NIA265 Comunicación de las deficiencias en el control interno a los responsables del gobierno y a la dirección de la entidad

Introducción

Alcance de esta NIA

1. Esta Norma Internacional de Auditoría (NIA) trata de la responsabilidad que tiene el auditor de comunicar adecuadamente a los responsables del gobierno de la entidad y a la dirección, las deficiencias en el control interno que haya identificado durante la realización de la auditoría de los estados financieros. Esta NIA no impone responsabilidades adicionales al auditor con respecto a la obtención de conocimiento del control interno y al diseño y la realización de pruebas de controles más allá de los requerimientos de la NIA 315 (Revisada) y la NIA 330. La NIA 260, establece requerimientos adicionales y proporciona orientaciones sobre la responsabilidad que tiene el auditor de comunicarse con los responsables del gobierno de la entidad en relación con la auditoría.

2. Al realizar la identificación y valoración del riesgo de incorrección material el auditor debe obtener conocimiento del control interno relevante para la auditoría. Al efectuar dichas valoraciones del riesgo, el auditor tiene en cuenta el control interno con el fin de diseñar procedimientos de auditoría adecuados a las circunstancias, y no con la finalidad de expresar una opinión sobre la eficacia del control interno. El auditor puede identificar deficiencias en el control interno no sólo durante el proceso de valoración del riesgo, sino también en cualquier otra fase de la auditoría. Esta NIA especifica las deficiencias identificadas que el auditor debe comunicar a los responsables del gobierno de la entidad y a la dirección.

3. Esta NIA no impide que el auditor comunique a los responsables del gobierno de la entidad y a la dirección cualquier otra cuestión sobre el control interno que el auditor haya identificado durante la realización de la auditoría.

Fecha de entrada en vigor

4. Esta NIA es aplicable a las auditorías de estados financieros correspondientes a periodos iniciados a partir del 15 de diciembre de 2009.

Objetivo

5. El objetivo del auditor es comunicar adecuadamente a los responsables del gobierno de la entidad y a la dirección las deficiencias en el control interno identificadas durante la realización de la auditoría y que, según el juicio profesional del auditor, tengan la importancia suficiente para merecer la atención de ambos.

Definiciones

6. A efectos de las NIA, los siguientes términos tienen los significados que figuran a continuación:

(a) Deficiencia en el control interno. Existe una deficiencia en el control interno cuando:

(i) un control está diseñado, se implementa u opera de forma que no sirve para prevenir, o detectar y corregir incorrecciones en los estados financieros oportunamente; o 

(ii) no existe un control necesario para prevenir, o detectar y corregir, oportunamente, incorrecciones en los estados financieros.

(b) Deficiencia significativa en el control interno: deficiencia o conjunto de deficiencias en el control interno que, según el juicio profesional del auditor, tiene la importancia suficiente para merecer la atención de los responsables del gobierno de la entidad. (Referencia: Apartado 5)

Requerimientos

7. El auditor determinará si, sobre la base del trabajo de auditoría realizada, ha identificado una o más deficiencias en el control interno. (Referencia: Apartados A1-A4)

8. Si el auditor ha identificado una o más deficiencias en el control interno, determinará, sobre la base del trabajo de auditoría realizado, si, individualmente o de manera agregada, constituyen deficiencias significativas. (Referencia: Apartados A5-A11)

9. El auditor comunicará a los responsables del gobierno de la entidad, por escrito y oportunamente, las deficiencias significativas en el control interno identificadas durante la realización de la auditoría. (Referencia: Apartados A12-A18, A27)

10. El auditor también comunicará oportunamente y al nivel adecuado de responsabilidad de la dirección: (Referencia: Apartados A19, A27)

(a) Por escrito, las deficiencias significativas en el control interno que el auditor haya comunicado o tenga intención de comunicar a los responsables del gobierno de la entidad, salvo que, teniendo en cuenta las circunstancias, su comunicación directa a la dirección resulte inadecuada; y (Referencia: Apartados A14, A20-A21)

(b) otras deficiencias en el control interno identificadas durante la realización de la auditoría que no hayan sido comunicadas a la dirección por otras partes y que, según el juicio profesional del auditor, tengan la importancia suficiente para merecer la atención de la dirección. (Referencia: Apartados A22-A26)

11. El auditor incluirá en la comunicación escrita sobre las deficiencias significativas en el control interno:

(a) Una descripción de las deficiencias y una explicación de sus posibles efectos; y (Referencia: Apartado A28)

(b) información suficiente para permitir a los responsables del gobierno de la entidad y a la dirección comprender el contexto de la comunicación. En especial, el auditor explicará que (Referencia: Apartados A29-A30)

(i) el propósito de la auditoría era que el auditor expresara una opinión sobre los estados financieros; 
(ii) la auditoría tuvo en cuenta el control interno relevante para la preparación de los estados financieros con el fin de diseñar los procedimientos de auditoría adecuados a las circunstancias, y no con la finalidad de expresar una opinión sobre la eficacia del control interno; y
(iii) las cuestiones sobre las que se informa se limitan a las deficiencias que el auditor ha identificado durante la realización de la auditoría y sobre las que el auditor ha llegado a la conclusión de que tienen importancia suficiente para merecer ser comunicadas a los responsables del gobierno de la entidad.


Guía de aplicación y otras anotaciones explicativas

Determinación de si se han identificado deficiencias en el control interno. (Referencia: Apartado 7)

A1. Para determinar si ha identificado una o más deficiencias en el control interno, el auditor puede discutir los hechos y circunstancias relevantes relativas a sus hallazgos con el nivel adecuado de la dirección. Esta discusión proporciona al auditor la oportunidad de poner en conocimiento de la dirección, oportunamente, la existencia de deficiencias que es posible que la dirección no conociera con anterioridad. El nivel dentro de la dirección al que procede comentar los hallazgos es aquél que esté familiarizado con el área de control interno afectada, además de autorizado para adoptar medidas para la corrección de cualquier deficiencia identificada en el control interno. En algunas circunstancias, es posible que no resulte adecuado que el auditor comente sus hallazgos directamente con la dirección, por ejemplo si los hallazgos parecen poner en duda la integridad o la competencia de la dirección. (véase apartado A20).

A2. El auditor, al discutir con la dirección los hechos y circunstancias relativas a sus hallazgos, puede obtener otra información relevante que tendrá en cuenta posteriormente, como:

• El conocimiento que tiene la dirección sobre las causas reales o supuestas de las deficiencias.
• Las excepciones por deficiencias en las que pueda haber reparado la dirección; por ejemplo, incorrecciones que no fueron evitadas por los controles relevantes de las tecnologías de la información. (TI).
• Una indicación preliminar por parte de la dirección de su respuesta ante los hallazgos.
• Consideraciones específicas para entidades de pequeña dimensión.

A3. Aunque los conceptos subyacentes a la actividades de control en las entidades de pequeña dimensión probablemente sean similares a las entidades de gran dimensión, diferirán en cuanto al grado de formalización con que se aplican. Además, las entidades de pequeña dimensión pueden considerar innecesarios determinados tipos de actividades de control debido a los controles aplicados por la dirección. Por ejemplo, el hecho de que únicamente la dirección esté autorizada a conceder créditos a clientes o aprobar compras significativas puede suponer un control eficaz sobre saldos contables y transacciones importantes, reduciendo o eliminando la necesidad de actividades de control más detalladas.

A4. Además, las entidades de pequeña dimensión suelen tener menos empleados, lo que puede limitar la posibilidad de segregación de funciones. No obstante, en una entidad de pequeña dimensión dirigida por un propietario-gerente, éste puede llegar a ejercer una supervisión más eficaz que en una entidad de gran dimensión. Este mayor nivel de supervisión por parte de la dirección debe ponderarse con la mayor probabilidad de que la dirección eluda los controles.

Deficiencias significativas en el control interno (Referencia: Apartado 6(b), 8)

A5. La significatividad de una deficiencia o de un conjunto de deficiencias en el control interno depende no sólo de si se ha producido realmente alguna incorrección, sino también de la probabilidad de que se pueda producir y de la posible magnitud de la incorrección. En consecuencia, pueden existir deficiencias significativas aunque el auditor no haya identificado incorrecciones durante la realización de la auditoría.

A6. A la hora de determinar si una deficiencia o un conjunto de deficiencias en el control interno constituye una deficiencia significativa, el auditor puede tener en cuenta cuestiones como las siguientes:

• La probabilidad de que las deficiencias den lugar en el futuro a incorrecciones materiales en los estados financieros.
• La exposición del activo o pasivo correspondiente a pérdida o fraude.
• La subjetividad y complejidad a la hora de determinar cantidades estimadas, como, por ejemplo, las estimaciones contables a valor razonable.
• Las cantidades en los estados financieros que podrían esta afectadas por las deficiencias.
• El movimiento que se ha producido o podría producirse en el saldo de las cuentas o los tipos de transacciones que podrían estar afectados por la deficiencia o deficiencias.
• La importancia de los controles en relación con el proceso de información financiera; por ejemplo:

      - Controles generales de seguimiento (como la supervisión de la dirección).

       - Controles sobre la prevención y detección del fraude.

       - Controles sobre la selección y aplicación de políticas contables significativas.

       - Controles sobre las transacciones significativas con partes vinculadas.

       - Controles sobre las transacciones significativas ajenas al curso normal del negocio de la                   entidad.

       - Controles sobre el proceso de información financiera al cierre del periodo (tales como                      controles sobre asientos no recurrentes en el libro diario).

• La causa y frecuencia de las excepciones detectadas como consecuencia de las deficiencias de los controles.
• La interacción de la deficiencia con otras deficiencias en el control interno.

A7. Son indicadores de deficiencias significativas en el control interno, por ejemplo:

• La evidencia de aspectos ineficaces del entorno de control, tales como:

A8. Los controles se pueden diseñar para que funcionen de forma individual o en combinación con otros con el fin de prevenir, o detectar y corregir, eficazmente las incorrecciones. Por ejemplo, los controles sobre las cuentas a cobrar pueden consistir tanto en controles automatizados como manuales, diseñados para operar conjuntamente con el fin de prevenir, o detectar y corregir, incorrecciones en el saldo de la cuenta. Una deficiencia en el control interno puede no tener suficiente importancia, por sí sola, para constituir una deficiencia significativa. Sin embargo, un conjunto de deficiencias que afecten al mismo saldo contable o información a revelar, afirmación relevante o componente del control interno puede aumentar los riesgos de incorrección hasta el punto de dar lugar a una deficiencia significativa.

A9. Las disposiciones legales o reglamentarias de algunas jurisdicciones puede requerir (especialmente en auditorías de entidades cotizadas) que el auditor comunique a los responsables del gobierno de la entidad

A17. Aunque el auditor haya comunicado una deficiencia significativa a los responsables del gobierno de la entidad y a la dirección en una auditoría anterior, continúa siendo necesario que el auditor repita dicha comunicación si aún no se han adoptado medidas correctoras. Si sigue existiendo una deficiencia significativa comunicada anteriormente, en la comunicación del ejercicio en curso se puede repetir la descripción de la comunicación anterior o, simplemente, hacer referencia a ella. El auditor puede preguntar a la dirección o, cuando proceda, a los responsables del gobierno de la entidad, el motivo por el que la deficiencia significativa aún no se ha corregido. El hecho de no actuar, en ausencia de una explicación racional, puede suponer en sí mismo una deficiencia significativa.

Consideraciones específicas para entidades de pequeña dimensión

A18. En el caso de auditorías de entidades de pequeña dimensión, el auditor puede comunicarse con los responsables del gobierno de la entidad de una manera menos formal que en el caso de entidades de gran dimensión.

Comunicación a la dirección de deficiencias en el control interno. (Referencia: Apartado 10)

A19. Por lo general, el nivel adecuado de la dirección es el que tiene la responsabilidad y autoridad necesarias para evaluar las deficiencias en el control interno y adoptar las medidas correctoras necesarias. En el caso de deficiencias significativas, el nivel adecuado