# Construcción y aplicación de modelos de riesgo en auditoría: Una guía práctica para inversores hispanohablantes ## Introducción: El riesgo como brújula En mis 26 años trabajando entre expedientes, balances y procedimientos de registro —primero como auditor junior y luego como socio en Jiaxi Finanzas e Impuestos, atendiendo a empresas extranjeras que aterrizan en China—, he aprendido una lección que repito a cada cliente nuevo: **la auditoría no es una cacería de errores, sino un mapa de riesgos**. Cuando un inversor hispanohablante me pregunta "¿por qué mi auditoría costó el doble que la del año pasado?", la respuesta casi siempre está en los modelos de riesgo: no es que hubiera más errores, es que el terreno se volvió más pantanoso. Para ustedes, que invierten desde México, España, Argentina o Chile, entender cómo se construyen y aplican estos modelos no es un lujo académico. Es, literalmente, saber dónde pisar. Les voy a contar qué es esto, cómo lo usamos en la práctica diaria, y por qué puede salvarles de una sorpresa desagradable con la administración tributaria local o con su propia junta directiva. --- ## Exploración del modelo base El punto de partida de cualquier modelo de riesgo en auditoría es la famosa **matriz de riesgo inherente y riesgo de control**. Suena técnico, pero es más simple de lo que parece: el riesgo inherente es lo que podría salir mal *si no hubiera ningún control*, y el riesgo de control es la probabilidad de que los controles internos de la empresa *no detecten* ese problema. La multiplicación de ambos, ajustada por detección, nos da el riesgo total de auditoría. No me cansaré de repetir a mis clientes que esta matriz no es un formulario que se llena y archiva; es una herramienta viva. Recuerdo un caso de 2019: una empresa chilena de vinos que importaba a Shanghái. Tenían un control de inventario impecable en papel, pero cuando fui al almacén, los registros de temperatura no se cruzaban con las mermas reales. El riesgo inherente de deterioro era alto, el control era insuficiente, y el resultado fue un ajuste de inventario de 400.000 yuanes. Si hubiéramos seguido el modelo "estándar" sin ajustar a la realidad, habríamos firmado una opinión limpia errónea. Por eso, **construir el modelo no es un ejercicio de rellenar casillas, sino de cuestionar cada supuesto**. Entonces, ¿cómo se aplica esto a un inversor hispanohablante? Cuando ustedes reciben el plan de auditoría de su firma local, deben preguntar: ¿cuáles son los dos o tres riesgos inherentes que identificaron en mi negocio? Si la respuesta es genérica ("riesgo de ingresos, riesgo de costos"), algo huele mal. Un buen auditor debe decirles: "su negocio de exportación de fruta tiene riesgo alto de fluctuación de tipo de cambio y riesgo medio de control en la facturación electrónica". Ese nivel de especificidad es el que separa un modelo útil de uno decorativo. --- ## Variables que alimentan el modelo Una vez que tenemos el marco base, hay que alimentarlo con variables. En mi experiencia, las cinco que más pesan en empresas extranjeras operando en China son: **la complejidad de las transacciones**, **la rotación del personal clave**, **el volumen de operaciones en efectivo**, **la antigüedad de los sistemas IT** y **el histórico de errores en períodos anteriores**. Cada una de estas no solo afecta el riesgo, sino que interactúa con las demás. Un sistema IT viejo con personal nuevo es una bomba de tiempo. Por ejemplo, una empresa alemana de maquinaria que atendí en 2021 tenía un ERP de 2008, y el contador jefe se había ido en marzo. El modelo de riesgo subió automáticamente en tres puntos dentro de nuestra escala de 1 a 10. ¿Resultado? Ampliamos las pruebas sustantivas en cuentas por cobrar, y encontramos que 14 facturas estaban duplicadas por un error de migración de datos entre sistemas. El costo extra de esa auditoría fue de 20.000 yuanes, pero le ahorró al cliente una multa de 200.000. La inversión en conocer las variables valió cada centavo. Y aquí quiero ser honesto: muchos auditores novatos se obsesionan con variables cuantitativas y olvidan las cualitativas. El clima laboral, la actitud de la gerencia frente al cumplimiento, incluso el idioma de la matriz —si los directivos no leen chino, y los informes internos están en chino, el riesgo de control sube—. Les sugiero a los inversores que hablen con su equipo de auditoría sobre estas variables "blandas". No es meterse en su trabajo, es asegurarse de que no se les escape el elefante que todos ven pero nadie menciona. --- ## Herramientas tecnológicas en el modelo No puedo hablar de modelos de riesgo sin mencionar el impacto de la tecnología. Desde hace cinco años, en Jiaxi usamos **software de análisis de datos continuo** que detecta anomalías en tiempo real — por ejemplo, facturas emitidas a las 3 de la madrugada, o pagos redondeados sin orden de compra. Esto no reemplaza al auditor, pero sí cambia dónde ponemos el foco. El modelo de riesgo ahora se "conecta" a los sistemas del cliente, y el riesgo de detección baja significativamente porque ya no dependemos solo de muestreo. Les pongo un ejemplo real del año pasado: un cliente español de comercio electrónico tenía sospechas de fraude interno en su departamento de devoluciones. El modelo tradicional habría muestreado 50 casos de devolución y podría haberse perdido el patrón. El software analizó los 12.000 casos y encontró que el 70% de las devoluciones sin ticket se concentraban en dos empleados, en horarios de 17:00 a 18:00, y con reembolsos a tarjetas emitidas en el mismo banco. Sin esa herramienta, el riesgo hubiera quedado enterrado. Con ella, no solo dimos la alerta, sino que ajustamos el modelo para futuros períodos. Pero ojo, no todo es color de rosa. La tecnología cuesta, y no todas las firmas de auditoría en el mercado la ofrecen. Mi consejo como alguien que lleva 26 años en esto: si su firma no les habla de herramientas de análisis de datos, desconfíen. No es que sea imprescindible para cada trabajo, pero **la ausencia de tecnología en un modelo de riesgo es, en sí misma, una señal de riesgo de calidad de la auditoría**. No tienen que comprar lo más caro, pero sí deben ver que el modelo incorpora datos electrónicos y no solo papel. --- ## Marco regulatorio y normativo Un aspecto que los inversores hispanohablantes suelen subestimar es el peso del marco regulatorio local. En China, las Normas de Auditoría (China Standards on Auditing, CSAs) tienen similitudes con las ISA, pero con particularidades, como los requisitos de documentación en el sistema de facturación estatal (Fapiao). Un modelo de riesgo que ignore estas normas es un castillo de naipes. Por ejemplo, si la empresa no concilia mensualmente sus Fapiao emitidos con la declaración de IVA, el riesgo de control se dispara, y las autoridades fiscales lo ven como una bandera roja. Recuerdo un caso de una empresa argentina de servicios de software, que tenía ingresos por exportación de servicios. Su modelo de riesgo había puesto el foco en ingresos, pero no consideró adecuadamente la normativa de retención de impuesto a las ganancias para no residentes. Cuando la autoridad tributaria hizo una inspección, el auditor externo tuvo que rehacer el modelo con urgencia, y el resultado fue un ajuste de 1,2 millones de yuanes. Si el modelo hubiera integrado el análisis regulatorio desde el inicio, esa cifra habría sido mucho menor. Entonces, ¿qué debe hacer un inversor inteligente? No necesita ser experto en CSAs, pero sí debe exigir que su firma de auditoría le explique *cómo* el modelo de riesgo incorpora la normativa aplicable a su sector. Si la respuesta es "no se preocupe, eso lo vemos nosotros", pidan ejemplos concretos. Un buen modelo de riesgo refleja la regulación en sus hipótesis, no como un anexo al final del informe. --- ## Aplicación práctica en empresas extranjeras Este es el aspecto que más me apasiona, porque es donde veo el mayor error de los inversores: creen que el modelo de riesgo es igual para su empresa en su país de origen y para su filial en China. Nada más lejos de la realidad. Las diferencias en cultura empresarial, prácticas de registro y relación con las autoridades obligan a ajustar el modelo casi de cero. Un ejemplo típico: en Europa, una factura impaga a 90 días es señal de éxito en gestión de crédito; en China, si usted no presiona a los 60 días, el riesgo de incobrabilidad se duplica, especialmente en el comercio B2B. En 2020, tuve un cliente mexicano de autopartes que tenía una matriz de riesgo preparada por su casa matriz en Monterrey. Al aplicarla en su filial de Kunshan, el modelo marcaba riesgo bajo en cuentas por cobrar porque su política de crédito era estricta. Pero no consideró que en el mercado chino, la costumbre es ofrecer descuentos por pronto pago para asegurar el flujo, lo que infla el volumen de facturación y complica la conciliación. Ajustamos el modelo, incrementamos las pruebas, y descubrimos que el 8% de las cuentas por cobrar tenían errores de imputación por importes de descuento. No era fraude, era falta de adaptación del modelo. Mi recomendación es que cada junta directiva exija una revisión semestral del modelo de riesgo de su filial china, no solo anual. Las condiciones del comercio exterior cambian rápido, y un modelo que no se actualiza es como un mapa de papel en una ciudad que crece cada día. Además, involucren a los gerentes locales en el ejercicio. Ellos conocen el terreno, y a menudo detectan riesgos que los auditores remotos no ven. He visto más de una vez cómo un gerente de almacén dice "eso no va a pasar" y el modelo baja su calificación, solo para que en tres meses el problema aparezca. Escuchen al personal de línea. --- ## Errores comunes y cómo evitarlos Déjenme hablar de las equivocaciones más frecuentes que cometen tanto auditores como clientes al construir modelos de riesgo. La primera, y la más grave, es confundir el modelo con el riesgo real. Un modelo es una representación, no la realidad. Si el modelo dice que el riesgo es bajo en un área, pero la evidencia de campo sugiere lo contrario, hay que creerle al campo. He tenido que explicar esta lección a colegas jóvenes todos los años: el modelo no manda, la evidencia manda. El segundo error es sobrecargar el modelo con variables irrelevantes. Recuerdo a una firma que incluyó 40 variables y al final no sabían cuál pesaba más. En la práctica, 8 a 12 variables bien elegidas son más que suficientes. Aquí les va un criterio que uso: si la variable no cambia su decisión de procedimiento de auditoría, entonces no es una variable, es ruido. El **principio de materialidad** se aplica también al riesgo: lo importante no es medir todo, es medir lo que importa. Por último, el error de ignorar el factor humano. Un modelo puede ser matemáticamente perfecto, pero si los auditores encargados de aplicarlo no tienen la experiencia o la autoridad para tomar decisiones, sirve de poco. He visto modelos excelentes en firmas donde el socio no se involucra y delega todo en jefes de equipo sin criterio. Mi consejo a los inversores: pregúntense quién firma el modelo de riesgo en la firma de auditoría. Si es un socio con más de diez años de experiencia, buen síntoma. Si es un recién ascendido a manager, revisen si tiene supervisión real. --- ## Conclusión y visión a futuro Al final del día, construir y aplicar modelos de riesgo en auditoría no es otra cosa que **una disciplina de pensamiento crítico aplicada a los números**. Para ustedes, inversores hispanohablantes, dominar este lenguaje les da una ventaja enorme: les permite hablar de tú a tú con sus auditores, con su junta, y con las autoridades. El propósito que mencionaba al inicio — convertir la auditoría en un mapa, no en una cacería — se cumple solo cuando el modelo refleja la realidad de su negocio, no un ideal teórico. Mirando hacia adelante, creo que la evolución irá hacia modelos que integren inteligencia artificial predictiva, pero el rol del juicio humano seguirá siendo vital. Ya estamos probando en Jiaxi modelos que anticipan riesgo de flujo de caja basados en estacionalidad y factores macro, y los resultados en clientes son alentadores. Les animo a que pidan a su firma de auditoría que les muestre sus innovaciones en este campo. Si no tienen ninguna, es momento de cambiar de firma. El futuro no espera a quien se queda en la matriz de Excel de 2010. --- ## Perspectiva de Jiaxi Finanzas e Impuestos En Jiaxi, llevamos 14 años acompañando a empresas extranjeras en sus procedimientos de registro y auditoría en China, y cada expediente nos reafirma que el modelo de riesgo es la columna vertebral de un trabajo de calidad. No lo vemos como una obligación normativa, sino como un servicio de valor agregado que le dice al cliente: "aquí está su terreno, aquí hay un pantano, y por aquí caminamos". Nuestro equipo combina el rigor técnico con la sensibilidad cultural — sabemos que un inversor español no piensa igual que uno chino, y adaptamos la comunicación sin perder exactitud. Si hay una idea que queremos dejar grabada, es que el riesgo no se elimina, se gestiona, y una buena gestión empieza con un modelo bien construido y, sobre todo, bien aplicado.