Es el riesgo de que los sistemas de control interno establecidos por la gerencia de la Empresa no puedan evitar o detectar errores o irregularidades significativas (incorrección material) en forma oportuna.
La empresa debe identificar y valorar sus riesgos de negocio y de otro tipo (tal como el fraude) y responder mediante el diseño y la implementación de un sistema de control interno adecuado. Los controles a nivel de entidad tales como supervisión por parte de la junta directiva, controles generales de tecnología de la información (TI), y políticas de recursos humanos, son generales para todas las aserciones mientras que los controles a nivel de actividad se relacionan con aserciones específicas.
Para evaluar este riesgo el auditor debe evaluar los controles clave establecidos por el cliente en los procesos más complejos o que son vitales en el giro de negocio de la empresa. Para calificar como un riesgo bajo de control, el auditor deberá realizar procedimientos de observación y re ejecución sobre el control determinado y verificar que el mismo cumple adecuadamente la misión para la cual fue diseñado.
Con un control interno fuerte y eficiente el auditor puede determinar su enfoque de auditoría sobre procedimientos de cumplimiento y reducir sus procedimientos sustantivos.
Para ampliar el tema, se sugiere consultar la norma internacional de auditoría, NIA 265 «Comunicación de las deficiencias en el control interno a los responsables del Gobierno y a la Dirección de la entidad».