz de riesgos institucional, si existe.
• Cambios normativos o tecnológicos recientes.

Ejemplo práctico: una empresa peruana del sector retail abre tres nuevas tiendas en el año. Aunque compras y ventas ya eran procesos relevantes, la expansión incrementa riesgos de inventario, efectivo, contratación, cumplimiento laboral y control de activos fijos en nuevas sedes.

Paso 2: Identificar el universo auditable

El universo auditable es el conjunto de áreas, procesos, unidades, sistemas o proyectos que potencialmente pueden ser auditados. Esta etapa es clave porque una mala definición del universo distorsiona toda la priorización posterior.

El universo puede incluir:

• Procesos: compras, ventas, tesorería, planillas, inventarios.
• Unidades de negocio o sedes.
• Sistemas de información.
• Programas o proyectos, en el caso de ONGs.
• Cumplimiento tributario, laboral o regulatorio.
• Prevención de fraude.

Paso 3: Identificar los riesgos por proceso o área

Una vez definido el universo auditable, se identifican los riesgos más relevantes de cada componente. Aquí conviene distinguir entre:

• Riesgo inherente: el riesgo propio de la actividad antes de considerar controles.
• Riesgo residual: el riesgo que permanece luego de aplicar controles.

Los riesgos pueden clasificarse en:

• Estratégicos.
• Operativos.
• Financieros.
• Tributarios.
• Legales.
• Tecnológicos.
• Reputacionales.
• De fraude.

Ejemplo práctico: en el proceso de compras de una asociación civil peruana, algunos riesgos típicos serían: adjudicaciones sin sustento, proveedores vinculados no declarados, pagos sin conformidad, gastos no elegibles para donantes y uso inadecuado del crédito fiscal del IGV.

Paso 4: Definir criterios de evaluación del riesgo

Para priorizar objetivamente, se deben establecer criterios uniformes. Los más usados son:

• Impacto financiero: posible pérdida en S/.
• Impacto operativo: interrupción del servicio o proceso.
• Impacto legal o tributario: multas, reparos, contingencias.
• Impacto reputacional: daño ante clientes, donantes o reguladores.
• Probabilidad: posibilidad de ocurrencia.
• Calidad del control interno: fortaleza o debilidad de controles existentes.
• Tiempo desde la última auditoría: áreas no revisadas recientemente.
• Cambios recientes: nuevo sistema, nueva sede, nuevo gerente, nuevo proyecto.

Es recomendable asignar una escala, por ejemplo de 1 a 5, para cada criterio.

Paso 5: Construir la matriz de riesgos auditable

Con los criterios definidos, se elabora una matriz para calificar cada proceso o unidad del universo auditable. A continuación, un ejemplo simplificado:

La ponderación puede adaptarse según el tipo de organización. En una ONG, por ejemplo, el cumplimiento con donantes puede tener un peso mayor que en una empresa comercial.

Paso 6: Priorizar auditorías y definir cobertura anual

Una vez obtenido el ranking de riesgos, se seleccionan las auditorías que ingresarán al plan anual. Sin embargo, la prioridad no depende solo del puntaje. También deben considerarse:

• Disponibilidad de personal auditor.
• Horas presupuestadas.
• Especialización requerida.
• Auditorías obligatorias o solicitadas por directorio.
• Necesidad de seguimiento a hallazgos anteriores.

En esta etapa, muchas organizaciones cometen el error de sobrecargar el plan. Un RBIA efectivo debe ser realista y ejecutable.

Paso 7: Estimar recursos, tiempos y competencias

Cada trabajo de auditoría debe estimarse en horas-hombre, perfil del equipo, duración y oportunidad del año. No es lo mismo auditar activos fijos que revisar ciberseguridad o cumplimiento tributario complejo.

Una estructura básica del plan puede incluir:

• Nombre de la auditoría.
• Objetivo general.
• Riesgo principal cubierto.
• Área responsable.
• Trimestre de ejecución.
• Horas estimadas.
• Responsable del trabajo.

Paso 8: Presentar y aprobar el plan anual

El plan debe presentarse a la alta dirección, comité de auditoría o directorio, según corresponda. La aprobación formal fortalece la independencia de la función de auditoría interna y asegura alineamiento con el gobierno corporativo.

La presentación debe explicar claramente:

• Metodología utilizada.
• Criterios de priorización.
• Mapa de riesgos resumido.
• Cobertura propuesta.
• Limitaciones de recursos.
• Auditorías no incluidas y su justificación.

Paso 9: Monitorear y actualizar el plan

Un verdadero RBIA no es un documento estático. Debe revisarse periódicamente, especialmente cuando ocurren eventos relevantes: cambios de gerencia, implementación de ERP, investigaciones por fraude, fiscalizaciones de SUNAT, pérdida de financiamiento o expansión del negocio.

Por ello, se recomienda realizar al menos una revisión semestral del plan para validar si las prioridades siguen vigentes.

Tabla comparativa: enfoque tradicional vs. enfoque RBIA

Ejemplo práctico: RBIA en una empresa comercial peruana

Supongamos una distribuidora de productos de consumo masivo con ventas anuales de S/ 18 millones, operaciones en Chiclayo, Trujillo y Piura, y 45 trabajadores.

Luego de evaluar su universo auditable, se identifican los siguientes puntajes:

En este caso, el plan anual se concentra en inventarios, cobranzas y tesorería, porque allí existe mayor riesgo de pérdida económica y afectación al flujo de caja. Auditar primero caja chica solo porque “siempre se hace” sería una mala asignación de recursos.

Ejemplo práctico: RBIA en una ONG en Perú

Ahora pensemos en una ONG que ejecuta tres proyectos financiados por cooperación internacional por S/ 6 millones anuales.

Su evaluación de riesgos podría revelar lo siguiente:

• Adquisiciones del proyecto: alto riesgo por cumplimiento de políticas del donante.
• Rendiciones y elegibilidad del gasto: alto riesgo por posibilidad de observaciones y devolución de fondos.
• Planillas del personal de campo: riesgo medio por rotación y contratos temporales.
• Activos menores: riesgo bajo.

En ese escenario, el plan anual debería priorizar auditorías de cumplimiento contractual, gastos elegibles, control documental y ejecución presupuestal por proyecto, antes que revisiones administrativas de baja materialidad.

Errores frecuentes al elaborar un RBIA

No vincular riesgos con objetivos del negocio

Si la auditoría no entiende qué quiere lograr la organización, la priorización pierde sentido.

Usar criterios subjetivos sin ponderación

Decidir por intuición puede generar sesgos. La matriz debe ser consistente y documentada.

No considerar riesgos regulatorios y tributarios peruanos

En Perú, omitir contingencias vinculadas a SUNAT, planillas, IGV o sustento de gastos puede resultar costoso.

No actualizar el plan ante cambios relevantes

Un nuevo sistema contable, una denuncia de fraude o una fiscalización pueden alterar totalmente las prioridades.

Confundir auditoría interna con control previo

La auditoría interna no debe reemplazar la gestión ni aprobar operaciones del día a día. Su rol es evaluar y recomendar mejoras al control interno.

Buenas prácticas para un RBIA efectivo

• Documentar la metodología y criterios de evaluación.
• Entrevistar a gerencia y responsables de procesos.
• Combinar información cuantitativa y juicio profesional.
• Incluir seguimiento de hallazgos críticos del año anterior.
• Reservar horas para auditorías no programadas o investigaciones especiales.
• Actualizar el plan si cambian los riesgos.
• Presentar resultados de forma clara al directorio o comité de auditoría.

¿Cómo se relaciona el RBIA con el control interno?

El RBIA no reemplaza al sistema de control interno, pero sí lo fortalece significativamente. Al enfocar la auditoría en riesgos críticos, la organización obtiene recomendaciones más útiles para mejorar autorizaciones, segregación de funciones, monitoreo, documentación, controles automáticos y cumplimiento normativo.

En esa línea, un plan basado en riesgos ayuda a identificar fallas antes de que se conviertan en pérdidas, sanciones o crisis reputacionales. Para empresas y organizaciones peruanas con recursos limitados, esto representa una ventaja concreta y medible.

Conclusión

El Plan Anual de Auditoría Interna Basado en Riesgos (RBIA) es mucho más que una lista de revisiones programadas. Se trata de una metodología que permite dirigir la auditoría interna hacia los procesos que realmente amenazan el logro de los objetivos institucionales.

Cuando se aplica correctamente, el RBIA mejora la asignación de recursos, eleva el valor estratégico de la auditoría interna y fortalece el control interno de forma tangible. En el entorno peruano, donde convergen riesgos operativos, tributarios, laborales, tecnológicos y de cumplimiento, este enfoque resulta especialmente útil para empresas, ONGs y asociaciones que buscan crecer con orden y transparencia.

Si su organización necesita diseñar o fortalecer su Plan Anual de Auditoría Interna Basado en Riesgos, en Carlos Lingan & Asociados S.C. podemos ayudarle a implementar una metodología práctica, alineada con su realidad operativa y normativa. Para consultas, escríbanos a auditor@carloslingan.pe.