Muestreo en auditoría interna: qué permite concluir una muestra y qué no

La fuerza de una conclusión depende de la relación entre la pregunta, la población y el diseño de la prueba. El número de elementos revisados, por sí solo, no establece hasta dónde puede llegar el informe.

En auditoría interna, revisar documentos es una actividad; sustentar una conclusión es una responsabilidad. Entre ambas existe una decisión metodológica: precisar qué representa lo revisado y qué incertidumbre permanece. El muestreo sirve a esa decisión cuando se diseña para responder una pregunta delimitada, no cuando se utiliza como justificación retrospectiva de los elementos que fue posible conseguir.

Las Normas Globales de Auditoría Interna del IIA, vigentes desde el 9 de enero de 2025, exigen información relevante, fiable y suficiente. Sus consideraciones de implementación para la Norma 13.6 relacionan el programa de trabajo con el método, la población, el tamaño de muestra y la posibilidad de extrapolar resultados. La Norma 14.1 orienta la evaluación de la información y la 14.6 exige documentar el soporte de los resultados. [1]

Primero se define la conclusión que se necesita sustentar

El punto de partida es el objetivo de la prueba. Evaluar el funcionamiento de un control y estimar una incorrección monetaria requieren diseños distintos. El Financial Audit Manual de GAO/CIGIE distingue las pruebas de controles de las pruebas sustantivas y vincula el plan de muestreo con el objetivo, la población, la unidad, el periodo, el método de selección y el tamaño. [2, secciones 450 y 480]

La consecuencia práctica es precisar qué se observará y qué contará como desviación antes de revisar los elementos. Una definición ambigua permite que el criterio cambie durante el trabajo y debilita la comparabilidad de los resultados. Para evaluar controles, el manual exige definir la actividad que se prueba y las condiciones que constituyen una excepción o falla. [2, 450.03–.04]

Este artículo utiliza el manual de GAO/CIGIE y la ISA (UK) 530 del Financial Reporting Council como referentes metodológicos de auditoría financiera. Su empleo aquí es una adaptación técnica a la auditoría interna: no los convierte en normas colombianas ni en obligaciones generales para todas las organizaciones.

Población, marco y unidad: tres decisiones que no deben confundirse

La población es el conjunto sobre el cual se pretende concluir. El marco es la relación operativa de elementos de la que se extrae la muestra. La unidad es aquello que puede ser seleccionado y examinado. Para que esas tres decisiones sean coherentes, conviene registrar la fuente de los datos, los criterios de inclusión y exclusión, el periodo y la evidencia disponible para aplicar el procedimiento. GAO/CIGIE incorpora expresamente la verificación de que la población sea completa y válida. [2, 450.03–.06]

Como consecuencia metodológica, una selección aleatoria dentro de un archivo incompleto no corrige las omisiones de ese archivo. Tampoco una muestra de un periodo sustenta automáticamente una conclusión sobre otro. Antes de calcular tamaños, el auditor necesita comprobar la correspondencia entre el conjunto que desea evaluar y el conjunto efectivamente disponible.

La delimitación también importa cuando existen varias sedes o formas de ejecutar un control. El manual pide valorar la uniformidad, las modificaciones locales y la necesidad de conclusiones separadas para decidir si corresponde una sola población o varias. Agrupar registros no demuestra que compartan el mismo funcionamiento de control. [2, 450.06]

Tres formas de seleccionar y tres alcances diferentes

La distinción decisiva no es entre una muestra grande y una pequeña. La ISA (UK) 530 señala que el tamaño no permite distinguir el enfoque estadístico del no estadístico; el primero combina selección aleatoria y evaluación mediante teoría de probabilidades, incluida la medición del riesgo de muestreo. [3, 5(g) y A9]

• Muestreo estadístico. Permite evaluar los resultados con una metodología probabilística y expresar la incertidumbre de la inferencia, siempre que se respeten el diseño y sus condiciones.
• Muestreo no estadístico. También busca sustentar una conclusión sobre la población. Requiere juicio profesional y selección apropiada, pero no proporciona por sí mismo una cuantificación estadística de precisión y confianza.
• Selección dirigida de elementos específicos. Su conclusión directa recae en los elementos examinados. Seleccionar por importancia, características particulares o señales de riesgo no proporciona una base para proyectar automáticamente sus resultados al resto.

Esta separación está desarrollada en el manual GAO/CIGIE. Es especialmente importante no equiparar toda selección no estadística con muestreo no estadístico: el propósito inferencial y el modo de selección son diferentes. [2, 430.02; 480.04–.09; 495 D.02]

La revisión dirigida puede combinarse con muestreo del segmento restante. En ese diseño, las conclusiones deben conservar la distinción entre lo revisado directamente y lo inferido. La utilidad de investigar elementos de mayor riesgo no autoriza a presentar su frecuencia de desviaciones como frecuencia de toda la población. [2, 480.08–.09]

El tamaño se justifica con parámetros, no con una costumbre

En las pruebas de controles, GAO/CIGIE relaciona el diseño con la desviación tolerable, la desviación esperada y el grado de aseguramiento y confianza buscado. En pruebas de detalle entran, además, la incorrección tolerable, la esperada y las características del método seleccionado. [2, 450.08 y 480.16–.18]

Por eso, una cantidad fija o un porcentaje del universo no constituyen una justificación suficiente por sí solos. El expediente debe mostrar cómo se llegó al tamaño y qué decisión permitirá tomar. Copiar una tabla sin conservar sus supuestos tampoco transfiere la validez del diseño original a una prueba diferente.

Como recomendación de aplicación, los parámetros deben fijarse y justificarse antes de conocer el resultado. Cuando la técnica exige conocimientos especializados, resulta pertinente incorporar apoyo de muestreo. GAO/CIGIE recomienda esa consulta al aplicar conceptos estadísticos complejos. [2, 480.11]

Qué significa encontrar desviaciones, y qué significa no encontrarlas

El riesgo de muestreo es la posibilidad de que la conclusión obtenida difiera de la que resultaría al aplicar el mismo procedimiento a toda la población. En controles puede llevar a una confianza excesiva o insuficiente en su funcionamiento. [2, glosario: Sampling risk]

En consecuencia, no encontrar desviaciones en los elementos examinados no prueba que la tasa poblacional sea exactamente cero. La evaluación debe considerar el tamaño, los resultados y el riesgo de muestreo conforme al método aplicado. Para las pruebas de controles, GAO/CIGIE exige evaluar conjuntamente tamaño, número de desviaciones y confianza. [2, 450.16]

También es necesario separar la frecuencia observada de su interpretación. Una desviación de control es un incumplimiento del criterio definido para esa prueba; no equivale, sin evidencia adicional, a una pérdida monetaria ni demuestra por sí sola un fraude. El manual exige investigar naturaleza y causa, valorar efectos en otros procedimientos y reconsiderar la confianza depositada en los controles. [2, 450.04 y .15]

La ISA (UK) 530 exige investigar las desviaciones y evaluar su efecto. Si el procedimiento previsto y las alternativas apropiadas no pueden aplicarse a un elemento seleccionado, establece un tratamiento específico como desviación o incorrección según la prueba. La ausencia de soporte no debe desaparecer mediante una sustitución conveniente. [3, 9–12]

Revisar toda una base tampoco resuelve todos los riesgos

El PCAOB distingue el riesgo de muestreo de los riesgos asociados a factores como elegir un procedimiento inadecuado, aplicarlo incorrectamente o interpretar mal sus resultados. Examinar todos los registros disponibles elimina la selección muestral de ese conjunto, pero no convierte un procedimiento equivocado en evidencia adecuada ni demuestra la integridad de los datos de origen. [4, .09–.11]

Esta distinción importa al utilizar analítica automatizada. Como criterio de revisión, deben separarse la cobertura de registros, la calidad de la información y la capacidad del procedimiento para responder el objetivo. El alcance cuantitativo de una búsqueda no sustituye el juicio sobre la evidencia que produce.

Cómo presentar una conclusión que pueda revisarse

La siguiente estructura es una recomendación editorial basada en la documentación del diseño y la evaluación que desarrolla GAO/CIGIE. No es una fórmula para declarar eficacia ni un resultado de auditoría:

1. Objeto y alcance: criterio evaluado, población, unidad, periodo y segmentos excluidos.
2. Diseño: selección empleada, tamaño y fundamento de sus parámetros.
3. Ejecución: elementos efectivamente examinados, procedimientos y limitaciones.
4. Resultados: desviaciones y evidencia de su naturaleza, sin mezclar frecuencia con gravedad.
5. Evaluación: tratamiento del riesgo de muestreo, proyección cuando corresponda y relación con otras pruebas.
6. Conclusión: qué queda sustentado, sobre qué conjunto y qué requiere trabajo adicional.

Los formatos del manual preservan justamente la relación entre definición de la población, confiabilidad de los datos, diseño, evaluación de desviaciones y base de la conclusión. [2, 495 D]

Conclusiones

Una muestra útil conserva una cadena verificable entre objetivo, población, selección, prueba e interpretación. El rigor consiste en no atribuirle un alcance que su diseño no sostiene.

• El muestreo estadístico y el no estadístico pueden servir a una inferencia; la selección dirigida exige un tratamiento distinto.
• La ausencia de desviaciones observadas debe interpretarse dentro del método y su incertidumbre.
• Un informe sólido declara el alcance y las limitaciones con la misma precisión con que comunica los hallazgos.

Para continuar con la relación entre prueba y evidencia operativa, puede consultarse el análisis Cómo evaluar la efectividad del PTEE. El foco de este artículo es diferente: establecer hasta dónde es defendible generalizar lo observado.