Pruebas de diseño y de operación en los ciclos financieros

La prueba de diseño responde a una pregunta: si el control funciona como está descrito, ¿evita o detecta el error del riesgo que cubre? Se hace con un recorrido (walkthrough) de una transacción de punta a punta, indagación a quien ejecuta el control e inspección de la evidencia. No requiere una muestra grande: se busca entender el control.

La prueba de operación responde a otra: durante el periodo, ¿se ejecutó el control tal como estaba diseñado, por quien debía y con consistencia? Aquí sí se usa una muestra de ocurrencias del control y técnicas más fuertes: inspección de la evidencia de cada caso y, cuando se puede, reejecución del control por el evaluador. Un control mal diseñado no se prueba en operación: no tendría sentido.

El tamaño de la muestra de una prueba de operación depende de la frecuencia del control y del riesgo. Mientras más veces se ejecuta, más casos se toman, y las metodologías suelen fijarlo en una tabla. Todas las cifras de este laboratorio son ficticias: cada empresa o firma fija la suya, y una buena práctica es dejar escrito por qué.

Mira el plan de pruebas de Río Manso y la tabla de su metodología, y obtén el mínimo para el control de frecuencia diaria.

En una muestra, cada partida (una ocurrencia del control) se prueba por separado, con el mismo atributo: ¿está la evidencia de que alguien con autoridad ejecutó el control como debía, a tiempo y con el resultado esperado? La ausencia de evidencia es una excepción, no un «probablemente se hizo».

Revisa los resultados de las partidas del control de revisión mensual de costos y encuentra la que no tiene evidencia.

La metodología de Río Manso tolera cero excepciones en las muestras. Hay una tentación conocida: al aparecer una, ampliar la muestra hasta que aparezcan suficientes casos buenos y diluir el resultado. Eso es repetir la prueba hasta que dé lo que se quiere. Solo es legítimo ampliar si la metodología lo previó desde el diseño de la prueba, con reglas escritas antes de ver los resultados.

Lo que se hace es concluir que el control no operó eficazmente en ese periodo, investigar la causa (¿falla puntual o sistemática?, ¿quién, cuándo, por qué?) y evaluar la deficiencia con su monto y compensatorios, como en la sala anterior.

Probar en junio no dice nada sobre lo que pasará entre junio y diciembre. Las pruebas intermedias adelantan trabajo, pero el control debe poder concluirse al cierre. La solución es una prueba de actualización (roll-forward): se obtiene evidencia adicional del periodo restante, y su alcance depende del riesgo del control, de los resultados de la fase intermedia y de si hubo cambios (personas, sistemas, procesos) desde entonces.

En el plan de Río Manso las pruebas cubren de enero a mayo y el cierre es el 31 de diciembre. Un control con una excepción en abril merece más trabajo de actualización que uno sin excepciones.