NIA 402

Trata de la responsabilidad que tiene el auditor de la entidad usuaria de obtener evidencia de auditoría suficiente y adecuada cuando la entidad utiliza los servicios de una o más organizaciones de servicios.

Servicios relevantes para la auditoría.

Servicios prestados por la organización de servicios son relevantes para la auditoría de estados financieros de la entidad usuaria cuando dichos servicios y controles sobre ellos son parte del sistema de información de la entidad usuaria.

Servicios relevantes para preparación de información financiera.

Cuando afectan alguno de los siguientes aspectos:

a) Transacciones dentro de las operaciones de la entidad usuaria que son significativos para los EEFF de la misma.

b) Procedimientos, tanto los relativos a sistemas de tecnologías de la información (TI) como los sistemas manuales.

c) Registros contables de soporte de la información y cuentas específicas de los EEFF de la entidad.

d) Proceso de información financiera utilizado para la preparación de los EEFF de la entidad usuaria.

e) Controles sobre los asientos en el libro diario.

(a) Controles complementarios de la entidad usuaria: controles que la organización de servicios, en el diseño de su servicio, asume que serán implementados por las entidades usuarias.

(b) Auditor de la entidad prestadora del servicio: auditor que, a solicitud de la organización de servicios, emite un informe que proporciona un grado de seguridad sobre los controles de esta.

(c) Organización de servicios: organización externa (o segmento de una organización externa) que presta a las entidades usuarias servicios que forman parte de los sistemas de información relevantes para la información financiera de dichas entidades usuarias.

(d) Sistema de la organización de servicios: políticas y procedimientos diseñados, implementados y mantenidos por la organización de servicios para prestar a las entidades usuarias los servicios cubiertos en el informe del auditor de la entidad prestadora del servicio.

(e) Informe sobre la descripción y el diseño de los controles de la organización de servicios ( “informe tipo 1”), comprende:

(i) Descripción, preparada por la dirección de la organización de servicios, del sistema de la organización de servicios, de los objetivos de control y de otros controles relacionados que se han diseñado e implementado en una fecha determinada; y

(ii) Un informe elaborado por el auditor de la entidad prestadora del servicio, con el objetivo de alcanzar una seguridad razonable, que incluya su opinión sobre la descripción del sistema de la organización de servicios, de los objetivos de control y otros controles relacionados, así como de la idoneidad del diseño de los controles para alcanzar los objetivos de control especificados.

(f) Informe sobre la descripción, el diseño y la eficacia operativa de los controles de la organización de servicios (“informe tipo 2”),– informe que comprende:

(i) una descripción, preparada por la dirección de la organización de servicios, del sistema de la organización de servicios, de los objetivos de control y otros controles relacionados que se han diseñado e implementado en una fecha determinada o a lo largo de un período específico y, en algunos casos, su eficacia operativa a lo largo de un período específico; y

(ii) un informe elaborado por el auditor de la entidad prestadora del servicio con el objetivo de alcanzar una seguridad razonable, que incluya:

a. su opinión sobre la descripción del sistema de la organización de servicios, de los objetivos de control y otros controles relacionados así como la idoneidad del diseño de los controles para alcanzar los objetivos de control especificados y la eficacia operativa de dichos controles; y

b. una descripción de las pruebas de controles realizadas por el auditor y de los resultados obtenidos

(g) Subcontratación de la organización de servicios subcontratada: organización de servicios contratada por otra organización de servicios para realizar alguno de los servicios que esta última presta a sus entidades usuarias, los cuales forman parte de los sistemas de información relevantes para la información financiera de estas entidades usuarias.

(h) Auditor de la entidad usuaria: auditor que audita y emite el informe de auditoría sobre los estados financieros de una entidad usuaria.

(i) Entidad usuaria: entidad que utiliza una organización de servicios y cuyos estados financieros se están auditando.

Obtención de conocimiento de los servicios prestados por la organización de servicios, incluido el control interno.

(a) naturaleza de los servicios prestados por la organización de servicios y la significatividad de dichos servicios para la entidad usuaria;

(b) naturaleza y la importancia relativa de las transacciones procesadas;

(c) grado de interacción entre las actividades de la organización de servicios y las de la entidad usuaria; y,

(d) naturaleza de la relación entre la entidad usuaria y la organización de servicios.

Si el auditor de la entidad usuaria no puede obtener conocimiento suficiente a través de la propia entidad usuaria, lo obtendrá mediante uno o más de los siguientes procedimientos:

(a) obteniendo un informe tipo 1 o tipo 2, si lo hubiera;

(b) contactando con la organización de servicios;

(c) visitando la organización de servicios y aplicando procedimientos;

(d) recurriendo a otro auditor con el fin de que aplique procedimientos que proporcionen la información necesaria.

Para determinar si la evidencia de auditoría proporcionada por un informe tipo 1 o tipo 2 es suficiente y adecuada, el auditor de la entidad usuaria deberá satisfacerse de:

(a) la competencia profesional del auditor de la entidad prestadora del servicio y de su independencia con respecto a la organización de servicios; y

(b) la adecuación de las normas conforme a las cuales se emitió el informe tipo 1 o tipo 2.

Si el auditor utiliza un informe tipo 1 o tipo 2 como evidencia de auditoría para sustentar su conocimiento sobre el diseño y la implementación de controles en la organización de servicios, dicho auditor:

(a) evaluará si la descripción y el diseño de los controles de la organización de servicios se refieren a una fecha o a un periodo adecuados para los fines del auditor de la entidad usuaria;

(b) evaluará si la evidencia proporcionada por el informe es suficiente y adecuada para obtener conocimiento del control interno de la entidad usuaria relevante para la auditoría; y

(c) determinará si los controles complementarios de la entidad usuaria identificados por la organización de servicios son relevantes para la entidad usuaria y, en ese caso, obtendrá conocimiento de si la entidad usuaria ha diseñado e implementado dichos controles.

Respuestas a los riesgos valorados de incorrección material

Con el fin de responder a los riesgos valorados de incorrección, el auditor:

(a) determinará si los registros mantenidos en la entidad proporcionan evidencia suficiente y adecuada con respecto a las afirmaciones relevantes incluidas en los estados financieros; y, en caso contrario,

(b) aplicará procedimientos de auditoría posteriores para obtener evidencia suficiente y adecuada o recurrirá a otro auditor con el fin de que aplique dichos procedimientos en la organización de servicios por cuenta del auditor de la entidad.