Controles de información financiera y auditoría

Una partida del balance que diga «Activos digitales: 250 millones de USD» solo es tan fiable como la evidencia que la respalda. Las criptomonedas cambian el problema de auditoría: el libro mayor es público, pero la propiedad se demuestra mediante el control de las claves, los activos pueden moverse en minutos y los precios varían entre plataformas. Los equipos de finanzas, los auditores internos y los auditores externos necesitan saber qué controles generan cifras fiables, qué prueban los auditores y por qué un informe de prueba de reservas no es una auditoría.

Las afirmaciones más importantes

Los auditores prueban las afirmaciones que la gerencia presenta en los estados financieros. En el caso de las criptomonedas, cinco concentran la mayor parte del riesgo:

Existencia y derechos: demostrar el control

Un explorador de bloques puede mostrar que una dirección tiene 1.000 BTC. No puede mostrar quién controla esa dirección. Cualquiera puede copiar la dirección de una billetera fría de un exchange conocido en una hoja de cálculo y afirmar que le pertenece. Por eso, los auditores buscan evidencia del control de las claves privadas:

• Mensajes firmados: la entidad firma un mensaje elegido por el auditor (con una fecha o un nonce) con la clave de cada dirección, y el auditor verifica la firma.
• Transacciones de prueba: se transfiere desde la dirección un importe pequeño especificado por el auditor en un momento acordado.
• Observación de las ceremonias de claves y de los controles sobre el almacenamiento, el quórum y la firma de claves, tratados en la lección Niveles de billeteras, políticas de transacción y flujos de firma.

El control de las claves no equivale a tener derechos sobre los activos. Las monedas pueden estar pignoradas como garantía, prestadas, bloqueadas en staking o custodiadas para clientes. Quien tiene las claves puede ser custodio de otra persona. Los auditores leen los acuerdos de préstamo, staking y custodia y preguntan directamente por los gravámenes, ya que estos modifican tanto el balance como la información a revelar. Cuando un custodio cualificado mantiene los activos, los auditores obtienen una confirmación del custodio y evalúan sus controles mediante un informe de una organización de servicios.

Conciliación en cadena e integridad

Un proceso de cierre sólido comienza con un registro de direcciones actualizado: cada dirección que controla la entidad, la cadena, el nivel de la billetera, el custodio y quién aprobó su creación. Al cierre de cada período, el equipo de finanzas concilia el libro mayor interno con los saldos en cadena de cada dirección, investiga las diferencias y documenta el resultado.

Las buenas prácticas incluyen:

• Leer los saldos de una fuente independiente, idealmente el nodo propio de la entidad o más de un explorador, en lugar de la misma herramienta que genera el libro mayor.
• Incluir los tokens que no aparecen como un saldo simple: posiciones en staking, participaciones en fondos de liquidez, tokens envueltos y activos conectados mediante puentes a otras cadenas.
• En el caso de exchanges y custodios con billeteras ómnibus, conciliar el subregistro de clientes con las tenencias en cadena para garantizar que los pasivos con los clientes estén totalmente respaldados.

La integridad es la afirmación más difícil de verificar. Un auditor puede confirmar que las direcciones enumeradas tienen monedas, pero no puede demostrar que no haya otra dirección perteneciente a la entidad ni que falte alguna obligación. Los procedimientos incluyen rastrear los flujos desde direcciones conocidas para encontrar direcciones no registradas, revisar las actas de la junta directiva y los contratos, y examinar los estados de cuenta de exchanges.

Corte y precios

Las criptomonedas se negocian las 24 horas del día, por lo que debe definirse la hora de corte: por ejemplo, las 23:59:59 UTC del último día del período, aplicada de manera uniforme tanto a los saldos como a los precios. Una transacción transmitida a las 23:58 pero incluida en un bloque a las 00:03 requiere una política que determine a qué período pertenece, normalmente según el momento en que se transfiere el control. En un día volátil, la diferencia entre el precio a medianoche UTC y a medianoche en Nueva York puede ser de varios puntos porcentuales: para 1.000 BTC, una diferencia de 1.500 USD cambia el valor informado en 1,5 millones de USD.

La NIIF 13 y su equivalente en los US GAAP, ASC 820, exigen un valor razonable según el precio del mercado principal: el mercado con el mayor volumen y nivel de actividad para el activo al que la entidad puede acceder. Una plataforma en la que la entidad no tiene una cuenta no reúne los requisitos. Si no se puede identificar un mercado principal, se utiliza el mercado más ventajoso. Aspectos prácticos:

• Documentar el análisis de las plataformas según su volumen y revisarlo periódicamente.
• Utilizar una fuente de precios independiente y uniforme, y contrastarla con el mercado principal.
• Un índice agregado no es en sí mismo un mercado; es aceptable solo si refleja precios de mercados a los que la entidad puede acceder.
• En el caso de tokens con poca negociación, el precio puede corresponder al Nivel 2 o al Nivel 3 de la jerarquía del valor razonable, lo que exige más juicio profesional e información a revelar.

Controles internos que generan cifras fiables

Los auditores se basan tanto en los controles de la propia entidad como en las pruebas directas, y los controles deficientes obligan a realizar mucho más trabajo sustantivo. Los controles más importantes para la información financiera sobre criptomonedas son:

• Segregación de funciones entre quienes pueden firmar transacciones, quienes las registran en el libro mayor y quienes realizan las conciliaciones. Que un tesorero pueda tanto mover monedas como contabilizar asientos es una debilidad clásica.
• Autorización de transacciones mediante el motor de políticas y las reglas de quórum, conservando evidencia de cada retiro.
• Conciliación diaria o, como mínimo, mensual del libro mayor con la cadena, con investigación de las diferencias y aprobación por parte de alguien independiente.
• Gobernanza de las fuentes de precios: análisis documentado del mercado principal, fuentes de precios aprobadas y revisión de cualquier ajuste manual de precios.
• Controles generales de TI sobre el subregistro de criptomonedas o el software de contabilidad: gestión de accesos, gestión de cambios e integridad de los datos importados de billeteras y exchanges.
• Datos del costo base y de lotes conservados con el nivel de detalle que exigen las normas fiscales y contables, de modo que las ganancias realizadas incluidas en la información sobre movimientos puedan rastrearse hasta cada disposición.

Por lo general, los auditores prueban estos controles y luego realizan procedimientos sustantivos, como confirmaciones independientes de saldos, pruebas de precios y recálculo de ganancias. Cuando la gerencia utiliza herramientas especializadas o servicios de precios, el auditor evalúa su fiabilidad en lugar de aceptar sus resultados sin más.

Partes relacionadas y organizaciones de servicios

Las direcciones seudónimas dificultan la identificación de partes relacionadas. El colapso de FTX en 2022 mostró cómo una empresa de negociación bajo control común, Alameda Research, podía tener activos de clientes y recibir préstamos no revelados. Los auditores combinan los procedimientos habituales sobre partes relacionadas (consultas, actas de la junta directiva, registros de propiedad) con análisis en cadena de los flujos entre las direcciones de la entidad y las de personas con información privilegiada, afiliadas y emisores de tokens.

Muchas entidades dependen de custodios, exchanges y proveedores de precios. Los auditores utilizan informes de organizaciones de servicios para evaluar esos controles conforme a la ISA 402 o sus equivalentes nacionales. Para la información financiera, el informe pertinente es uno de Tipo II sobre controles relevantes para la información financiera, probados durante un período: un informe ISAE 3402 a nivel internacional o un informe SOC 1 Tipo II conforme a la norma de AICPA de origen estadounidense que utilizan muchos proveedores de servicios de criptomonedas; SOC 2 trata la seguridad y la disponibilidad, y se aborda en la lección Aseguramiento, resiliencia y seguros. Los auditores comprueban que el período del informe abarque el año, solicitan una carta puente para cualquier brecha y confirman que la entidad realiza los controles complementarios de la entidad usuaria que presupone el informe, como revisar las aprobaciones de retiros.

Prueba de reservas frente a auditoría de estados financieros

La prueba de reservas (PoR), cuyos mecanismos se tratan en la lección Riesgo de contraparte y prueba de reservas, suele presentarse como si fuera una auditoría. No lo es.

Tras el colapso de FTX, varias firmas de auditoría dejaron de prestar servicios de PoR a exchanges y, en marzo de 2023, el regulador de auditoría de Estados Unidos, el PCAOB, advirtió a los inversionistas que esos informes no son auditorías. Una PoR útil puede complementar los estados financieros auditados, pero no sustituirlos.

Enfoque del examen: las afirmaciones clave para las criptomonedas (existencia, derechos y obligaciones, integridad, valoración e información a revelar); por qué los saldos en cadena demuestran existencia, pero no control ni derechos, y cómo ayudan los mensajes firmados y las transacciones de prueba; los registros de direcciones y la conciliación con una fuente independiente de la cadena, incluidos los activos en staking y conectados mediante puentes; la hora de corte definida y la regla del mercado principal según la NIIF 13 (y ASC 820); el riesgo de partes relacionadas con direcciones seudónimas (FTX/Alameda); los informes ISAE 3402 y SOC 1 Tipo II, las cartas puente y los controles complementarios de la entidad usuaria; por qué la prueba de reservas no es una auditoría de estados financieros.