NIA402 Consideraciones de auditoría relativas a una entidad que utiliza una organización de servicios

Introducción 

Alcance de esta NIA

1. Esta Norma Internacional de Auditoría (NIA) trata de la responsabilidad que tiene el auditor de la entidad usuaria de obtener evidencia de auditoría suficiente y adecuada cuando la entidad usuaria utiliza los servicios de una o más organizaciones de servicios. En concreto, desarrolla el modo en que el auditor de la entidad usuaria aplica la NIA 315 (Revisada) y la NIA 330 para la obtención de conocimiento sobre dicha entidad, incluido el control interno relevante para la auditoría, que sea suficiente para identificar y valorar los riesgos de incorrección material, así como para diseñar y aplicar procedimientos de auditoría posteriores que respondan a dichos riesgos.

2. Muchas entidades externalizan aspectos de su negocio con organizaciones que prestan servicios que comprenden desde la realización de una tarea específica, bajo la dirección de una entidad, hasta la sustitución de unidades o funciones enteras de negocio de la entidad, tal como la función de cumplimiento de obligaciones fiscales. Muchos de los servicios prestados por dichos organizaciones son parte integrante de las actividades empresariales de la entidad. Sin embargo, no todos los citados servicios son relevantes para la auditoría.

3. Los servicios prestados por la organización de servicios son relevantes para la auditoría de estados financieros de la entidad usuaria cuando dichos servicios y los controles sobre ellos son parte del sistema de información de la entidad usuaria, incluidos los correspondientes procesos de negocio, relevantes para la información financiera. Si bien es probable que la mayoría de los controles de la organización de servicios estén relacionados con la información financiera, pueden existir otros controles que también sean relevantes para la auditoría, como los controles sobre la salvaguarda de los activos. Los servicios de la organización de servicios son parte del sistema de información de la entidad usuaria, incluidos los correspondientes procesos de negocio, relevantes para la preparación de información financiera, cuando dichos servicios afectan a alguno de los siguientes aspectos:

(a) Los tipos de transacciones dentro de las operaciones de la entidad usuaria que son significativos para los estados financieros de dicha entidad;

(b) los procedimientos, tanto los relativos a los sistemas de tecnologías de la información (TI) como los sistemas manuales, mediante los que las transacciones de la entidad usuaria se inician, registran, procesan, corrigen en caso necesario, se trasladan al libro mayor e incluyen en los estados financieros.

(c) los correspondientes registros contables, ya estén en formato electrónico o manual, de soporte de la información y cuentas específicas de los estados financieros de la entidad usuaria que son utilizados para iniciar, registrar y procesar las transacciones de dicha entidad e informar sobre ellas. Esto incluye la corrección de información incorrecta y el modo en que la información se traslada al libro mayor.

(d) el modo en que el sistema de información de la entidad usuaria capta los hechos y condiciones, distintos de las transacciones, significativas para los estados financieros.

(e) el proceso de información financiera utilizado para la preparación de los estados financieros de la entidad usuaria, incluidas las estimaciones contables y la información a revelar significativas; y 

(f) los controles sobre los asientos en el libro diario incluidos aquellos asientos que no son estándar y que se utilizan para registrar transacciones o ajustes no recurrentes o inusuales.

4. La naturaleza y extensión del trabajo a realizar por el auditor de la entidad usuaria con respecto a los servicios prestados por la organización de servicios dependen de la naturaleza de dichos servicios y su significatividad para la entidad usuaria, así como de su relevancia para la auditoría.

5. Esta NIA no es aplicable a los servicios prestados por entidades financieras que se limiten al procesamiento, en relación con la cuenta que mantiene una entidad en la entidad financiera, de transacciones que estén expresamente autorizadas por la entidad, por ejemplo, el procesamiento de transacciones de cuenta corriente realizado por un banco o el procesamiento de transacciones de valores realizado por un intermediario bursátil. Asimismo, esta NIA tampoco se aplica a la auditoría de transacciones derivadas de la tenencia de intereses financieros en otras entidades, tales como sociedades, cualquiera que sea su forma jurídica, y negocios conjuntos, cuando un tercero contabiliza las variaciones que se producen en dichos intereses e informa a los titulares.

Fecha de entrada en vigor

6. Esta NIA es aplicable a las auditorías de estados financieros correspondientes a periodos iniciados a partir del 15 de diciembre de 2009.

Objetivos

7. Los objetivos del auditor de la entidad usuaria, cuando ésta utiliza los servicios de una organización de servicios, son:

(a) Obtener conocimiento suficiente de la naturaleza y significatividad de los servicios prestados por la organización de servicios y de su efecto en los controles internos de la entidad usuaria relevantes para la auditoría, para identificar y valorar los riesgos de incorrección material; y

(b) diseñar y aplicar procedimientos de auditoría para responder a dichos riesgos.

Definiciones

8. A efectos de las NIA, los siguientes términos tienen los significados que figuran a continuación:

(a)

Requerimientos

Obtención de conocimiento de los servicios prestados por la organización de servicios, incluido el control interno

9. Para la obtención de conocimiento de la entidad usuaria de conformidad con la NIA 315 (Revisada), el auditor de dicha entidad obtendrá conocimiento del modo en que ella utiliza los servicios de la organización de servicios en sus actividades, esto es, sobre: (Referencia: Apartados A1-A2)

(a) La naturaleza de los servicios prestados por la organización de servicios y la significatividad de dichos servicios para la entidad usuaria, incuido su efecto en el control interno de la entidad usuaria; (Referencia: Apartados A3-A5)

(b) la naturaleza y la importancia relativa de las transacciones procesadas, o las cuentas o los procesos de información financiera afectados por la organización de servicios; (Referencia: Apartado A6)

(c) el grado de interacción entre las actividades de la organización de servicios y las de la entidad usuaria; y (Referencia: Apartado A7)

(d) la naturaleza de la relación entre la entidad usuaria y la organización de servicios, incluidos los términos contractuales aplicables a las actividades realizadas por la organización de servicios. (Referencia: Apartados A8-A11)

10. Para la obtención de conocimiento del control interno relevante para la auditoría de conformidad con la NIA 315 (Revisada), el auditor de la entidad usuaria evaluará el diseño y la implementación de los controles relevantes de la entidad usuaria, relevante para la auditoría, con la finalidad de disponer de una base para la identificación y valoración de los riesgos de incorrección material.

11. El auditor de la entidad usuaria determinará si se ha obtenido conocimiento suficiente sobre la naturaleza y la significatividad de los servicios prestados por la organización de servicios, así como sobre su efecto en el control interno de la entidad usuaria, relevante para la auditoría, con la finalidad de disponer de una base para la identificación y valoración de los riesgos de incorrección material.

12. Si el auditor de la entidad usuaria no puede obtener conocimiento suficiente a través de la propia entidad usuaria, obtendrá dicho conocimiento mediante uno más de los siguientes procedimientos:

13. Para determinar si la evidencia de auditoría proporcionada por un informe tipo 1 o tipo 2 es suficiente y adecuada, el auditor de la entidad usuaria deberá satisfacerse de:

14. Si el auditor de la entidad usuaria prevé utilizar un informe tipo 1 o 2 como evidencia de auditoría para sustentar su conocimiento sobre el diseño y la implementación de controles en la organización de servicios, dicho auditor:

(a) Evaluará si la descripción y el diseño de los controles de la organización de servicios se refieren a una fecha o a un periodo adecuados para los fines del auditor de la entidad usuaria;

(b) evaluará si la evidencia proporcionada por el informe es suficiente y adecuada para obtener conocimiento del control interno de la entidad usuaria relevante para la auditoría; y 

(c) determinará si los controles complementarios de la entidad usuaria identificados por la organización de servicios son relevantes para la entidad usuaria y, en ese caso, obtendrá conocimiento de si la entidad usuaria ha diseñado e implementado dichos controles. (Referencia: Apartados A22-A23)

Respuestas a los riesgos valorados de incorrección material

15. Con el fin de responder a los riesgos valorados de incorrección, de conformidad con la NIA 330, el auditor de la entidad usuaria:

(a) Determinará si los registros mantenidos en la entidad usuaria proporcionan evidencia de auditoría suficiente y adecuada con respecto a las afirmaciones relevantes incluidas en los estados financieros; y, en caso contrario,

(b) aplicará procedimientos de auditoría posteriores para obtener evidencia de auditoría suficiente y adecuada o recurrirá a otro auditor con el fin de que aplique dichos procedimientos en la organización de servicios por cuenta del auditor de la entidad usuaria. (Referencia: Apartados A24-A28)

Pruebas de controles

16. Cuando la valoración del riesgo por el auditor de la entidad usuaria comporte la expectativa de que los controles de la organización de servicios operen eficazmente, el auditor de la entidad usuaria obtendrá evidencia de auditoría sobre la eficacia operativa de dichos controles mediante uno o más de los procedimientos siguientes:

(a) Obteniendo un informe tipo 2, si lo hubiera;
(b) aplicando pruebas de controles adecuadas en la organización de servicios; o
(c) recurriendo a otro auditor con el fin de que realice pruebas de controles en la organización de servicios por cuenta del auditor de la entidad usuaria. (Referencia: Apartados A29-A30)

17. Si, de conformidad con el apartado 16(a), el auditor de la entidad usuaria prevé utilizar un informe tipo 2 como evidencia de auditoría de que los controles de la organización de servicios operan eficazmente, el auditor de la entidad usuaria determinará si el informe del auditor de la entidad prestadora del servicio proporciona evidencia de auditoría suficiente y adecuada sobre la eficacia de los controles, que sirva para sustentar la valoración del riesgo efectuada por el auditor de la entidad usuaria:

(a) Evaluando si la descripción, el diseño y la eficacia operativa de los controles de la organización de servicios se refieren a una fecha o a un periodo adecuados para los fines del auditor de la entidad usuaria; 

(b) determinando si los controles complementarios de la entidad usuaria identificados por la organización de servicios son relevantes para aquella y, en caso afirmativo, comprobando si la entidad usuario ha diseñado e implementado dichos controles y, si así es, realizando pruebas sobre su eficacia operativa.

(c) evaluando la adecuación del periodo de tiempo cubierto por las pruebas de controles y el tiempo transcurrido desde su realización; y

(d) evaluando si las pruebas de controles realizadas por el auditor de la entidad prestadora del servicio y los resultados de dichas pruebas, tal como se describen en su informe, son relevantes para las afirmaciones incluidas en los estados financieros de la entidad usuaria y proporcionan evidencia de auditoría suficiente y adecuada para sustentar la valoración del riesgo efectuada por el auditor de la entidad usuaria. (Referencia: Apartados A31-A39)

Informes tipo 1 y tipo 2 que excluyen los servicios de una organización de servicios subcontratada

18. Si el auditor de la entidad usuaria prevé utilizar un informe tipo 1 o 2 que excluye los servicios prestados por una organización de servicios subcontratada, y dichos servicios son relevantes para la auditoría de estados financieros de la entidad usuaria, el auditor de la entidad usuaria aplicará los requerimientos de la presente NIA con respecto a los servicios prestados por la organización de servicios subcontratada. (Referencia: Apartado A40)

Fraude, incumplimiento de las disposiciones legales y reglamentarias, e incorrecciones no corregidas en relación con las actividades de la organización de servicios

19. El auditor de la entidad usuaria indagará ante la dirección de esa entidad sobre si la organización de servicios le ha informado, o si la entidad usuaria tiene conocimiento por alguna otra vía, de cualquier fraude, incumplimiento de las disposiciones legales y reglamentarias, o incorrecciones no corregidas que afecten a sus estados financieros. El auditor de la entidad usuaria evaluará el modo en que dichas cuestiones afectan a la naturaleza, el momento de realización y la extensión de los procedimientos de auditoría posteriores que deba aplicar, incluido el efecto en sus conclusiones y su informe de auditoría. (Referencia: Apartado A41)

Informe del auditor de la entidad usuaria

20. El auditor de la entidad usuaria expresará una opinión modificada en su informe de auditoría, de conformidad con la NIA 705, si no puede obtener evidencia de auditoría suficiente y adecuada con respecto a los servicios prestados por una organización de servicios que sean relevantes para la auditoría de estados financieros de la entidad usuaria. (Referencia: Apartado A42)