PCAOB QC 1000 i AICPA SQMS Núm. 1: Què han d'implementar les petites firmes de CPA abans del desembre de 2026

Si dirigiu una petita firma de CPA i heu passat l'última dècada mantenint un manual de control de qualitat ajustat en una unitat compartida, els propers divuit mesos us semblaran una professió diferent. Dos reguladors separats —el PCAOB i l'AICPA— han substituït l'antic règim de control de qualitat reactiu per un model de "gestió de la qualitat" proactiu i basat en el risc que exigeix objectius per escrit, riscos identificats, respostes dissenyades, seguiment continu i evidència documentada que tota la maquinària funciona realment. La Declaració sobre Estàndards de Gestió de la Qualitat Núm. 1 de l'AICPA (SQMS Núm. 1) va entrar en vigor el 15 de desembre de 2025, i la QC 1000 del PCAOB la segueix el 15 de desembre de 2026. Els professionals individuals i les firmes de deu persones no n'estan exempts; els estàndards són escalables, però s'apliquen a tothom.

Aquesta guia repassa què està canviant, els vuit components i els quatre rols que heu de definir, el cronograma de desembre de 2026, les expectatives de documentació que han sorprès els primers adoptants i un pla d'implementació per fases que podeu començar aquest trimestre.

Els dos estàndards en termes senzills

Ara hi ha dos règims de qualitat separats que potser haureu de seguir, depenent del que auditi la vostra firma.

L'AICPA SQMS Núm. 1 s'aplica a qualsevol firma que realitzi auditories, atestacions, revisions o compilacions sota els estàndards de l'AICPA. Si signeu un sol informe de revisió sobre els estats financers d'una empresa privada, aquest estàndard se us aplica. Va entrar en vigor el 15 de desembre de 2025, de manera que el termini d'implementació ja s'ha tancat; les firmes que no hagin construït un sistema estan avui en situació d'incompliment.

El PCAOB QC 1000 s'aplica a cada firma registrada al PCAOB, fins i tot a les firmes que actualment no realitzen encàrrecs d'emissors o d'intermediaris de valors (broker-dealers), però que podrien fer-ho en el futur. Entra en vigor el 15 de desembre de 2026. El primer període de presentació d'informes per al Formulari QC va des del 15 de desembre de 2026 fins al 30 de setembre de 2027, amb la presentació del primer Formulari QC al PCAOB prevista per al 30 de novembre de 2027.

Els dos estàndards comparteixen un ADN comú —tots dos es modelen segons el marc internacional ISQM 1— però no són idèntics. Les firmes registrades al PCAOB que també realitzen encàrrecs de l'AICPA han de fer funcionar un sistema que satisfaci ambdós. Aquesta és la part difícil. La majoria de les firmes estan dissenyant un únic Sistema de Gestió de la Qualitat (SOQM) integrat i hi afegeixen els requisits incrementals exclusius del PCAOB.

Per què han canviat els estàndards

Els antics estàndards de control de qualitat (QC 20, QC 30, QC 40 per part del PCAOB i la Secció QC 10 de l'AICPA) tractaven la qualitat com una llista de verificació: un soci responsable, un manual escrit, una inspecció periòdica. Les troballes de les inspeccions van mostrar de manera persistent que el compliment del manual no sempre produïa una auditoria de qualitat. Les firmes podien superar la revisió per parells i, tot i així, emetre opinions defectuoses perquè el sistema no responia realment als riscos presents en aquella firma en aquell any.

Els nous estàndards inverteixen la lògica. En lloc de dir-vos quins procediments heu d'escriure, us diuen que:

1. Establiu objectius de qualitat: com és un encàrrec d'alta qualitat a la vostra firma?
2. Identifiqueu els riscos de qualitat: què podria sortir malament de manera plausible en el camí cap a aquests objectius?
3. Dissenyeu respostes: quins controls, formació, tecnologia o supervisió utilitzareu per abordar cada risc?
4. Feu seguiment i corregiu: com sabreu que està funcionant i com solucionareu el que no funciona?

Aquest és un canvi cultural important. L'estàndard no se satisfà redactant un manual de control de qualitat; requereix un sistema que estigui dissenyat, implementat, operant i monitorat de manera eficaç. Diverses firmes que ja han passat per la creació de l'SQMS Núm. 1 informen que els equips de socis i gerents han dedicat diversos centenars d'hores a la feina.

Els vuit components que heu de cobrir

Tant el QC 1000 com l'SQMS Núm. 1 organitzen el sistema al voltant de vuit components. Dos són processos; sis són àrees operatives de la firma.

Components de procés

1. Procés d'avaluació de riscos. La firma estableix objectius de qualitat, identifica riscos i dissenya respostes, i després manté el cicle en marxa a mesura que les condicions canvien.
2. Procés de seguiment i correcció. La firma verifica contínuament si les respostes funcionen, identifica deficiències, realitza anàlisis de la causa arrel i aplica correccions.

Components operatius

3. Governança i lideratge. El "to de la direcció", l'estructura de responsabilitat i la cultura que impulsa la presa de decisions.
4. Ètica i independència. Compliment de les regles d'independència de l'AICPA i la SEC, verificacions de conflictes i relacions financeres personals.
5. Acceptació i continuïtat de les relacions amb els clients i dels encàrrecs. Verificacions d'antecedents, integritat, capacitat i competència abans d'acceptar o renovar un client.
6. Execució de l'encàrrec. Direcció, supervisió, revisió, consulta, diferències d'opinió, revisions de qualitat de l'encàrrec i documentació de l'encàrrec.
7. Recursos. Recursos humans (formació, avaluació, promoció de socis), tecnologia, recursos intel·lectuals (metodologia d'auditoria, plantilles) i proveïdors de serveis.
8. Informació i comunicació. Comunicacions internes sobre la qualitat, a més de comunicacions amb els comitès d'auditoria, reguladors i parts interessades externes.

Per a cada component, escriviu els objectius de qualitat, identifiqueu els riscos de qualitat que amenacen aquests objectius a la vostra firma específicament i dissenyeu respostes. Un risc és un esdeveniment específic que podria ocórrer raonablement i afectar negativament l'assoliment d'un objectiu —no una declaració genèrica de "l'auditoria podria fallar".

Els quatre rols que heu d'assignar

L'SQMS núm. 1 requereix que la responsabilitat s'assigni a quatre rols definits. En empreses més petites, una sola persona pot exercir diversos càrrecs, però cada rol ha d'estar clarament nomenat i documentat.

1. Responsabilitat última i rendició de comptes pel sistema de gestió de la qualitat. Normalment, el soci director o el CEO. Aquesta persona és la propietària del sistema; no pot delegar la rendició de comptes.
2. Responsabilitat operativa del sistema en el seu conjunt. La persona que s'encarrega del disseny, la implementació, el funcionament i el seguiment diari de l'SGQ. En una pràctica individual, aquesta és la mateixa persona que al punt 1.
3. Responsabilitat operativa del compliment dels requisits d'ètica i independència. Responsable dels controls de conflictes, les confirmacions d'independència, la llista d'entitats restringides de la firma i els informes financers personals.
4. Responsabilitat operativa del procés de seguiment i remei. Dissenya i executa el seguiment durant el procés i a posteriori, realitza l'anàlisi de la causa arrel i fa el seguiment de les mesures correctores.

La QC 1000 afegeix rols similars per a les firmes registrades a la PCAOB, amb un matís addicional: les firmes que auditen més de 100 emissors anualment han d'establir una Funció de Control de Qualitat Externa (EQCF), composta per una o més persones que siguin independents de la firma i puguin exercir un judici independent sobre el sistema de control de qualitat. Els membres de l'EQCF no poden ser socis ni empleats de la firma. Aquest requisit no s'aplica a la majoria de les firmes petites, però si la vostra llista de clients està creixent, vigileu el llindar.

El parany de la documentació

La sorpresa més gran en la implementació per a les firmes petites és el volum de documentació que l'enfocament "escalable" encara genera. Heu de documentar:

• Els objectius de qualitat per a cadascun dels vuit components.
• Els riscos de qualitat identificats per a cada objectiu.
• Les respostes a cada risc, incloent-hi les activitats de control específiques, la freqüència i el responsable.
• La base de la vostra conclusió que aquestes respostes, en combinació, aborden el risc.
• L'evidència que les respostes han funcionat durant el període (registres, signatures d'aprovació, llistes de formació, configuracions tecnològiques, fitxers de revisió per parells, etc.).
• L'avaluació anual de l'SGQ, amb classificacions de gravetat per a qualsevol deficiència.
• L'anàlisi de la causa arrel i el pla de remei per a cada deficiència.
• Les comunicacions que hagueu realitzat als equips de l'encàrrec, als comitès d'auditoria i als reguladors.

La norma no exigeix un format particular. Els fulls de càlcul i els documents de Word són punts de partida acceptables. Eines com Caseware, TeamMate de Wolters Kluwer, AuditDashboard i la pròpia guia pràctica de l'AICPA poden accelerar la creació. L'objectiu és que un regulador pugui seguir el vostre raonament des de l'objectiu fins al risc, la resposta i l'evidència en un fil únic.

Revisió de la qualitat de l'encàrrec i seguiment

Les revisions de la qualitat de l'encàrrec (EQR) no són noves, però la QC 1000 n'endureix les regles. El revisor ha de tenir prou competència, capacitat, objectivitat i autoritat per avaluar els judicis significatius realitzats per l'equip de l'encàrrec. Les firmes més petites sovint externalitzen la funció d'EQR a un revisor extern; això està permès, però l'SGQ de la firma ha d'abordar explícitament com confirma la independència i la capacitat del col·laborador extern.

El seguiment és ara continu en lloc d'anual. Se seleccionen els encàrrecs per a la inspecció en funció del risc —no només per rotació— i el programa d'inspecció ha d'incloure revisions d'encàrrecs en curs, no només d'encàrrecs finalitzats. Si descobriu una deficiència, les normes esperen una anàlisi documentada de la causa arrel i un pla de remei amb un responsable i una data límit. "En vam parlar en una reunió de socis" no és suficient.

El Formulari QC i l'avaluació del 30 de setembre de 2027

Per a les firmes registrades a la PCAOB, la QC 1000 introdueix un nou requisit d'informe anual: el Formulari QC. El primer Formulari QC cobreix el període del 15 de desembre de 2026 al 30 de setembre de 2027, i s'ha de presentar a la PCAOB abans del 30 de novembre de 2027. El formulari requereix l'avaluació de la firma sobre si el seu sistema de control de qualitat proporciona una seguretat raonable que la firma i el seu personal compleixen amb les normes professionals aplicables, a més de la divulgació de les deficiències no esmenades i el pla de remei.

Per a les firmes que actualment no realitzen encàrrecs d'emissors però estan registrades a la PCAOB, la QC 1000 encara requereix un sistema dissenyat; les obligacions de funcionament i d'informe només s'activen quan comenceu un encàrrec d'un emissor. Si esteu valorant si mantenir el registre a la PCAOB, aquest és l'any per prendre aquesta decisió —i per cancel·lar el registre abans de la data d'entrada en vigor de desembre de 2026 si no teniu previst realitzar auditories d'emissors o de corredors de borsa (broker-dealers).

Un pla d'implementació per fases per a empreses petites

Si encara esteu en les primeres etapes, aquí teniu un pla realista de cinc fases per complir la normativa abans del 15 de desembre de 2026.

Fase 1 (ara): Definir rols i governar el projecte. Nomeu les quatre (o més) persones responsables, redacteu un estatut, establiu una cadència de reunions i pressuposteu les hores de socis i gerents. La majoria de les firmes subestimen el compromís de temps; planifiqueu diversos centenars d'hores fins a finals de 2026.

Fase 2 (2n trimestre 2026): Triar una eina i una biblioteca de plantilles. Decidiu si utilitzareu fulls de càlcul, una guia pràctica de l'AICPA o una plataforma específica. Subscriviu-vos a una biblioteca de riscos i respostes que s'adapti a la mida de la vostra firma; crear-ne una des de zero poques vegades val la pena.

Fase 3 (2n–3r trimestre 2026): Executar l'avaluació de riscos. Component per component, documenteu els objectius de qualitat, identifiqueu els riscos específics dels clients i les pràctiques de la vostra firma i dissenyeu les respostes. Sigueu honestos sobre les mancances. La norma premia les firmes que troben les seves pròpies febleses; castiga les firmes que fan veure que no en tenen cap.

Fase 4 (3r trimestre 2026): Implementar respostes i recollir evidències. Desplegueu les noves polítiques, la formació, les configuracions tecnològiques i les plantilles. Comenceu a recollir l'evidència que necessitareu en el moment de l'avaluació: llistes de formació, confirmacions d'independència, signatures d'EQR, documents de treball d'inspecció de seguiment.

Fase 5 (4t trimestre 2026 en endavant): Operar, supervisar, avaluar. A partir del 15 de desembre de 2026, el sistema ha d'estar en funcionament. Executeu el vostre programa de seguiment, realitzeu l'anàlisi de la causa arrel sobre les troballes, documenteu el remei i prepareu-vos per a la data d'avaluació del 30 de setembre de 2027.

Per a l'SQMS núm. 1, les dates equivalents s'apliquen dotze mesos abans; si la vostra firma encara no s'ha posat al dia, prioritzeu aquesta tasca primer.

Errors comuns que cometen els primers adoptants

S'han observat alguns patrons en les empreses que han començat aviat.

• Confondre objectius amb respostes. "Realitzarem revisions de qualitat de l'encàrrec" és una resposta, no un objectiu. L'objectiu és un estat —"els equips de l'encàrrec arriben a conclusions adequades sobre qüestions significatives"— i la RQC és una resposta entre d'altres.
• Llenguatge de risc genèric. "Hi ha el risc d'incompliment dels requisits d'independència" no és un risc; és una categoria. El risc ha de descriure un escenari específic a la vostra empresa: "Un soci de l'encàrrec accepta un préstec personal d'un directiu d'un client d'auditoria durant el període de l'encàrrec."
• Respostes de copiar i enganxar. Manllevar el manual d'un competidor o una plantilla del sector i canviar el nom de l'empresa genera un sistema que no coincideix amb el perfil de risc real de l'empresa. Les inspeccions detectaran aquesta discordança.
• Tractar el seguiment com una qüestió secundària. Les empreses que construeixen el SOQM però ometen el seguiment es troben que l'avaluació del setembre de 2027 no té res a avaluar. Comenceu el programa de seguiment des del primer dia.
• Ometre l'anàlisi de la causa arrel. Quan es troba una deficiència, la temptació és solucionar el símptoma i continuar. La norma exigeix preguntar-se per què ha passat, documentar l'anàlisi i esmenar la causa subjacent.

No oblideu la vostra pròpia comptabilitat

Les normes de gestió de la qualitat s'apliquen a la vostra pràctica d'auditoria, però la mateixa disciplina dona fruits en la gestió de les finances de la vostra pròpia empresa. Un llibre major net, registres amb control de versions i un seguiment transparent de les despeses són exactament el que voldríeu d'un client d'auditoria. Les eines de comptabilitat en text pla faciliten mantenir els llibres de la vostra empresa en un format auditable, automatitzable i resistent a la dependència de proveïdors. Si podeu demostrar un manteniment de registres exemplar internament, el vostre sistema de control de qualitat guanya credibilitat i els vostres revisors ho notaran.

Mantingueu les finances de la vostra empresa preparades per a auditories des del primer dia

A mesura que desenvolupeu un sistema QC 1000 i SQMS No. 1, els mateixos principis —registres transparents, controls documentats, seguiment continu— han de formar part de la vostra pròpia gestió interna. Beancount.io ofereix comptabilitat en text pla que us proporciona total transparència i control sobre les dades financeres de la vostra empresa, amb un historial de versions complet basat en git i exportacions preparades per a IA. Comenceu de franc i veieu per què desenvolupadors, comptables i professionals de les finances s'estan passant a la comptabilitat en text pla.