NORMA INTERNACIONAL DE AUDITORÍA 402CONSIDERACIONES DE AUDITORÍA

RELATIVAS A UNA ENTIDAD QUE UTILIZAUNA ORGANIZACIÓN DE SERVICIOS

Existen entidades que contratan los servicios de organizaciones de servicios para

la realización de tareas específicas y el auditor de la entidad usuaria debe obtener

evidencia de auditoría suficiente y adecuada para el conocimiento sobre dicha

entidad, incluido el control interno relevante para la auditoría, que sea suficiente

para identificar y valorar los riesgos de incorrección material, así como para

diseñar y aplicar procedimientos de auditoría posteriores que respondan a dichos

riesgos. Las instituciones que prestan dichos servicios externos se denominan

organizaciones de servicios, y ofrecen servicios como: mantenimiento de registros

contables, administración de activos y manejo de transacciones como agente de la

entidad usuaria, por citar algunos ejemplos. En ocasiones los servicios que presta

a la entidad usuaria son primordiales en los sistemas de información que procesan

los datos y registros contables, que sirven para la elaboración de Estados

Financieros. Además es importante puntualizar que la organización de servicios

implementa controles internos que ayudan a la entidad usuaria a la consecución

de sus objetivos, así como a incrementar la eficiencia y eficacia operativa.

El auditor debe considerar como una organización de servicios (un tercer) que

presta servicios a su cliente (usualmente ejecuta transacciones o procesa datos

del cliente) puede afectar los sistemas contables y de control interno de ese cliente

de manera de establecer en forma apropiada su plan de auditoría y la ejecución

posterior de un modo efectivo. El auditor debe formularse y conocer la naturaleza

de la entidad y contenido de sus informes, el alcance de los servicios que ella le

presta a su cliente, el efecto de tales servicios en la evaluación del riesgo y

finalmente su posición como auditor a la hora de emitir su informe de auditoría.

Los servicios prestados por la organización de servicios son relevantes para la

auditoría de estados financieros de la entidad usuaria cuando dichos servicios y

los controles sobre ellos son parte del sistema de información de la entidad

usuaria, incluidos los correspondientes procesos de negocio, relevantes para la

información financiera. Si bien es probable que la mayoría de los controles de la

organización de servicios estén relacionados con la información financiera, pueden

existir otros controles que también sean relevantes para la auditoría, como los

controles sobre la salvaguarda de los activos.

La naturaleza y extensión del trabajo a realizar por el auditor de la entidad usuaria

con respecto a los servicios prestados por la organización de servicios dependen

de la naturaleza de dichos servicios y su significatividad para la entidad usuaria,

así como de su relevancia para la auditoría. La NIA 402 no se aplicara a los

servicios prestados por entidades financieras que se limiten al procesamiento, en

relación con la cuenta que mantiene una entidad en la entidad financiera, de

transacciones que estén autorizadas por la entidad, así mismo no se aplicara la

presente NIA a auditoria de transacciones derivadas de la tenencia de intereses

financieros en otras entidades.

Los objetivos del auditor de la entidad usuaria, cuando ésta utiliza los servicios de

una organización de servicios pueden ser:

obtener conocimiento suficiente de la naturaleza y significatividad de los

servicios prestados por la organización de servicios y de su efecto en los

controles internos de la entidad usuaria relevantes para la auditoría, para

identificar y valorar los riesgos de incorrección material; y

diseñar y aplicar procedimientos de auditoría para responder a dichos

riesgos.

El auditor de la entidad usuaria determinará si se ha obtenido conocimiento

suficiente sobre la naturaleza y la significatividad de los servicios prestados por la

organización de servicios, así como sobre su efecto en el control interno de la

entidad usuaria, relevante para la auditoría, con la finalidad de disponer de una

base para la identificación y valoración de los riesgos de incorrección material.

El auditor de la entidad usuaria debe tener conocimiento suficiente por parte de la

organización que presta el servicio, si por sucediera que el auditor de la entidad

usuaria no obtiene la evidencia adecuada y oportuna podrá utilizar como

procedimientos el informe tipo 1 que está diseñado por la dirección de la

organización que presta el servicio y es la descripción de los controles, que están

diseñado por la organización que presta los servicios y cuáles son los objetivos

que se han implementado a una determinada fecha, o bien se tomará como

procedimiento el informe tipo 2 que está diseñado por el auditor de la organización

que presta servicios en que se incluye la opinión del auditor acerca de los detalles,

los controles diseñados por la organización de servicios y sus objetivos

implantados a lo largo de un período específico. Este tipo de informes se podrán

utilizar siempre que los hubiera ya que con su utilización él auditor de la entidad

usuaria obtendrá un mayor conocimiento acerca de la organización que presta el

servicio.

El auditor de la entidad usuaria también podrá obtener información

comunicándose con la organización que presta el servicio, recopilando información

específica que le sea suficiente y oportuna. De igual forma se puede optar por

realizar una visita por parte del auditor hacia la organización que presta el servicio

y que sea esta entidad la que informa acerca de los controles que son relevantes

en esta organización que presta el servicio. O bien el auditor de la entidad usuaria

puede solicitar a otro auditor que aplique procedimientos que puedan

proporcionarle la información de los controles que utiliza la organización

prestadora de los servicios hacia la entidad que prescinde de sus servicios.

Si él auditor de la entidad que ha solicitado un servicio utiliza el informa tipo 1 o

tipo 2 debe determinar si la evidencia que obtuvo es suficiente y adecuada, por lo

que debe observar que el auditor de la organización que presta el servicio sea

competente y que él auditor de esta organización sea independiente con respecto

a la organización que presta el servicio. Si se ha optado por un informe tipo 1 o

tipo 2 las normas que en ellas están estipuladas deben estar adecuadas a dicho

informe.

Cuando el auditor de la entidad utilizo alguno de los dos tipos de informe como

evidencia del conocimiento acerca del diseño y la implantación por parte de la

organización que presta el servicio, el auditor deberá tomar en cuenta que evaluar,

si la organización de servicios implemento el diseño de los controles a una fecha o

período que sea el adecuado para la entidad que solicito sus servicios. El auditor

deberá evaluar también que el informe detalle información que sea de importancia

a cerca del control interno de la entidad que ha solicitado los servicios (entidad

usuaria) y el auditor determinará si los controles que ha identificado la

organización de servicios son relevantes y si lo fueran deberá conocer si la entidad

usuaria ha implementado correctamente dichos controles.

El auditor de la entidad usuaria determinará si las afirmaciones que se encuentren

en los registros que mantiene la entidad usuaria son evidencia suficiente para

incluirlas en los estados financieros y si resultarán no ser evidencia suficiente se

optará por aplicar procedimientos o se considera a otro auditor para que aplique

los procedimientos a la organización prestadora de servicios, esta acción la

realizará la entidad usuaria.

El auditor de la entidad usuaria puede definir que los controles implementados por

la organización que presta el servicio es eficaz y para obtener esta evidencia

puede implementar los procedimientos tales como:

Obtener información por informe tipo 1 ó informe tipo 2 si los hubiera

Puede aplicar pruebas de control que se adecuen a la organización

prestadora de servicios

Que otro auditor realice prueba a la organización prestadora de servicios,

esto se realiza a cuenta del auditor de la entidad usuaria.

El informe tipo 2 puede ser utilizado como evidencia y verificar si los controles

operan eficazmente por la entidad que presta el servicio y se determina cual es el

riesgo existente.

Puede suceder que en la organización que presta el servicio haya existido algún

tipo de fraude, incumplimiento de las disposiciones legales, reglamentarias y estas

pueden afectar los estados financieros de la entidad usuaria, el auditor de la

entidad que solicito el servicio investigará en la organización prestadora de

servicios o por alguna otra fuente si existen estas irregularidades y evaluará los

procedimientos a seguir y cuál es el efecto, lo cual describirá en sus conclusiones

y su informe de auditoría.

Al presentar su informe el auditor de la entidad usuaria expresará una opinión

modificada, si no ha obtenido evidencia oportuna y adecuada, pero si se presenta

una opinión no modificad no será referido al trabajo que realiza el auditor de la

organización que presta el servicio, a excepción que existiera disposiciones

legales que así lo requieran.

Si se requiere mencionar el trabajo del auditor de la organización de servicios no

quiere decir que se reduzca la responsabilidad de la opinión expresada por el

auditor de la entidad usuaria. Al existir una mención del trabajo del auditor de la

organización que presta el servicio con respecto a la entidad usuaria y que esta

mención sirva para entender el por qué de la opinión modificada, de igual forma no

reduce la responsabilidad por parte del auditor de la entidad usuaria.

Conclusión:

La norma de Auditoria 402 expone la responsabilidad del Auditor del Usuario de

obtener la suficiente y adecuada evidencia de auditoría cuando la entidad usuaria

emplea los servicios de una o más organizaciones de servicios. Muchas entidades

contratan los servicios de organizaciones para la realización de tareas específicas

a las operaciones de negocios de la entidad.

Recomendación:

Determinar por parte del Auditor que servicios prestados por parte de la

organización de servicios son relevantes para la Auditoria de Estados Financieros,

estos son los que hacen parte del sistema de información de la entidad y son

relevantes a la información financiera.