Las referencias a la incertidumbre como riesgo clave se triplican en los informes anuales.
La banca se enfrenta a un escenario cada vez más difícil de anticipar. Las guerras, las tensiones comerciales y los avances de la inteligencia artificial añaden nuevos elementos de inquietud en el negocio de las entidades y entran también en el radar de los auditores.
Un cambio que ya se aprecia en las cuentas de resultados. Las referencias a la incertidumbre geopolítica y económica como riesgo clave para el sector se han triplicado en los informes de auditoría de 2025 de la banca española, hasta aparecer en un 30% de ellos, frente al 10% del año anterior, según un estudio elaborado por KPMG que ha puesto bajo la lupa los 10 principales grupos bancarios sujetos a supervisión directa del Banco Central Europeo (BCE).
En Europa, el avance es todavía mayor: un 80% de los informes de las principales entidades de la eurozona menciona esta incertidumbre entre los asuntos clave, frente a apenas el 20% de 2024.
El riesgo de crédito sigue siendo la cuestión clave en la auditoría tanto de la banca española como de la europea, debido a un cóctel de tres factores: la complejidad de los modelos utilizados para calcular las pérdidas esperadas, el elevado grado de estimación que exige este cálculo y el enorme peso que tienen las carteras de crédito en el balance de las entidades.
Cuando un banco concede un préstamo necesita estimar cuánto dinero podría perder si el cliente no devuelve la deuda y, para hacerlo, utiliza modelos que combinan datos históricos con previsiones económicas, según explica a EXPANSIÓN Luis Martín Riaño, Socio de Auditoría de KPMG en España.
Imprevistos
El problema surge cuando un conflicto o un cambio brusco del escenario económico altera estas previsiones y genera riesgos que los datos anteriormente empleados no podían anticipar.
En estas circunstancias, los bancos pueden realizar ajustes adicionales, conocidos como Post Model Adjustments (PMA), que permiten adaptar el resultado de los modelos a riesgos que no estaban suficientemente reflejados, lo que puede implicar un ajuste de las provisiones.
Las menciones a los PMA se han incrementado en los informes de la banca española y en 2025 aparecieron en un 60% de ellos, al igual que en la banca europea.
«En un contexto marcado por la incertidumbre económica y geopolítica, algunos PMA han aumentado y se han convertido en un elemento de juicio relevante para las entidades, lo que ha incrementado el interés de los auditores y, en consecuencia, su presencia en las cuentas anuales», agrega Riaño.
Los últimos test de estrés geopolíticos inversos del BCE reflejan una mayor atención del sector financiero a estos riesgos. Las entidades se mostraron resilientes ante un potencial shock geopolítico, aunque Fráncfort les instó a preparar planes más realistas y ejecutables en un escenario bajo presión.
Tecnología
El segundo gran foco de los auditores de banca está en la tecnología. Los bancos dependen de sus sistemas para prácticamente toda su actividad: procesar operaciones, gestionar riesgos y elaborar información financiera.
Además, la irrupción de nuevos modelos de IA, como Mythos, ha abierto la puerta a nuevas amenazas. Su capacidad de explotar el software a una gran velocidad e identificar vulnerabilidades puede representar un peligro si cae en manos de piratas informáticos.
La tecnología de la información aparece como una cuestión clave de auditoría en el 100% de los informes españoles analizados en el estudio de KPMG.
Dentro de este riesgo, el año pasado aumentaron las referencias a la seguridad de los datos y al desarrollo y mantenimiento de aplicaciones, mientras disminuyeron las relacionadas con el acceso a aplicaciones y datos.
La presencia de la tecnología como cuestión clave es, además, una de las diferencias más visibles entre la banca española y la europea. En los informes de las entidades europeas, la tecnología de la información apareció mencionada como riesgo clave en poco más de un tercio en los europeos.
Sin embargo, esto no implica que las entidades españolas tengan más riesgo tecnológico. La diferencia responde principalmente a la forma en que los auditores presentan sus cuestiones clave. En España es habitual que los auditores presenten la tecnología como una cuestión independiente, mientras que en países como Francia, Alemania o Italia determinados riesgos tecnológicos se integran dentro de otras cuestiones de auditoría, según explica Riaño.
El experto señala que, aunque no se anticipan cambios significativos en las áreas que concentran la atención de los auditores a corto plazo, es previsible que «aumente el foco sobre la tecnología de la información, especialmente en relación con el riesgo de ciberseguridad y los desarrollos vinculados a la IA generativa».
También cree que probablemente aumentará su presencia el riesgo climático, que en 2025 fue mencionado en apenas un 10% de los informes de auditoría.