Plantilla de Matriz de Riesgos y Controles (RACM) para Auditoría: guía práctica paso a paso
Aprenda a elaborar una Matriz de Riesgos y Controles (RACM) para auditoría con una metodología práctica, ejemplos aplicados al contexto peruano y una plantilla base para evaluar riesgos, controles y pruebas.
¿Qué es una Matriz de Riesgos y Controles (RACM)?
La Matriz de Riesgos y Controles (RACM), por sus siglas en inglés Risk and Control Matrix, es una herramienta de auditoría que permite relacionar de manera ordenada los objetivos del proceso, los riesgos que pueden impedir su cumplimiento, los controles implementados por la entidad y las pruebas de auditoría necesarias para evaluar su diseño y funcionamiento.
En términos prácticos, la RACM ayuda a responder cuatro preguntas clave:
- ¿Qué podría salir mal en un proceso?
- ¿Qué control existe para evitarlo o detectarlo?
- ¿Ese control está bien diseñado?
- ¿Ese control realmente funciona en la práctica?
En auditoría financiera, auditoría interna, auditoría de cumplimiento y revisiones de control interno, esta matriz se ha convertido en una herramienta esencial para aplicar un enfoque basado en riesgos, alineado con la NIA 315, “Identificación y valoración de los riesgos de incorrección material mediante el conocimiento de la entidad y de su entorno” y la NIA 330, “Respuestas del auditor a los riesgos valorados”.
Además, cuando la auditoría involucra estimaciones, fraude o deficiencias de control interno, también resulta relevante considerar la NIA 240, “Responsabilidades del auditor en la auditoría de estados financieros con respecto al fraude” y la NIA 265, “Comunicación de las deficiencias en el control interno a los responsables del gobierno y a la dirección de la entidad”.
¿Por qué es importante una RACM en auditoría?
Muchas empresas y organizaciones en Perú documentan sus procesos, pero no siempre vinculan adecuadamente los riesgos con los controles. Como resultado, pueden existir controles duplicados, controles mal diseñados o riesgos relevantes sin cobertura.
Una RACM bien preparada permite:
- Priorizar riesgos según su impacto y probabilidad.
- Identificar brechas de control antes de que generen pérdidas, sanciones o errores materiales.
- Optimizar el trabajo de auditoría, enfocando pruebas en controles clave.
- Facilitar la comunicación con gerencia, directorio, comité de auditoría o consejo directivo en el caso de ONGs.
- Documentar el juicio profesional del auditor de forma clara y defendible.
Por ejemplo, en una empresa comercial peruana que vende al crédito, un riesgo relevante es registrar ventas ficticias al cierre para mejorar los resultados del mes. Si no existe un control de despacho, conformidad del cliente y revisión de facturación posterior al cierre, la empresa puede presentar ingresos sobrevaluados. En ese caso, la RACM permite documentar el riesgo, el control esperado y la prueba que verificará si dicho control opera realmente.
¿Cuándo conviene usar una plantilla RACM?
La RACM es útil en diferentes escenarios:
- Auditoría financiera externa.
- Auditoría interna basada en riesgos.
- Revisión de procesos críticos: tesorería, compras, inventarios, planillas, ingresos, donaciones, activos fijos.
- Implementación o fortalecimiento del sistema de control interno.
- Preparación para fiscalizaciones de SUNAT o revisiones de cooperantes en ONGs.
- Evaluación de riesgos en entidades que aplican NIIF o marcos contables especiales.
En el caso de una ONG en Perú que administra fondos de cooperación internacional, por ejemplo, la RACM puede ayudar a controlar riesgos como uso indebido de fondos restringidos, gastos sin sustento, incumplimiento de convenios o rendiciones tardías.
Estructura recomendada de una plantilla RACM
No existe un único formato obligatorio, pero una plantilla útil debe incluir como mínimo los siguientes campos:
Campos básicos de la matriz
| Campo | Descripción | Ejemplo |
|---|---|---|
| Proceso | Área o ciclo auditado | Compras y cuentas por pagar |
| Objetivo del proceso | Qué busca lograr el proceso | Adquirir bienes al mejor costo, con autorización y registro oportuno |
| Riesgo | Evento que puede afectar el objetivo | Pago a proveedor no autorizado |
| Tipo de riesgo | Operativo, financiero, cumplimiento, fraude, TI, etc. | Fraude / Cumplimiento |
| Impacto | Consecuencia si el riesgo ocurre | Pérdida económica y contingencia tributaria |
| Probabilidad | Posibilidad de ocurrencia | Media |
| Valoración del riesgo | Nivel resultante: bajo, medio, alto o crítico | Alto |
| Control clave | Actividad que previene o detecta el riesgo | Revisión y aprobación de pagos por jefe de administración |
| Tipo de control | Preventivo o detectivo; manual o automático | Preventivo / Manual |
| Frecuencia | Periodicidad del control | Diaria |
| Responsable | Quién ejecuta el control | Tesorero |
| Evidencia | Soporte del control | Voucher aprobado, orden de compra, factura y conformidad |
| Prueba de auditoría | Procedimiento para evaluar el control | Inspección de muestra de pagos y reperformance |
| Conclusión | Resultado de la evaluación | Control diseñado adecuadamente, pero con fallas de ejecución |
Plantilla base de Matriz de Riesgos y Controles (RACM)
A continuación, se presenta una plantilla práctica que puede adaptarse a una empresa, ONG, estudio profesional o entidad educativa en Perú.
| Proceso | Objetivo | Riesgo | Impacto | Probabilidad | Nivel | Control clave | Tipo | Frecuencia | Responsable | Evidencia | Prueba de auditoría | Resultado |
|---|---|---|---|---|---|---|---|---|---|---|---|---|
Esta plantilla puede trabajarse en Excel, Google Sheets o software especializado de auditoría. Lo importante no es el formato, sino la calidad del análisis y la trazabilidad entre riesgo, control y prueba.
Guía práctica paso a paso para elaborar una RACM
Paso 1: Definir el proceso o ciclo a evaluar
El primer paso consiste en delimitar claramente el proceso. No conviene empezar con algo demasiado amplio, como “administración”, sino con ciclos específicos: ingresos, compras, tesorería, planillas, inventarios o rendición de proyectos.
Por ejemplo, en una empresa de servicios en Lima, puede seleccionarse el ciclo de facturación y cobranza. En una ONG, el ciclo de ejecución y rendición de fondos de proyectos.
Paso 2: Identificar el objetivo del proceso
Todo riesgo debe analizarse frente a un objetivo. Si el objetivo no está claro, la matriz se vuelve genérica y pierde utilidad.
Ejemplo de objetivo: “Registrar ingresos de manera íntegra, oportuna y sustentada, asegurando su correcta cobranza y presentación en los estados financieros”.
Paso 3: Identificar los riesgos relevantes
Aquí se documentan los eventos que podrían impedir el logro del objetivo. Los riesgos deben redactarse de manera concreta y vinculada al proceso.
Ejemplos de riesgos en Perú:
- Emisión de comprobantes con datos incorrectos que afectan el crédito fiscal del cliente.
- Registro de ventas sin sustento de entrega.
- Cobros no depositados oportunamente en cuenta bancaria.
- Pagos duplicados a proveedores.
- Uso de fondos restringidos en gastos no elegibles en una ONG.
En este punto, el auditor aplica lo previsto en la NIA 315, entendiendo el proceso, sus puntos críticos y los riesgos de incorrección material.
Paso 4: Valorar impacto y probabilidad
La valoración puede ser cualitativa o cuantitativa. En la práctica, muchas entidades usan escalas simples: bajo, medio y alto; o puntajes de 1 a 5.
| Nivel | Impacto referencial | Probabilidad referencial |
|---|---|---|
| Bajo | Error menor, sin efecto material ni sanción relevante | Poco frecuente |
| Medio | Puede generar ajustes moderados o retrasos operativos | Ocurre ocasionalmente |
| Alto | Puede causar pérdidas importantes, fraude o contingencias | Ocurre con frecuencia o hay antecedentes |
Por ejemplo, un pago sin sustento tributario puede generar reparos del Impuesto a la Renta e IGV, además de observaciones en una auditoría. En una empresa mediana, esto suele clasificarse como riesgo alto.
Paso 5: Identificar los controles existentes
Una vez identificado el riesgo, corresponde documentar qué hace la entidad para prevenirlo o detectarlo. No basta con escribir “hay revisión”; debe describirse el control con precisión.
Un buen control responde a estas preguntas:
- ¿Quién lo ejecuta?
- ¿Cuándo se ejecuta?
- ¿Qué revisa?
- ¿Qué evidencia deja?
Ejemplo de control bien redactado: “El contador revisa semanalmente la conciliación entre facturas emitidas, guías de remisión y registro de ventas, dejando evidencia con firma digital en el reporte consolidado”.
Paso 6: Evaluar el diseño del control
En esta etapa, el auditor analiza si el control, tal como está diseñado, sería capaz de prevenir o detectar el riesgo oportunamente. Un control puede existir, pero estar mal diseñado.
Por ejemplo, si el mismo colaborador crea proveedores, registra facturas y procesa pagos, existe una debilidad de segregación de funciones. Aunque haya una “revisión posterior”, el control puede ser insuficiente para mitigar el riesgo de fraude.
Aquí también es útil considerar principios de control interno vinculados al ambiente de control, actividades de control y monitoreo.
Paso 7: Definir la prueba de auditoría
Con base en la NIA 330, “Respuestas del auditor a los riesgos valorados”, el auditor debe diseñar procedimientos para responder a los riesgos identificados. En la RACM, esto se traduce en pruebas específicas sobre los controles.
Las pruebas más comunes son:
- Inspección de documentos.
- Observación de la ejecución del control.
- Indagación con responsables del proceso.
- Reejecución o reperformance.
- Análisis de datos sobre transacciones inusuales.
Ejemplo: seleccionar una muestra de 25 pagos del mes y verificar si cada uno cuenta con orden de compra, factura, conformidad del servicio, aprobación y sustento bancario.
Paso 8: Concluir sobre la efectividad del control
Finalmente, se concluye si el control:
- Está bien diseñado y opera efectivamente.
- Está bien diseñado, pero no opera consistentemente.
- Está mal diseñado.
- No existe.
Si se detectan deficiencias, estas deben comunicarse conforme a la NIA 265, “Comunicación de las deficiencias en el control interno a los responsables del gobierno y a la dirección de la entidad”.
Ejemplo práctico: RACM del proceso de compras y pagos
Veamos un caso simplificado de una empresa comercial peruana dedicada a la distribución de productos de ferretería.
Escenario
La empresa realiza compras mensuales por aproximadamente S/ 450,000. El gerente ha detectado retrasos en pagos, observaciones de SUNAT por comprobantes mal sustentados y sospechas de pagos duplicados.
Fragmento de RACM
| Proceso | Objetivo | Riesgo | Nivel | Control clave | Prueba de auditoría | Conclusión |
|---|---|---|---|---|---|---|
| Compras y pagos | Adquirir bienes autorizados y registrar pagos válidos | Pago a proveedor ficticio o no autorizado | Alto | Alta de proveedores aprobada por administración y validada con RUC | Revisar muestra de altas de proveedores y validar existencia en SUNAT | Diseño adecuado; se detectaron 2 expedientes sin aprobación formal |
| Compras y pagos | Registrar gastos deducibles y sustentados | Pago con comprobante no fehaciente | Alto | Antes del pago, contabilidad verifica factura, orden de compra y conformidad | Inspeccionar 30 pagos y revisar sustento tributario | Control opera parcialmente; 6 de 30 pagos no tenían conformidad |
| Compras y pagos | Evitar duplicidad de desembolsos | Pago duplicado a un mismo proveedor | Medio | Reporte mensual de facturas duplicadas por número y monto | Reejecutar búsqueda de duplicados en el auxiliar | Control insuficiente; no cubre facturas con numeración distinta y mismo concepto |
Este tipo de análisis permite al auditor formular observaciones concretas y recomendaciones accionables, en lugar de comentarios generales.
Ejemplo práctico: RACM para una ONG en Perú
Escenario
Una ONG ejecuta un proyecto financiado por cooperación internacional por S/ 1,200,000. El convenio exige que los fondos se usen solo en actividades aprobadas y que toda rendición cuente con sustento documentario completo.
Riesgos frecuentes
- Gastos cargados al proyecto que no corresponden al presupuesto aprobado.
- Rendiciones fuera de plazo.
- Pagos en efectivo sin documentación suficiente.
- Errores en la asignación entre fondos restringidos y no restringidos.
Controles recomendables
- Revisión presupuestal previa por el coordinador del proyecto.
- Aprobación de desembolsos por niveles.
- Conciliación mensual entre ejecución presupuestal, contabilidad y reportes al cooperante.
- Archivo físico o digital completo de sustento.
En estos casos, la RACM también ayuda a reforzar la transparencia y la rendición de cuentas ante donantes, consejo directivo y auditores externos.
Relación entre la RACM y la normativa contable y legal
Aunque la RACM es una herramienta de auditoría y control, su utilidad se relaciona directamente con la calidad de la información financiera y el cumplimiento legal.
Por ejemplo, si la entidad prepara estados financieros bajo NIIF, el control interno sobre transacciones y estimaciones es fundamental para respaldar cifras reconocidas y reveladas. En ese contexto, puede ser relevante considerar la NIC 1, “Presentación de Estados Financieros”, que exige una presentación razonable, y la NIC 8, “Políticas Contables, Cambios en las Estimaciones Contables y Errores”, especialmente cuando debilidades de control generan errores o ajustes.
Desde el punto de vista legal peruano, la documentación de controles también se vincula con obligaciones de soporte y conservación de información. Por ejemplo, el artículo 87 del Texto Único Ordenado del Código Tributario, aprobado por Decreto Supremo N.° 133-2013-EF, establece obligaciones de los administrados, entre ellas facilitar las labores de fiscalización y exhibir o presentar libros, registros y documentos sustentatorios. Una RACM no reemplaza estas obligaciones, pero ayuda a estructurar cómo la entidad controla su cumplimiento.
Asimismo, en materia societaria, la responsabilidad de una adecuada gestión y control se conecta con el artículo 190 de la Ley General de Sociedades, Ley N.° 26887, respecto de la gestión social a cargo del directorio, y con las responsabilidades de la gerencia según el artículo 188 de la misma ley, en cuanto a la marcha ordinaria de la sociedad. En la práctica, una RACM bien implementada sirve como evidencia de una gestión más ordenada y consciente de sus riesgos.
Errores comunes al elaborar una RACM
1. Describir riesgos demasiado generales
Frases como “riesgo de error” o “riesgo financiero” son insuficientes. Debe especificarse qué error, en qué proceso y con qué consecuencia.
2. Confundir control con procedimiento operativo
No toda actividad es un control. Un control debe mitigar un riesgo específico y dejar evidencia.
3. No identificar al responsable del control
Si nadie es responsable, el control difícilmente será consistente.
4. No distinguir entre diseño y operación
Un control puede estar bien definido en el manual, pero no aplicarse en la práctica.
5. Elaborar la matriz solo para “cumplir”
Cuando la RACM se llena de forma mecánica, pierde valor. Debe ser una herramienta viva y actualizable.
Buenas prácticas para que la RACM realmente funcione
| Buena práctica | Beneficio |
|---|---|
| Actualizar la matriz al menos una vez al año | Permite reflejar cambios de procesos, personal o sistemas |
| Involucrar a los dueños del proceso | Mejora la precisión de riesgos y controles |
| Priorizar controles clave | Evita matrices extensas pero poco útiles |
| Documentar evidencia concreta | Facilita las pruebas de auditoría y el seguimiento |
| Vincular la RACM con hallazgos y planes de acción | Convierte la matriz en una herramienta de mejora continua |
¿Conviene tener una RACM por proceso o una sola matriz general?
Depende del tamaño de la entidad. En una empresa pequeña, puede funcionar una matriz general por áreas principales. En una organización mediana o grande, es más recomendable elaborar una RACM por proceso crítico.
Por ejemplo:
- RACM de ingresos.
- RACM de compras y pagos.
- RACM de tesorería.
- RACM de inventarios.
- RACM de planillas.
- RACM de proyectos y donaciones, en el caso de ONGs.
Esto mejora la profundidad del análisis y facilita la asignación de responsables.
Cómo usar la RACM para sustentar hallazgos de auditoría
Una ventaja importante de la RACM es que ayuda a que los hallazgos no se basen solo en percepciones. Si un riesgo es alto, el control es inexistente o deficiente, y la prueba demuestra fallas, el hallazgo gana solidez técnica.
Por ejemplo, si en una muestra de 40 pagos se detecta que 12 no tienen conformidad del servicio, el auditor puede sustentar objetivamente que el control no opera de manera consistente. A partir de ello, la recomendación puede orientarse a reforzar aprobaciones, establecer bloqueos en el sistema o redefinir la segregación de funciones.
Conclusión
La Matriz de Riesgos y Controles (RACM) es mucho más que una hoja de trabajo: es una herramienta estratégica para ordenar el enfoque de auditoría, entender los procesos, identificar riesgos relevantes y evaluar si los controles realmente protegen a la organización.
En el contexto peruano, donde las empresas y ONGs enfrentan exigencias contables, tributarias, operativas y de transparencia cada vez mayores, contar con una RACM bien estructurada puede marcar la diferencia entre una auditoría superficial y una revisión realmente útil para la toma de decisiones.
Si su organización necesita diseñar, revisar o fortalecer su matriz de riesgos y controles para auditoría financiera, auditoría interna o evaluación de procesos, en Carlos Lingan & Asociados S.C. podemos ayudarle con una metodología práctica y adaptada a su realidad.
Para consultas, escríbanos a auditor@carloslingan.pe.
