La Norma Internacional de Auditoría

La Norma Internacional de Auditoría (NIA) 402, “Consideraciones de auditoría relativas a entidades que utilizan organizaciones de servicio” deberá leerse en el contexto del “Prefacio a las Normas Internacionales de Control de Calidad, Auditoría, Revisión, Otros trabajos para atestiguar y Servicios Relacionados,” que exponen la aplicación y autoridad de las NIAs.

Introducción 1. El propósito de esta Norma Internacional de Auditoría (NIA) es establecer normas y dar lineamientos a un auditor cuando la entidad utilice una organización de servicio. Esta NIA también describe los informes del auditor de la organización de servicio que pueden obtener los auditores de la entidad. 2. El auditor deberá considerar cómo afecta al control interno de la entidad el uso de una organización de servicio por ella a modo de identificar y evaluar el riesgo de representación errónea de importancia relativa y diseñar y aplicar procedimientos adicionales de auditoría. 3. Un cliente puede utilizar una organización de servicio que ejecutar transacciones

y mantenga la rendición de cuentas relacionada o registro de transacciones y procesamiento de los datos relacionados (por ejemplo, una organización de servicio de sistemas por computadora). Si la entidad utiliza una organización de servicio, ciertas políticas, procedimientos y registros que mantiene la organización de servicio pueden ser relevantes a la auditoría de los estados financieros del cliente.

Consideraciones del auditor 4. Una organización de servicio puede establecer y ejecutar políticas y procedimientos que afectan al control interno de la entidad. Estas políticas y procedimientos están físicamente y operacionalmente separados de la entidad. Cuando los servicios prestados por la organización de servicio se limitan al registro y procesamiento de las transacciones de la entidad y la entidad retiene la autorización y el mantenimiento de la rendición de cuentas, la entidad puede tener la capacidad de implementar políticas y procedimientos efectivos dentro de su organización. Cuando la organización de servicio ejecuta las transacciones de la entidad y mantiene la rendición de cuentas, la entidad puede considerar necesario apoyarse en las políticas y procedimientos de la organización de servicio. 5. Al obtener un entendimiento de la entidad y su entorno, el auditor deberá determinar la importancia de las actividades de la organización de servicio para la entidad y la relevancia para la auditoría. Al hacerlo así, el auditor obtiene un entendimiento de lo siguiente, según sea apropiado: Naturaleza de los servicios prestados Términos del contrato y relación•por la organización de servicio. Grado•entre la entidad y la organización de servicio.

en el que interactúa el control interno de la entidad con los sistemas de la organización de servicio. Los controles internos de la entidad relevantes a las actividades de la organización de servicio, tales como: Los que se aplican a las transacciones que procesa la organización de servicio. Cómo identifica y maneja la entidad los riesgos relativos al servicio de la organización de servicio.

La capacidad y fortaleza financiera de la organización de servicio, incluyendo el posible efecto sobre la entidad de fallas de la organización de servicio. Información sobre la organización de servicio como la que se refleja en el manual del usuario y el manual técnico. Información disponible sobre los controles relevantes a los sistemas de información de la organización de servicio, como controles generales de TI (tecnología de la información) y controles de aplicación.

6. El auditor debiera también considerar la existencia de informes de terceros auditores de la organización de servicio, auditores internos, o dependencias reguladoras como un medio de obtener información sobre el control interno de la organización de servicio y sobre su operación y efectividad. Cuando el auditor tiene la intención de usar trabajo del auditor interno, la NIA 610, “Consideración del trabajo de auditoría interna” proporciona lineamientos sobre la evaluación de lo adecuado del trabajo del auditor interno para los fines del auditor. 6ª. El entendimiento que obtiene puede llevar al auditor a decidir que la evaluación del riesgo de control del riesgo de representación errónea de importancia relativa no se afectará por los controles de la organización de servicio;

si es así, es innecesaria una consideración adicional de esta NIA. 7. Si el auditor concluye que las actividades de la organización de servicio son importantes para la entidad y relevantes para la auditoría, el auditor deberá obtener un entendimiento suficiente de la organización de servicio y su entorno, incluyendo su control interno, para identificar y evaluar los riesgos de representación errónea de importancia relativa y diseñar procedimientos adicionales de auditoría en respuesta a los riesgos evaluados. El auditor evalúa los riesgos de representación errónea de importancia relativa a nivel de estado financiero y a nivel aseveración para clases de transacciones, saldos de cuenta y revelaciones. 8. Si el entendimiento obtenido es insuficiente, el auditor debiera considerar la necesidad de solicitar a la organización de servicio que su auditor aplique los procedimientos de evaluación del riesgo que suministren la información necesaria, o la necesidad de visitar a la organización de servicio para obtener la información. Un auditor que desee visitar una organización de servicio puede pedir a la entidad que solicite a la organización de servicio que permita el acceso del auditor a la información necesaria. 9. El auditor puede obtener un entendimiento suficiente del control interno al que afecta la organización de servicio al leer el informe de tercero del auditor de la organización de servicio. Además, cuando evalúa los riesgos de representación errónea, por aseveraciones que son afectadas por los controles internos de la organización de servicio, el auditor puede también usar el dictamen del auditor de la organización de servicio. Si el auditor usa el

informe del auditor de una organización de servicio, el auditor deberá considerar hacer investigaciones concernientes a la competencia profesional de este auditor en el contexto de la asignación específica a cargo del auditor de la organización de servicio. 10. El auditor obtiene evidencia de auditoría sobre la efectividad operativa de los controles cuando la evaluación del riesgo por el auditor incluye una expectativa de la efectividad operativa de los controles de la organización de servicio o cuando los procedimientos sustantivos solos no proporcionan suficiente evidencia apropiada de auditoría a nivel aseveración. El auditor puede también concluir que sería eficiente obtener

...