Con la analítica de datos al alcance de casi cualquier equipo, la muestra ha empezado a parecer una confesión de debilidad. Si se puede probar todo, probar veinticinco partidas suena a no haber hecho los deberes. Las Normas Globales de Auditoría Interna no dicen eso.
Lo que dicen las Normas
Las consideraciones de la Norma 14.1 plantean la decisión tal cual. Al recopilar información, los auditores consideran si realizarán pruebas «sobre una población completa de datos o sobre una muestra representativa». Y si eligen muestra, deberían aplicar métodos para que sea lo más representativa posible de la población.
La Norma 14.2 añade que los auditores deberían comprender y utilizar tecnologías que permiten «probar una población entera, en lugar de solo una muestra». Es una invitación clara a usar la población completa cuando se puede. No es una prohibición de muestrear. De hecho, las consideraciones de la Norma 13.6 indican que, cuando se emplea el muestreo, el programa de trabajo incluya el método, la población, el tamaño de la muestra y si los resultados pueden extrapolarse a la población.
Lo que las Normas piden, por tanto, es que la elección se haga a propósito y quede escrita.
Tres casos en que la muestra es la buena decisión
- Datos incompletos o sin conciliar. Si el extracto no cuadra con el total contable o con el directorio corporativo, probar el cien por cien de ese extracto es probar con precisión la cosa equivocada. El primer hallazgo es la diferencia de conciliación. Mientras se resuelve, una muestra tomada de la fuente verificada puede decir más que la población entera de un fichero en el que no se puede confiar.
- Información no estructurada. Contratos, actas, informes de proveedores o evidencias de revisión en documentos sueltos. Se pueden localizar y clasificar con tecnología, pero valorar si una cláusula protege o si un acta recoge una decisión real exige leer y juzgar.
- Pruebas que piden inspección humana. La Norma 14.1 incluye entre los procedimientos la observación directa de un proceso y la inspección de evidencias físicas. Comprobar que una revisión fue real y no solo una firma, o que un inventario existe, no se resuelve con una consulta.
En muchos trabajos la respuesta es mixta. La población completa para lo que se puede probar con datos, como que todo pago tenga un aprobador distinto de quien lo solicita, y una muestra para lo que exige juicio, como si esa aprobación miró algo.
Lo que una muestra tiene que declarar
- Se declara. En los papeles de trabajo y en el informe. La Norma 14.6 incluye en el formato básico del papel de trabajo la «descripción de la población evaluada, incluyendo tamaño de la muestra y método de selección empleado». Una conclusión que no dice sobre qué se apoya no se puede revisar.
- Se elige por riesgo. Importes altos, operaciones fuera de horario, proveedores nuevos, usuarios con privilegios. Una selección dirigida es legítima porque apunta a donde está el riesgo, pero no es representativa.
- No se extrapola más allá de lo que soporta. Una muestra dirigida que encuentra errores dice que esos errores existen. No dice qué proporción de la población está mal. Solo un método estadístico diseñado para ello permite proyectar, y el programa tiene que haberlo dicho antes de probar.
Una muestra bien declarada es una prueba. Una muestra que se presenta como si fuera la población es un riesgo para quien firma.
La pregunta útil no es si muestrear o no. Es qué parte del riesgo se puede probar entera con los datos que hay y qué parte necesita a alguien mirando. En los accesos, por ejemplo, el censo de usuarios se cruza entero contra el directorio corporativo, que es justo el terreno donde probar la población entera cambia el trabajo de campo. La calidad de una recertificación, en cambio, solo se valora leyendo decisiones concretas.
