> ## Content Index > Fetch the complete content index at: https://blog.iacontable.co/llms.txt > Use this file to discover other available public pages before exploring further. # Matriz de riesgos de auditoría: cómo construirla con probabilidad, impacto, controles y puntaje (y con IA) - URL: https://blog.iacontable.co/matriz-de-riesgos-auditoria-ia/ - Published: 2026-09-29T07:16:21.000Z - Updated: 2026-09-29T14:42:56.000Z - Description: Matriz de riesgos de auditoría: riesgo inherente y de control (NIA 315), escala de probabilidad e impacto, mapa de calor, plantilla y ejemplo con IA. - Author: Francisco Moreno Diaz - Tags: IA para Auditoría #### Contenido **En resumen:** una matriz de riesgos de auditoría es la tabla donde el auditor identifica, por cuenta y afirmación, los riesgos de incorrección material, los califica por probabilidad e impacto, obtiene un puntaje y decide qué procedimiento responde a cada riesgo. La NIA 315 le pide valorar por separado el riesgo inherente y el riesgo de control, y la NIA 330 le exige que la respuesta sea proporcional a esa valoración. La inteligencia artificial arma la matriz en minutos, pero solo entrega puntajes útiles si el prompt le da la escala; el auditor valida cada calificación y la firma. ## Qué es una matriz de riesgos de auditoría **Definición:** la matriz de riesgos de auditoría es un papel de trabajo que relaciona cada riesgo identificado de incorrección material con la cuenta o revelación que afecta, la afirmación en juego (existencia, integridad, valoración, corte, presentación), su probabilidad de ocurrencia, la magnitud o impacto si ocurre, el control interno que lo mitiga y el procedimiento de auditoría que lo responde. Su resultado es un nivel de riesgo (bajo, medio, alto o significativo) que determina la naturaleza, el momento y la extensión de las pruebas. En el laboratorio de Ecopetrol abrí con una pregunta: ¿cuántas horas al mes dedica usted a un análisis de riesgo manual? Mi respuesta honesta es que el análisis completo en Excel, con informe y papel de trabajo, me toma más de una semana. Y la matriz es donde más se nota el atajo: se copia la del año anterior, se cambian dos adjetivos y se archiva. Eso no es una evaluación de riesgos, es un documento que presenta una matriz de riesgos sin haberla pensado. No confunda tres documentos parecidos. La matriz de riesgos de auditoría externa (o del revisor fiscal) trabaja sobre los estados financieros y sus afirmaciones; la matriz de riesgos y controles de un proceso, típica de la auditoría interna y del control interno bajo COSO, trabaja sobre objetivos del proceso (compras, tesorería, nómina) y alimenta el [plan anual de auditoría interna basado en riesgos](https://blog.iacontable.co/plan-anual-auditoria-interna-riesgos-ia/); y la matriz de riesgos de la empresa, que prepara la gerencia para su gestión de riesgos, mide reputación, sanciones, continuidad y costo. Aquí hablamos de la primera, la que va en el expediente de auditoría y conecta con el [memorando de planeación de la NIA 300](https://blog.iacontable.co/planeacion-auditoria-inteligencia-artificial/). ## Los tipos de riesgos de auditoría: inherente, de control y de detección La NIA 200 define el riesgo de auditoría como el riesgo de que el auditor exprese una opinión inadecuada cuando los estados financieros contienen incorrecciones materiales. Tiene dos piezas: el **riesgo de incorrección material**, que es de la entidad, y el **riesgo de detección**, que es del auditor. - **Riesgo inherente:** la susceptibilidad de una afirmación a una incorrección material antes de considerar los controles. Un inventario de 4.000 referencias con obsolescencia es inherentemente más riesgoso que una cuenta de caja menor. - **Riesgo de control:** el riesgo de que el sistema de control interno no prevenga, o no detecte y corrija a tiempo, esa incorrección. - **Riesgo de detección:** el riesgo de que los procedimientos del auditor no la encuentren. Es el único que el auditor controla, y lo baja con más y mejores pruebas. La relación es inversa: a mayor riesgo de incorrección material, menor riesgo de detección puede aceptar el auditor, y por tanto más evidencia necesita. ### Lo que cambió con la NIA 315 (Revisada 2019) La versión revisada exige una **valoración separada del riesgo inherente y del riesgo de control**, e introduce el **espectro de riesgo inherente**: el riesgo inherente no es «alto o bajo», es un continuo. El auditor lo ubica en ese espectro valorando la probabilidad de ocurrencia y la magnitud de la incorrección (apartado 31), a la luz de cinco factores de riesgo inherente: complejidad, subjetividad, cambio, incertidumbre y susceptibilidad a sesgo de la dirección u otros factores de fraude. Un riesgo es **significativo** cuando su valoración queda próxima al límite superior del espectro, o cuando otra NIA lo exige. Un detalle que casi nadie aplica: si el auditor no piensa probar la eficacia operativa de los controles, el apartado 34 dice que el riesgo de incorrección material será igual al riesgo inherente. Dicho en claro: una columna de «control existe, riesgo de control bajo» sin prueba de controles detrás es una afirmación, no una valoración. Ojo con la norma colombiana. El marco compilado vigente de aseguramiento es el Anexo 4-2019 del Decreto 2270 de 2019, incorporado al Decreto 2420 de 2015\. La NIA 315 (Revisada 2019) está incluida en el proyecto de decreto que el Ministerio de Comercio publicó en marzo de 2026 (el Anexo 4-2026), que aún no he podido confirmar como expedido. Antes de citarla como obligatoria en un dictamen, verifique si el decreto ya salió; como metodología, la mayoría de las firmas ya trabaja con ella. ## Cómo identificar los riesgos: áreas de los estados financieros y fuentes La identificación de los riesgos va antes que cualquier calificación. En la planificación, el auditor recorre las áreas de los estados financieros y se pregunta, afirmación por afirmación, qué podría salir mal. Las áreas que casi siempre entran en una matriz de riesgos de auditoría son estas: - **Efectivo:** partidas antiguas en la conciliación bancaria, cuentas sin movimiento, autorización de pagos. - **Ingresos y cuentas por cobrar:** corte, notas crédito posteriores al cierre, deterioro de la cartera y recuperabilidad. - **Inventario:** existencia, obsolescencia, costeo y disponibilidad real frente al kárdex. - **Compras y cuentas por pagar:** integridad de pasivos, proveedores ficticios, facturas sin causar. - **Estimaciones y provisiones:** litigios, garantías, beneficios a empleados, impuestos. - **Cumplimiento y regulación:** sanciones tributarias, laborales o sectoriales que obliguen a revelar o provisionar. Las fuentes para identificar los riesgos son las de siempre, y ninguna sobra: entrevistas con el administrador y con quienes manejan el proceso, lectura de actas de junta, procedimientos analíticos sobre el balance, las deficiencias de control interno del año anterior y lo que haya cambiado en el negocio (un sistema nuevo, un cliente que se fue, una regulación nueva). Cada riesgo identificado entra como una fila; los riesgos de la empresa que no afectan los estados financieros se anotan para el usuario que corresponda, pero no se califican en esta matriz. ## Escalas de probabilidad e impacto La norma habla de probabilidad y magnitud; no le impone una escala. Usted la define, la documenta y la aplica igual a todos los riesgos. La más práctica para una pyme es la de 1 a 3, la misma que usó la IA en el laboratorio: | Nivel | Probabilidad de ocurrencia | Impacto (magnitud) | | --------- | ------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------- | | 1 · Bajo | Transacciones rutinarias, sin cambios, sin antecedentes de error | Posible incorrección por debajo del umbral de errores claramente insignificantes | | 2 · Medio | Algún factor de riesgo inherente presente (cambio de sistema, estimación con cierta subjetividad) | Posible incorrección entre ese umbral y la materialidad de ejecución | | 3 · Alto | Varios factores presentes, errores de años anteriores, incentivos o presiones | Posible incorrección igual o superior a la materialidad de ejecución, o cualitativamente material | Fíjese en la columna de impacto: está anclada a cifras. El impacto cuantitativo sale de la [materialidad en auditoría (NIA 320)](https://blog.iacontable.co/materialidad-en-auditoria-ia/); el cualitativo, de la naturaleza del asunto (partes relacionadas, cumplimiento de covenants, un fraude pequeño). Si su escala dice «impacto alto: afecta mucho a la empresa», no tiene escala, tiene un adjetivo. Con una escala de 1 a 5 la lógica es la misma, con más grados. Lo cuantitativo le da el número; lo cualitativo le da la relevancia para la toma de decisiones del usuario de los estados financieros. ## Puntaje y mapa de calor El puntaje es probabilidad por impacto. Con la escala 1 a 3 los resultados posibles son 1, 2, 3, 4, 6 y 9, y se agrupan así: | Probabilidad \\ Impacto | 1 · Bajo | 2 · Medio | 3 · Alto | | ----------------------- | --------- | --------- | ----------- | | **3 · Alta** | 3 · Medio | 6 · Alto | 9 · Crítico | | **2 · Media** | 2 · Bajo | 4 · Medio | 6 · Alto | | **1 · Baja** | 1 · Bajo | 2 · Bajo | 3 · Medio | Ese es el mapa de calor: verde abajo a la izquierda, rojo arriba a la derecha. Dos advertencias. Primera, el puntaje ordena, no decide: un riesgo con puntaje 3 (probabilidad baja, impacto alto) puede merecer más trabajo que uno de 4 si su naturaleza es sensible. Segunda, el puntaje nunca anula a la norma: la NIA 240 presume riesgo de fraude en el reconocimiento de ingresos y trata siempre como significativo el riesgo de que la dirección eluda los controles, aunque su matriz le dé un 2. Si además califica los controles, puede mostrar un **riesgo residual** (el que queda después de controles probados). Úselo solo cuando haya probado la efectividad de los controles; si no, el residual es igual al inherente. ## Plantilla de matriz de riesgos de auditoría (para copiar) | Columna | Qué va | Ejemplo | | ------------------------------ | -------------------------------------------------------- | -------------------------------------------------- | | ID y área | Código y cuenta o ciclo | R1 · Ingresos | | Afirmación | La afirmación relevante | Corte y ocurrencia | | Descripción del riesgo | Qué podría salir mal, en una frase | Facturas de enero registradas en diciembre | | Factor de riesgo inherente | Complejidad, subjetividad, cambio, incertidumbre o sesgo | Sesgo: bonificación por metas de ventas | | Probabilidad (1–3) | Según la escala documentada | 3 | | Impacto (1–3) | Según la escala anclada a la materialidad | 3 | | Puntaje y nivel | P × I y banda del mapa de calor | 9 · Crítico (significativo) | | Control clave | El control que lo mitiga y si se probará | Conciliación despachos–facturas; no se probará | | Riesgo de control | Alto si no se prueba el control | Alto | | Respuesta (NIA 330) | Procedimiento, momento y extensión | Prueba de corte de detalle 10 días antes y después | | Responsable y plazo | Quién y cuándo | Senior de ingresos · semana 2 de campo | | Referencia al papel de trabajo | Dónde queda la evidencia | PT I-3 | La última columna es la que convierte la matriz en expediente: cada riesgo debe poder seguirse hasta la evidencia. Así lo explico en la guía de [papeles de trabajo de auditoría (NIA 230)](https://blog.iacontable.co/papeles-de-trabajo-auditoria-ia/). ## Ejemplo de matriz de riesgos: una distribuidora inventada Comercial Los Arrayanes S.A.S. (empresa ficticia) distribuye ferretería, vende 42.000 millones al año y el equipo fijó una materialidad global de 420 millones y una de ejecución de 250 millones. Estos son sus riesgos identificados: | ID | Área · afirmación | Riesgo | P | I | Puntaje | Respuesta | | -- | ---------------------------------- | -------------------------------------------------------------------- | --------------------------------- | ------------------------------------------------------------------ | ----------- | ------------------------------------------------------------------------ | | R1 | Ingresos · corte | Adelantar ventas de enero por la bonificación comercial de diciembre | 3 | 3 | 9 · Crítico | Prueba de corte de detalle y revisión de notas crédito de enero | | R2 | Cartera · valoración | Deterioro subestimado: la cartera a más de 180 días creció 40 % | 2 | 3 | 6 · Alto | Recálculo del deterioro, cobros posteriores y confirmaciones externas | | R3 | Inventarios · valoración | Referencias sin rotación por encima de su valor neto realizable | 2 | 2 | 4 · Medio | Análisis de rotación y prueba de valor neto realizable en la toma física | | R4 | Provisiones · integridad | Demanda laboral de 380 millones sin revelar | 2 | 2 | 4 · Medio | Carta a los abogados (NIA 501) y lectura de actas | | R5 | Estados financieros en su conjunto | Duda sobre negocio en marcha por vencimiento de un crédito | 1 | 3 | 3 · Medio | Evaluación de la NIA 570 y revisión del flujo de caja proyectado | | R6 | Todas · anulación de controles | La dirección elude controles con asientos manuales | Significativo por norma (NIA 240) | Prueba de asientos de diario, estimaciones y operaciones inusuales | | | Lea la tabla como la leería un supervisor. R4 queda por debajo de la materialidad de ejecución, pero una demanda sin revelar es un problema de integridad que el lector sí querría conocer, y si la pérdida llega a ser probable, esa cifra pesa en la utilidad: por eso impacto 2 y no 1\. R5 tiene puntaje bajo porque la probabilidad es baja, pero la [hipótesis de negocio en marcha](https://blog.iacontable.co/negocio-en-marcha-inteligencia-artificial/) cambia la opinión si falla. Y R6 no tiene puntaje: la norma ya lo calificó por usted. ## Del riesgo al procedimiento: la NIA 330 La matriz no termina en el color; termina en la prueba. La NIA 330 pide tres cosas que la matriz debe dejar visibles: 1. **Proporcionalidad (apartado 7).** El diseño del procedimiento considera por qué se valoró así el riesgo, y cuanto más alta la valoración, más convincente debe ser la evidencia. 2. **Riesgos significativos (apartado 21).** Exigen procedimientos sustantivos que respondan de forma específica al riesgo; si solo hay pruebas sustantivas, deben incluir pruebas de detalle. Un analítico solo no alcanza para R1. 3. **Cuentas materiales (apartado 18).** Con independencia del riesgo valorado, toda cuenta material lleva procedimientos sustantivos. El verde no es sinónimo de «no se audita». ### Controles y acciones de mitigación La matriz también sirve para la evaluación del control interno. Cuando la columna de control clave queda vacía, o el control existe pero no es eficaz, eso es una deficiencia que se comunica a la administración con su acción de mitigación: implementar controles de autorización, fortalecer la segregación de funciones, conciliar a tiempo. Mitigar los riesgos es tarea de la entidad; al auditor le toca verificar la efectividad de los controles que piensa usar como evidencia y hacer el seguimiento de lo que recomendó el año anterior. Y un consejo práctico: no la archive como un PDF estático. La matriz es viva; se actualiza durante el proceso de auditoría cada vez que aparece un hallazgo que cambia la valoración. Esta es la parte que enseño con casos en el módulo 4 del [Programa Ejecutivo en IA para Auditoría](https://iacontable.co/auditoria?ref=blog.iacontable.co), «Planeación y evaluación de riesgos»: pasar de la matriz al programa de trabajo sin que se pierda el hilo. ## Lo que hice en vivo: la matriz de riesgos de Ecopetrol con un agente de IA En uno de los laboratorios puse a [Manus, un agente de IA](https://blog.iacontable.co/manus-ia-contadores/), a analizar a Ecopetrol con sus estados financieros públicos del primer trimestre de 2026\. Fue un ejercicio pedagógico con información pública: no emitimos opinión sobre la compañía ni sobre inversiones. Le pedí un informe en Word y un papel de trabajo en Excel, y dentro del Excel una pestaña concreta: matriz de riesgos con puntaje. En menos de una hora tenía los tres entregables. *Desde el minuto 29:32: la pestaña de matriz de riesgos del Excel que generó el agente, ampliada en pantalla, con la rebaja de calificación crediticia (impacto 3, probabilidad 3, puntaje 9) y la contingencia fiscal con la DIAN (puntaje 6), cada una con acción, plazo y responsable. Mire las columnas: es la misma estructura de la plantilla de arriba.* La rebaja de calificación salió con 9: impacto alto, probabilidad alta, acción «cuantificar el impacto en el costo de la deuda futura y revisar covenants vigentes», plazo 30 días, responsable la vicepresidencia financiera. Tenía base: en abril de 2026 Moody's bajó la calificación de Ecopetrol de Ba1 a Ba2 con perspectiva negativa. La contingencia fiscal por IVA en la importación de combustibles salió con 6: impacto 3, probabilidad 2, acción «obtener confirmaciones actualizadas de los asesores legales y evaluar la necesidad de una provisión parcial», plazo 30 días, responsable el comité de auditoría. ¿Por qué la matriz salió con números y no con adjetivos? Porque el prompt pidió «matriz de riesgos con scoring» y fijó el rol, las NIA aplicables y las columnas. Sin escala, la IA tiende a devolver «riesgo alto», «riesgo relevante», «podría afectar», y ahí no hay nada que ordenar ni que auditar. Lo dije en vivo: la herramienta es pública; el conocimiento para usarla bien no lo es. Al final, el agente construyó un tablero interactivo con la misma matriz convertida en mapa de calor. *Desde el minuto 55:20: la pestaña de matriz de riesgos del tablero, con 10 riesgos identificados (uno crítico, seis altos y tres medios) y el mapa de calor de probabilidad por impacto. Está aquí para que vea cómo se reparte una matriz real en las bandas del mapa de calor y cómo cada celda baja a una acción.* ### La contingencia con la DIAN: lo que dije y la corrección Aquí tengo que corregirme con calma. En vivo, leyendo el informe, dije que como la probabilidad de éxito superaba el 50 % había que ir provisionando. Es al revés. La NIC 37 reconoce una provisión cuando es probable, es decir, más probable que no, que la entidad tenga que desprenderse de recursos. Si la compañía y sus abogados estiman que es más probable ganar el litigio, la salida de recursos no es probable: no se provisiona, se revela como pasivo contingente con su naturaleza, su efecto estimado y sus incertidumbres (apartado 86), salvo que la salida sea remota. La IA tampoco lo decidió bien: «evaluar una provisión parcial» es una hipótesis, no una conclusión. Y hay un segundo cruce. La matriz cifró la contingencia en 12,2 billones de pesos. La prensa económica reportó en noviembre de 2025 que la DIAN le reclamaba al grupo cerca de 9,4 billones, intereses incluidos. Puede haber explicación (otros periodos, otras actuaciones, intereses actualizados), pero ese número no entra a un papel de trabajo sin conciliarlo contra la nota de contingencias. Una salida sin validar no es evidencia, es una afirmación. La respuesta correcta en la matriz es la de la NIA 501: carta a los asesores legales, lectura de la nota y evaluación de la clasificación bajo la NIC 37. ## El prompt: pida la escala, no el adjetivo Actúa como auditor externo senior con experiencia en NIA 315 (Revisada 2019), NIA 330 y NIA 240. Con la información adjunta (balance, estado de resultados, notas y hallazgos del año anterior), construye una matriz de riesgos de auditoría. Escala obligatoria: - Probabilidad 1 a 3: 1 transacción rutinaria sin antecedentes; 2 algún factor de riesgo inherente; 3 varios factores, errores previos o incentivos. - Impacto 1 a 3 anclado a cifras: 1 menor a [umbral de insignificancia]; 2 entre ese umbral y [materialidad de ejecución]; 3 igual o mayor, o cualitativamente material. - Puntaje = P x I. Bandas: 1-2 bajo, 3-4 medio, 6 alto, 9 crítico. Columnas: ID, cuenta, afirmación, riesgo, factor de riesgo inherente, P, I, puntaje, control clave, ¿se probará el control?, respuesta NIA 330, responsable, plazo, referencia al papel de trabajo. Reglas: trata como significativos el riesgo de anulación de controles y el de fraude en ingresos. Si falta un dato, escribe "pendiente"; no lo supongas. No cites apartados de NIA de los que no estés seguro: marca "verificar". Tres cosas hacen que funcione: la escala anclada a su materialidad, la instrucción de no suponer (un parámetro vacío se convierte en un supuesto inventado) y la regla de marcar lo que hay que verificar. Luego usted revisa fila por fila, con el [escepticismo profesional](https://blog.iacontable.co/escepticismo-profesional-ia/) que se le aplica a cualquier evidencia de un tercero. Y antes de subir datos de un cliente a cualquier herramienta, repase [los riesgos de la inteligencia artificial para el contador](https://blog.iacontable.co/riesgos-ia-contadores/): confidencialidad primero. ## La misma matriz con tres sombreros: contador, auditor y financiero - **El contador:** la matriz del auditor le dice dónde va a buscar. Si R1 es crítico, el corte de diciembre tiene que estar impecable antes de que llegue el auditor, y la nota de litigios tiene que decir lo que dicen los abogados. - **El auditor o revisor fiscal:** la matriz es su defensa ante un supervisor o un comité de calidad. Si calificó 9 y aplicó un analítico, no hay proporcionalidad; si calificó 2 algo que la NIA 240 presume significativo, tampoco hay norma. - **El financiero:** la rebaja de calificación con puntaje 9 no es un tema de auditoría, es de costo de deuda. La misma fila le dice que recalcule el costo de financiación y revise los covenants antes de que lo haga el banco. ## Preguntas frecuentes ### ¿Qué es una matriz de riesgos en auditoría? Es el papel de trabajo donde el auditor registra los riesgos de incorrección material por cuenta y afirmación, los califica por probabilidad e impacto, les asigna un puntaje y los vincula con el procedimiento que los responde. Sirve para decidir dónde poner más trabajo y para demostrar que la respuesta fue proporcional al riesgo. ### ¿Cuáles son los tipos de riesgos de auditoría? Los componentes del riesgo de auditoría son el riesgo inherente, el riesgo de control y el riesgo de detección; los dos primeros forman el riesgo de incorrección material. Algunos textos hablan de cinco riesgos porque suman el riesgo de auditoría y el de incorrección material a esos tres. Aparte, la NIA 315 distingue los riesgos significativos. ### ¿Cómo se evalúa la probabilidad y el impacto de un riesgo? Con una escala documentada antes de calificar, casi siempre de 1 a 3 o de 1 a 5\. La probabilidad se juzga con los factores de riesgo inherente (complejidad, subjetividad, cambio, incertidumbre, sesgo) y el impacto se ancla a la materialidad. El puntaje es la multiplicación de ambos. ### ¿En qué se diferencia la matriz de riesgos de auditoría interna? La de auditoría interna evalúa riesgos y controles de los procesos frente a los objetivos de la organización y sirve para priorizar el plan anual. La de auditoría externa evalúa riesgos de incorrección material en los estados financieros. Usan la misma lógica de probabilidad e impacto, pero responden a normas y usuarios distintos. ### ¿Puede la IA hacer la matriz de riesgos? Puede proponerla, y bien, si el prompt le da la escala, las columnas y la información del cliente. No puede validar la calificación ni asumir la responsabilidad: en el laboratorio acertó en la estructura y dejó una contingencia mal enfocada y una cifra por conciliar. La IA señala; el auditor define. ## El 6 que había que discutir La matriz de Ecopetrol salió ordenada, con números, plazos y responsables. Lo que no traía era la discusión que importaba: si esa contingencia de 6 se provisiona o se revela, y de dónde sale la cifra. Esa discusión no la hizo la IA, y en vivo yo mismo la enfoqué mal. Por eso en el programa no empezamos por el prompt, sino por la escala, la materialidad y la NIC 37, para que cuando la IA le entregue un 6, usted sepa qué preguntar. Si quiere trabajar su propia matriz con ese método, en el [programa de IA para auditores y revisores fiscales](https://iacontable.co/auditoria?ref=blog.iacontable.co) la construimos sobre casos, desde la escala hasta el programa de trabajo. Y si tiene una matriz que no le cuadra, [mándeme por WhatsApp el riesgo que no sabe cómo calificar](https://wa.me/573208676878?ref=blog.iacontable.co). ## Fuentes - IAASB, NIA 315 (Revisada 2019), *Identificación y valoración de los riesgos de incorrección material*, apartados 4, 5, 12(f), 12(l), 31, 32 y 34 (versión en español NIA-ES 315 R del ICJCE). Consultada el 29 de septiembre de 2026. - IAASB, NIA 330, *Respuestas del auditor a los riesgos valorados*, apartados 7, 18 y 21\. Consultada el 29 de septiembre de 2026. - IAASB, NIA 200, NIA 240, NIA 501 y NIA 570 (componentes del riesgo de auditoría, riesgos de fraude presumidos, litigios y negocio en marcha). Consultadas el 29 de septiembre de 2026. - IASB, NIC 37, *Provisiones, pasivos contingentes y activos contingentes*, apartados 14, 23, 27, 28 y 86\. Consultada el 29 de septiembre de 2026. - Ministerio de Comercio, Industria y Turismo, memoria justificativa y proyecto de decreto de actualización de las Normas de Aseguramiento de la Información (Anexo 4-2026), publicado el 19 de marzo de 2026; Decreto 2270 de 2019 (Anexo 4-2019). Consultados el 29 de septiembre de 2026. - Valora Analitik, «Ecopetrol radicó cuatro demandas contra la DIAN por cobro de IVA a importación de combustibles»; Infobae, «Moody's rebajó la calificación crediticia de Ecopetrol», 24 de abril de 2026\. Consultados el 29 de septiembre de 2026. **Autor:** Francisco Moreno Díaz — CP · MBA · MBAN · CAIO **Publicado en:** [IA Contable](https://iacontable.co/?ref=blog.iacontable.co)