Resolución de 14 de octubre de 2021, del Instituto de Contabilidad y Auditoría de Cuentas, por la que se publican las Normas Técnicas de Auditoría, resultado de la adaptación de las Normas Internacionales de Auditoría para su aplicación en España, "Consideración de las disposiciones legales y reglamentarias en la auditoría de estados financieros", NIA-ES 250 (revisada), "Identificación y valoración del riesgo de incorrección material", NIA-ES 315 (revisada) y "Utilización del trabajo de los auditores internos", NIA-ES 610 (revisada)

A116. Cuestiones que el auditor puede considerar para obtener conocimiento del modo en que la entidad realiza el seguimiento de su sistema de control interno incluyen:

– El diseño de las actividades de seguimiento, por ejemplo, si el seguimiento es periódico o continuo;

– La realización y frecuencia con la que se realizan las actividades de seguimiento;

– La evaluación de los resultados de las actividades de seguimiento, de manera oportuna, para determinar si los controles han sido eficaces; y

– El modo en que se ha respondido a las deficiencias identificadas a través de medidas correctoras adecuadas, incluida la comunicación oportuna de dichas deficiencias a los responsables de ejecutarlas.

A117. El auditor también puede considerar el modo en que el proceso de la entidad para el seguimiento del sistema de control interno trata el seguimiento de controles de procesamiento de la información en el que interviene la utilización de TI. Esto puede incluir, por ejemplo:

– Controles para el seguimiento de entornos de TI complejos que:

• Evalúan la continuidad de la eficacia del diseño de los controles de procesamiento de la información y los modifican, según corresponda, ante cambios en las condiciones; o

• Evalúan la eficacia operativa de los controles de procesamiento de la información.

– Controles que realizan el seguimiento de las autorizaciones que se aplican en los controles de procesamiento de la información automatizados que aplican la segregación de funciones.

– Controles que realizan el seguimiento del modo en que se identifican y resuelven los errores o las deficiencias de controles relacionados con la automatización de la información financiera.

Conocimiento de la función de auditoría interna de la entidad [Ref: Apartado 24(a)(ii)].

El Anexo 4 contiene consideraciones adicionales para el conocimiento de la función de auditoría interna de una entidad.

A118. Las indagaciones del auditor ante las personas adecuadas dentro de la función de auditoría interna le ayudan a obtener conocimiento sobre la naturaleza de las responsabilidades de la función de auditoría interna. Si el auditor determina que las responsabilidades de la función de auditoría interna están relacionadas con la información financiera de la entidad, puede obtener un mayor conocimiento de las actividades realizadas, o que serán realizadas, por la función de auditoría interna mediante la revisión, en su caso, del plan de auditoría de la función de auditoría interna para el periodo, así como la discusión de dicho plan con las personas adecuadas dentro de la función. Este conocimiento, junto con la información obtenida de las indagaciones del auditor pueden también proporcionar información directamente relevante para la identificación y valoración de los riesgos de incorrección material por parte del auditor. Si sobre la base de su conocimiento preliminar de la función de auditoría interna, el auditor tiene previsto utilizar el trabajo de los auditores internos para modificar la naturaleza o el momento de realización de los procedimientos de auditoría a aplicar, o bien para reducir su extensión es de aplicación la NIA 610 (Revisada 2013)⁽³⁸⁾.

⁽³⁸⁾ NIA 610 (Revisada 2013) Utilización del trabajo de los auditores internos.

Otras fuentes de información utilizadas en el proceso de la entidad para el seguimiento del sistema de control interno.

Conocimiento de las fuentes de información [Ref: Apartado 24(b)].

A119. Las actividades de seguimiento por la dirección pueden utilizar información contenida en comunicaciones de terceros tales como quejas de clientes o comentarios de las autoridades reguladoras, que pueden ser indicativos de problemas o resaltar áreas en las que se necesitan mejoras.

Por qué se requiere que el auditor tenga conocimiento de las fuentes de información utilizadas por la entidad para el seguimiento del sistema de control interno.

A120. El conocimiento por parte del auditor de las fuentes de información utilizadas por la entidad para el seguimiento del sistema de control interno, incluido si la información que se utiliza es relevante y fiable, le ayuda a evaluar si el proceso para el seguimiento del sistema de control interno es adecuado. Si la dirección asume que la información utilizada para el seguimiento es relevante y fiable sin disponer de una base para dicha hipótesis, los errores que pueden existir en la información podrían llevar a la dirección a alcanzar conclusiones erróneas derivadas de sus actividades de seguimiento.

Evaluación del proceso de la entidad para el seguimiento del sistema de control interno [Ref: Apartado 24(c)].

Por qué el auditor evalúa si el proceso de la entidad para el seguimiento del sistema de control interno es adecuado.

A121. La evaluación por el auditor del modo en que la entidad realiza evaluaciones continuas y puntuales para el seguimiento de la eficacia de los controles le ayuda a conocer si los demás componentes del sistema control interno de la entidad existen y funcionan y, en consecuencia, le ayuda en el conocimiento de los demás componentes del sistema de control interno de la entidad. Esta evaluación también puede ayudar al auditor en la identificación y valoración de los riesgos de incorrección material en los estados financieros y en las afirmaciones (véase el apartado A86).

Evaluación de si el proceso de la entidad para el seguimiento del sistema de control interno es adecuado [Ref: Apartado 24(c)].

A122. La evaluación por el auditor de lo adecuado del proceso de la entidad para el seguimiento del sistema de control interno se basa en su conocimiento de dicho proceso.

Sistema de información y comunicación y actividades de control (Ref: Apartado 25‒26).

A123. Los controles en el sistema de información y comunicación y en los componentes de actividades de control son principalmente controles directos (es decir, controles lo suficientemente precisos para prevenir, detectar o corregir errores en las afirmaciones).

Por qué se requiere que el auditor tenga conocimiento del sistema de información y comunicación y de los controles en el componente de actividades de control.

A124. Se requiere que el auditor tenga conocimiento del sistema de información y comunicación porque el conocimiento de las políticas de la entidad que definen los flujos de transacciones y otros aspectos de las actividades de proceso de la información de la entidad relevantes para la preparación de los estados financieros, y la evaluación de si el componente proporciona un soporte adecuado para la preparación de los estados financieros de la entidad, sustentan la identificación y valoración de los riesgos de incorrección material en las afirmaciones por el auditor. Este conocimiento y esta evaluación también pueden tener como resultado la identificación de riesgos de incorrección material en los estados financieros cuando los resultados de los procedimientos del auditor son incongruentes con las expectativas sobre el sistema de control interno de la entidad que se pueden haber formado sobre la base de información obtenida durante el proceso de aceptación o continuidad del encargo (véase el apartado A86).

A125. Se requiere que el auditor identifique controles específicos en el componente de actividades de control y que evalúe su diseño y determine si los controles han sido implementados, ya que ello le ayuda en el conocimiento del enfoque de la dirección para responder a determinados riesgos y, por lo tanto, le proporciona una base para el diseño y aplicación de procedimientos posteriores de auditoría que respondan a esos riesgos como requiere la NIA 330. Cuanto más alto se valore un riesgo dentro del espectro de riesgo inherente, más convincente tendrá que ser la evidencia de auditoría. Incluso cuando el auditor no prevé comprobar la eficacia operativa de los controles identificados, el conocimiento del auditor aún puede afectar al diseño de la naturaleza, el momento de realización y la extensión de los procedimientos sustantivos de auditoría que respondan a los correspondientes riesgos de incorrección material.

La naturaleza iterativa del conocimiento del auditor y la evaluación del sistema de información y comunicación, y de las actividades de control.

A126. Como se explica en el apartado A49, el conocimiento por el auditor de la entidad y su entorno y del marco de información financiera aplicable le puede ayudar en el desarrollo de expectativas iniciales sobre los tipos de transacciones, saldos contables e información a revelar que puedan ser tipos de transacciones, saldos contables e información a revelar significativos. En la obtención de conocimiento del componente del sistema de información y comunicación de conformidad con el apartado 25(a), el auditor puede utilizar esas expectativas iniciales con el fin de determinar la extensión del conocimiento de las actividades de procesamiento de la información que debe obtener.

A127. El conocimiento del sistema de información por el auditor incluye conocer las políticas que definen los flujos de información relativos a los tipos de transacciones, saldos contables e información a revelar significativos y otros aspectos relacionados de las actividades de la entidad de procesamiento de la información. Esta información y la que se obtenga de la evaluación por el auditor del sistema de información pueden confirmar o influir más en sus expectativas sobre los tipos de transacciones, saldos contables e información a revelar significativos inicialmente identificados (véase el apartado A126).

A128. En la obtención de conocimiento del modo en que la información relativa a los tipos de transacciones, saldos contables e información a revelar significativos entra, fluye y sale del sistema de información de la entidad, es posible que el auditor identifique también controles en el componente de actividades de control que deben ser identificados de conformidad con el apartado 26(a). En la identificación y evaluación de controles en el componente de actividades de control al diseñar la naturaleza, el momento de realización y la extensión de los procedimientos sustantivos, el auditor se puede centrar en primer lugar en los controles sobre asientos en el diario y en los controles cuya eficacia operativa tiene previsto comprobar.

A129. La valoración por el auditor del riesgo inherente también puede influir en la identificación de controles en el componente de actividades de control. Por ejemplo, es posible que la identificación por el auditor de controles relacionados con riesgos significativos solo se pueda realizar cuando el auditor haya valorado el riesgo inherente en las afirmaciones de conformidad con el apartado 31. Además, es posible que solo se puedan identificar los controles que responden a riesgos para los cuales el auditor ha determinado que los procedimientos sustantivos por sí solos no proporcionan evidencia de auditoría suficiente y adecuada (de conformidad con el apartado 33) una vez que el auditor haya realizado sus valoraciones de riesgo inherente.

A130. La identificación y valoración por el auditor de los riesgos de incorrección material en las afirmaciones depende tanto:

– Del conocimiento por el auditor de las políticas de la entidad para sus actividades de procesamiento de la información en el sistema de información y en el componente de comunicación, como

– De la identificación y evaluación de controles en el componente de actividades de control.

Obtención de conocimiento del sistema de información y comunicación (Ref: Apartado 25).

Los apartados 15–19 del Anexo 3 contienen consideraciones adicionales en relación con el sistema de información y comunicación.

Graduación.

A131. Es probable que en entidades menos complejas el sistema de información y los procesos de negocio relacionados sean menos sofisticados que en las entidades más complejas, y es probable que el entorno de TI sea menos complejo. No obstante, la función del sistema de información es igual de importante. Las entidades menos complejas que cuenten con una participación directa de la dirección puede que no necesiten descripciones detalladas de procedimientos contables, registros contables sofisticados o políticas escritas. En consecuencia, es posible que conocer los aspectos relevantes del sistema de información de la entidad requiera menos esfuerzo en la auditoría de una entidad menos compleja y necesitar más indagación que la observación o la inspección de documentación. Sin embargo, la necesidad de obtener conocimiento sigue siendo importante para proporcionar una base para el diseño de procedimientos posteriores de auditoría de conformidad con la NIA 330 y puede ayudar al auditor en la identificación y valoración de riesgos de incorrección material en mayor medida (véase apartado A86).

Obtención de conocimiento del sistema de información [Ref: Apartado 25(a)].

A132. El sistema de control interno de la entidad incluye aspectos relacionados con los objetivos de información de la entidad, incluidos sus objetivos de información financiera, pero puede también incluir aspectos relacionados con sus objetivos operativos o de cumplimiento cuando dichos aspectos son relevantes para la información financiera. Conocer el modo en que la entidad inicia las transacciones y captura la información como parte del conocimiento del auditor del sistema de información puede incluir información acerca de los sistemas (sus políticas) diseñados para tratar los objetivos de cumplimiento y operativos porque esa información es relevante para la preparación de los estados financieros. Además, algunas entidades pueden tener sistemas de información que están altamente integrados de tal forma que los controles pueden estar diseñados de modo que se alcancen de manera simultánea objetivos de información financiera, de cumplimiento y operativos, y combinaciones de estos.

A133. Conocer el sistema de información de la entidad también incluye conocer los recursos que la entidad va a utilizar en las actividades de procesamiento de la información. La información acerca de los recursos humanos que participan que puede ser relevante para el conocimiento de los riesgos para la integridad del sistema de información incluye:

– La competencia profesional de las personas que realizan el trabajo;

– Si se dispone de los recursos adecuados y

– Si hay una adecuada segregación de funciones.

A134. Las cuestiones que el auditor puede considerar para el conocimiento de las políticas que definen los flujos de información relativos a los tipos de transacciones, saldos contables e información a revelar significativos en el sistema de información y en el componente de comunicación incluyen la naturaleza de:

(a) Los datos o la información relativa a las transacciones, otros hechos y condiciones que deban ser procesados;

(b) El procesamiento de la información para mantener la integridad de dichos datos o información y

(c) Los procesos de la información, el personal y otros recursos que se utilizan en el proceso de procesamiento de la información.

A135. La obtención de conocimiento de los procesos de negocio de la entidad, que incluye el modo en que se originan las transacciones, ayuda al auditor en la obtención de conocimiento del sistema de información de la entidad de un modo adecuado a las circunstancias de la entidad.

A136. El conocimiento del auditor del sistema de información se puede obtener de varias maneras que pueden incluir:

– Indagaciones ante el personal relevante acerca de los procedimientos utilizados para iniciar, registrar, procesar las transacciones e informar sobre ellas o sobre el proceso de información financiera de la entidad;

– La inspección de manuales de políticas o procesos u otra documentación del sistema de información de la entidad;

– La observación de la ejecución de las políticas o procedimientos por el personal de la entidad; o

– La selección de transacciones y su seguimiento a través del correspondiente proceso en el sistema de información (es decir, ejecutando una comprobación paso a paso).

Herramientas y técnicas automatizadas.

A137. El auditor también puede utilizar técnicas automatizadas para obtener un acceso directo o una descarga de las bases de datos del sistema de información de la entidad en las que se encuentran los registros contables de las transacciones. Mediante la aplicación de herramientas o técnicas automatizadas a esta información, el auditor puede confirmar el conocimiento obtenido acerca del modo en que las transacciones fluyen a través del sistema de información realizando el seguimiento de asientos en el diario u otros registros digitales relacionados con una determinada transacción o toda una población de transacciones, desde el inicio en los registros contables hasta el registro en el mayor. El análisis de conjuntos completos o amplios de transacciones también puede producir la identificación de variaciones con respecto a los procedimientos de procesamiento normales o esperados para estas transacciones, lo que, a su vez, puede tener como resultado la identificación de riesgos de incorrección material.

Información obtenida al margen del mayor y de los auxiliares.

A138. Los estados financieros pueden contener información que se obtiene al margen del mayor y de los auxiliares. Algunos ejemplos de información de ese tipo que el auditor puede considerar son:

– Información obtenida de acuerdos de arrendamiento relevantes para la información a revelar en los estados financieros.

– Información revelada en los estados financieros generada por un sistema de gestión de riesgos de la entidad.

– Información sobre valor razonable generada por expertos de la dirección y revelada en los estados financieros.

– Información revelada en los estados financieros obtenida de modelos u otros cálculos utilizados para desarrollar estimaciones contables reconocidas o reveladas en los estados financieros, incluida la información relacionada con los datos subyacentes y las hipótesis utilizadas en esos modelos, tales como:

• Hipótesis desarrolladas internamente que pueden afectar a la vida útil de un activo; o

• Datos, tales como tipos de interés, afectados por factores fuera del control de la entidad.

– Información revelada en los estados financieros sobre análisis de sensibilidad derivados de modelos financieros que demuestra que la dirección ha considerado hipótesis alternativas.

– Información reconocida o revelada en los estados financieros obtenida de las declaraciones de impuestos de la entidad o de sus registros fiscales.

– Información revelada en los estados financieros obtenida de análisis preparados para apoyar la valoración de la dirección de la capacidad de la entidad para continuar como empresa en funcionamiento, tal como información a revelar, en su caso, relacionada con hechos o con condiciones que pueden generar dudas significativas sobre la capacidad de la entidad para continuar como empresa en funcionamiento⁽³⁹⁾.

⁽³⁹⁾ NIA 570 (Revisada), apartados 19-20.

A139. Algunas cantidades o información a revelar en los estados financieros de la entidad (tales como información a revelar sobre riesgo crediticio, riesgo de liquidez y riesgo de mercado) pueden provenir del sistema de gestión del riesgo de la entidad. Sin embargo, no se requiere que el auditor conozca todos los aspectos del sistema de gestión del riesgo, y debe recurrir a su juicio profesional para determinar el conocimiento necesario.

La utilización de tecnologías de la información en el sistema de información.

Por qué conoce el auditor el entorno de TI relevante para el sistema de información.

A140. El conocimiento por el auditor del sistema de información incluye el entorno de TI relevante para los flujos de transacciones y el procesamiento de la información en el sistema de información de la entidad porque la utilización de aplicaciones de TI u otros aspectos del entorno de TI pueden dar lugar a riesgos derivados de la utilización de TI.

A141. El conocimiento del modelo de negocio de la entidad y del modo en que integra la utilización de TI también pueden proporcionar un contexto útil a la naturaleza y extensión de las TI esperadas en el sistema de información.

Conocimiento de la utilización de TI por la entidad.

A142. La obtención por el auditor de conocimiento del entorno de TI se puede centrar en identificar y comprender la naturaleza y el número de las aplicaciones específicas de TI y otros aspectos del entorno de TI que son relevantes para los flujos de transacciones y el procesamiento de la información en el sistema de información. Los cambios en los flujos de transacciones o en la información dentro del sistema de información pueden ser el resultado de cambios en los programas de las aplicaciones de TI o de cambios directos en los datos de las bases de datos que intervienen en el procesamiento o en el almacenamiento de esas transacciones o información.

A143. El auditor puede identificar las aplicaciones de TI y la infraestructura de TI en las que se apoyan a la vez que obtiene conocimiento del modo en que la información relativa a los tipos de transacciones, saldos contables e información a revelar significativos entra, fluye y sale del sistema de información de la entidad.

Obtención de conocimiento de la comunicación de la entidad [Ref: Apartado 25(b)].

Graduación.

A144. En las entidades de mayor tamaño y más complejas, la información que el auditor puede considerar para el conocimiento de la comunicación de la entidad puede provenir de manuales de políticas y de información financiera.

A145. En entidades menos complejas, la comunicación puede estar menos estructurada (por ejemplo, es posible que no se utilicen manuales formales) debido a la existencia de un menor número de niveles de responsabilidad y a la mayor cercanía y disponibilidad de la dirección. Independientemente de la dimensión de la entidad, la existencia de canales de comunicación abiertos ayuda a que se informe sobre las excepciones y se actúe sobre ellas.

Evaluación de si los aspectos relevantes del sistema de información sustentan la preparación de los estados financieros [Ref: Apartado 25(c)].

A146. La evaluación por el auditor de si el sistema de información y comunicación de la entidad sustenta adecuadamente la preparación de los estados financieros se basa en el conocimiento obtenido en los apartados 25(a) y (b).

Actividades de control (Ref: Apartado 26).

Controles en el componente de actividades de control.

Los apartados 20 y 21 del Anexo 3 contienen consideraciones adicionales en relación con las actividades de control.

A147. El componente de actividades de control incluye controles diseñados para asegurar la adecuada aplicación de las políticas (que también son controles) en todos los demás componentes del sistema de control e incluye controles tanto directos como indirectos.

Ejemplo:

Los controles que una entidad ha establecido para asegurar que su personal cuenta y registra correctamente el recuento físico anual de existencias se relacionan directamente con los riesgos de incorrección material en las afirmaciones de realidad e integridad relativas al saldo contable de las existencias.

A148. La identificación y evaluación por el auditor de controles en el componente de actividades de control se centra en controles de procesamiento de la información, que son controles aplicados durante el procesamiento de la información en el sistema de información de la entidad y responden directamente a los riesgos para la integridad de la información (es decir, la integridad, exactitud y validez de las transacciones y otra información). Sin embargo, no se requiere que el auditor identifique y evalúe todos los controles de procesamiento de la información relacionados con las políticas de la entidad que definen los flujos de transacciones y otros aspectos de las actividades de procesamiento de la información para los tipos de transacciones, saldos contables e información a revelar significativos.

A149. También pueden existir controles directos en el entorno de control, en el proceso de valoración del riesgo por la entidad o en el proceso para el seguimiento del sistema de control interno de la entidad, los cuales pueden ser identificados de conformidad con el apartado 26. No obstante, cuanto más indirecta sea la relación entre los controles que sustentan a otros controles y el control objeto de consideración, menos eficaz será el control para prevenir, o detectar y corregir, las correspondientes incorrecciones.

Ejemplo:

La revisión por el director de ventas de un resumen de las ventas de determinadas tiendas por región normalmente sólo está indirectamente relacionada con los riesgos de incorrección material relevantes para la afirmación de integridad de los ingresos por ventas. En consecuencia, puede ser menos eficaz para responder a esos riesgos que los controles más directamente relacionados con ella, como la conciliación de documentos de envío con documentos de facturación.

A150. En el apartado 26 también se requiere que el auditor identifique y evalúe controles generales de TI para aplicaciones de TI y otros aspectos del entorno de TI que el auditor haya determinado que están sujetos a riesgos derivados de la utilización de TI porque los controles generales de TI sustentan el funcionamiento continuo y eficaz de los controles de procesamiento de la información. Un solo control general de TI no es habitualmente suficiente para responder a un riesgo de incorrección material en las afirmaciones.

A151. Los controles que se requiere que el auditor identifique, cuyo diseño debe evaluar y cuya implementación debe determinar, de conformidad con el apartado 26, son:

– Controles cuya eficacia operativa tiene previsto comprobar para determinar la naturaleza, el momento de realización y la extensión de los procedimientos sustantivos. La evaluación de dichos controles proporciona al auditor la base para el diseño de procedimientos de pruebas de controles de conformidad con la NIA 330. Esos controles también incluyen controles que responden a riesgos para los cuales los procedimientos sustantivos por sí solos no proporcionan evidencia de auditoría suficiente y adecuada.

– Controles que incluyen controles para responder a riesgos significativos y controles sobre asientos en el diario. La identificación y evaluación de esos controles por el auditor también puede influir en su conocimiento de los riesgos de incorrección material, incluida la identificación de riesgos de incorrección material adicionales (véase apartado A95). Este conocimiento también proporciona la base para el diseño por el auditor de la naturaleza, el momento de realización y la extensión de procedimientos sustantivos que respondan a los correspondientes riesgos de incorrección material valorados.

– Otros controles que el auditor considere adecuados para permitirle cumplir los objetivos del apartado 13 con respecto a los riesgos en las afirmaciones, basándose en su juicio profesional.

A152. Se requiere que se identifiquen controles en el componente de actividades de control cuando dichos controles cumplan uno o varios de los criterios expuestos en el apartado 26(a). Sin embargo, cuando múltiples controles alcancen individualmente el mismo objetivo, no es necesario identificar cada uno de los controles relacionados con dicho objetivo.

Tipos de controles en el componente de actividades de control (Ref: Apartado 26).

A153. Algunos ejemplos de controles en el componente de actividades de control incluyen autorizaciones y aprobaciones, conciliaciones, verificaciones (tales como filtros de edición y de validación o cálculos automatizados), segregación de funciones y controles físicos o lógicos, incluidos los que tratan la salvaguarda de activos.

A154. Los controles en el componente de actividades de control pueden incluir controles establecidos por la dirección que responden a riesgos de incorrección material relacionados con información a revelar que no se haya preparado de conformidad con el marco de información financiera aplicable. Dichos controles pueden estar relacionadas con información incluida en los estados financieros obtenida fuera del mayor y de los auxiliares.

A155. Independientemente de si están dentro del entorno de TI o de si son sistemas manuales, los controles pueden tener varios objetivos y aplicarse a diferentes niveles organizativos y funcionales.

Graduación (Ref: Apartado 26).

A156. Los controles en el componente de actividades de control de las entidades menos complejas probablemente sean similares a los de entidades de mayor dimensión, pero pueden diferir en cuanto al grado de formalización con el que funcionan. Además, en entidades menos complejas es posible que un mayor número de controles sea aplicado directamente por la dirección.

Ejemplo:

El hecho de que únicamente la dirección esté autorizada a conceder créditos a clientes o a aprobar compras significativas puede proporcionar un control fuerte sobre saldos contables y transacciones importantes.

A157. Las entidades menos complejas suelen tener menos empleados, lo que puede limitar en la práctica la posibilidad de segregación de funciones. Sin embargo, en una entidad dirigida por un propietario-gerente, es posible que este pueda realizar una supervisión más eficaz a través de su participación directa que en una entidad de mayor dimensión, lo que puede compensar las menores oportunidades de establecer una segregación de funciones. Si bien, como también se explica en la NIA 240, el hecho de que una sola persona ejerza la dirección puede conllevar una posible deficiencia de control, ya que ofrece a la dirección la posibilidad de eludir los controles⁽⁴⁰⁾.

⁽⁴⁰⁾ NIA 240, apartado A28.

Controles que responden a los riesgos de incorrección material en las afirmaciones [Ref: Apartado 26(a)].

Controles que responden a riesgos que se consideran riesgo significativo [Ref: Apartado 26(a)(i)].

A158. Independientemente de si el auditor tiene previsto comprobar la eficacia operativa de los controles que responden a riesgos significativos, el conocimiento obtenido acerca del enfoque de la dirección para responder a esos riesgos puede proporcionar una base para el diseño y aplicación de procedimientos sustantivos que respondan a riesgos significativos como lo requiere la NIA 330⁽⁴¹⁾. Si bien a menudo es menos probable que los riesgos relacionados con cuestiones significativas no rutinarias o que requieren la aplicación de juicio estén sujetos a controles rutinarios, la dirección puede tener otras respuestas cuya finalidad es tratar dichos riesgos. En consecuencia, el conocimiento por el auditor de si la entidad ha diseñado e implementado controles para los riesgos significativos derivados de cuestiones no rutinarias o que requieren la aplicación de juicio puede incluir conocer si la dirección responde a dichos riesgos y el modo en que lo hace. Dichas respuestas pueden incluir lo siguiente:

⁽⁴¹⁾ NIA 330, apartado 21.

– Controles tales como la revisión de hipótesis por la alta dirección o por expertos.

– Procesos documentados para las estimaciones contables.

– Aprobación por los responsables del gobierno de la entidad.

Ejemplo:

Cuando se producen hechos únicos como la recepción de la notificación de una demanda significativa, la consideración de la respuesta de la entidad puede incluir cuestiones tales como si se ha remitido a los expertos adecuados (como los asesores jurídicos internos o externos), si se ha realizado una valoración de su efecto potencial, y el modo en que se propone que las circunstancias se revelen en los estados financieros.

A159. La NIA 240⁽⁴²⁾ requiere que el auditor tenga conocimiento de los controles relacionados con los riesgos valorados de incorrección material debida a fraude (que se tratan como riesgos significativos) y explica que es importante que el auditor obtenga conocimiento de los controles que la dirección ha diseñado, implementado y mantenido para prevenir y detectar el fraude.

⁽⁴²⁾ NIA 240, apartados 28 y A33.

Controles sobre asientos en el diario [Ref: Apartado 26(a)(ii)].

A160. Entre los controles que responden a los riesgos de incorrección material en las afirmaciones que se espera que se identifiquen en todas las auditorías están los controles sobre asientos en el diario, puesto que, generalmente, el modo en que una entidad incorpora información del procesamiento de transacciones en el mayor es mediante la utilización de asientos en el diario, tanto estándar como no, o automatizados o manuales. El grado en que se identifican otros controles puede variar dependiendo de la naturaleza de la entidad y del enfoque previsto por el auditor en relación con procedimientos posteriores de auditoría.

Ejemplo:

En una auditoría de una entidad menos compleja, el sistema de información de la entidad puede no ser complejo y es posible que el auditor no tenga previsto confiar en la eficacia operativa de los controles. Además, es posible que el auditor no haya identificado ningún riesgo significativo o cualquier otro riesgo de incorrección material de los que sea necesario que evalúe su diseño y determine si han sido implementados. En este caso, es posible que el auditor determine que no hay controles identificados aparte de los controles de la entidad sobre los asientos en el diario.

Herramientas y técnicas automatizadas.

A161. En los sistemas de mayores manuales, los asientos no estándar en el diario pueden ser identificados mediante la inspección de los mayores, diarios y documentación de soporte. Cuando se utilizan procesos automatizados para la llevanza de los libros y la preparación de los estados financieros, es posible que dichas anotaciones existan sólo en formato electrónico y puedan ser por tanto más fácilmente identificadas mediante el uso de técnicas de auditoría automatizadas.

Ejemplo:

En la auditoría de una entidad menos compleja, es posible que el auditor pueda extraer una relación completa de todas las anotaciones en el diario a una hoja de cálculo. A partir de allí, es posible que el auditor pueda clasificar las anotaciones en el diario aplicando varios filtros como divisa, nombre del preparador o del revisor, anotaciones en el diario que se elevan al bruto sólo en el balance y en la cuenta de resultados, o examinar el listado por la fecha en que el asiento se registró en el mayor, para ayudarle en el diseño de respuestas a los riesgos identificados relativos a asientos en el diario.

Controles cuya eficacia operativa tiene previsto probar el auditor [Ref: Apartado 26(a)(iii)].

A162. El auditor determina si existen algunos riesgos de incorrección material en las afirmaciones para los cuales los procedimientos sustantivos por sí solos no pueden proporcionar evidencia de auditoría suficiente y adecuada. Se requiere que el auditor, de conformidad con la NIA 330⁽⁴³⁾, diseñe y aplique pruebas de controles que responden a dichos riesgos de incorrección material cuando los procedimientos sustantivos por sí solos no pueden proporcionar evidencia de auditoría suficiente y adecuada en las afirmaciones. Como resultado, cuando existan controles que responden a esos riesgos, se requiere que se identifiquen y evalúen.

⁽⁴³⁾ NIA 330, apartado 8(b).

A163. En otros casos, cuando el auditor tiene previsto tener en cuenta la eficacia operativa de los controles en la determinación de la naturaleza, el momento de realización y la extensión de los procedimientos sustantivos de conformidad con la NIA 330, también se requiere que se identifiquen porque la NIA 330⁽⁴⁴⁾ requiere que el auditor diseñe y aplique pruebas de los mismos.

⁽⁴⁴⁾ NIA 330, apartado 8(a).

Ejemplos:

El auditor puede tener previsto probar la eficacia operativa de los controles:

– Sobre transacciones rutinarias ya que tales pruebas pueden resultar más eficaces o eficientes para grandes volúmenes de transacciones homogéneas.

– Sobre la integridad y la exactitud de la información producida por la entidad (por ejemplo, controles sobre la preparación de informes generados por el sistema), para determinar la fiabilidad de esa información, cuando el auditor tiene intención de tener en cuenta la eficacia operativa de los controles en el diseño y la aplicación de los procedimientos posteriores de auditoría.

– Relativos a los objetivos operativos y de cumplimiento si están relacionados con datos que el auditor evalúa o utiliza en la aplicación de procedimientos de auditoría.

A164. Los planes del auditor de probar la eficacia operativa de los controles también pueden verse influidos por los riesgos identificados de incorrección material en los estados financieros. Por ejemplo, si se identifican deficiencias en el entorno de control, esto puede afectar a las expectativas globales acerca de la eficacia operativa de los controles directos.

Otros controles que el auditor considera adecuados [Ref: Apartado 26(a)(iv)].

A165. Otros controles que el auditor puede considerar adecuado identificar, cuyo diseño puede considerar adecuado evaluar y determinar su implementación, pueden incluir:

– Controles que responden a riesgos valorados como más alto dentro del espectro de riesgo inherente pero que no han sido considerados riesgos significativos;

– Controles relacionados con conciliaciones de registros detallados con el mayor o,

– En el caso de utilizar una organización de servicios, controles complementarios de la entidad usuaria⁽⁴⁵⁾.

⁽⁴⁵⁾ NIA 402, Consideraciones de auditoría relativas a una entidad que utiliza una organización de servicios.

Identificación de aplicaciones de TI y otros aspectos del entorno de TI, riesgos derivados de la utilización de TI y controles generales de TI [Ref: Apartados 26(b)‒(c)].

El Anexo 5 incluye ejemplos de características de aplicaciones de TI y otros aspectos del entorno de TI, y orientaciones relacionadas con dichas características que pueden ser relevantes en la identificación de aplicaciones de TI y otros aspectos del entorno de TI sujetos a riesgos derivados de la utilización de TI.

Identificación de aplicaciones de TI y otros aspectos del entorno de TI Apartado 26(b).

Por qué el auditor identifica los riesgos derivados de la utilización de TI y en los controles generales relacionados con aplicaciones de TI identificadas y otros aspectos del entorno de TI.

A166. El conocimiento de los riesgos derivados de la utilización de TI y de los controles implementados por la entidad para responder a esos riesgos puede afectar a:

– La decisión del auditor sobre si probar la eficacia operativa de los controles para responder a los riesgos identificados de incorrección material en los estados financieros;

Ejemplo:

Cuando los controles generales de TI no están diseñados de un modo eficaz o no están debidamente implementados para responder a los riesgos derivados de la utilización de TI (por ejemplo, los controles no previenen o detectan cambios no autorizados en los programas o accesos no autorizados a aplicaciones de TI), esto puede influir en la decisión del auditor de confiar en controles automatizados en la aplicación de TI afectada.

– La valoración por el auditor del riesgo de control en las afirmaciones;

Ejemplo:

La continuidad de la eficacia operativa de un control de procesamiento de la información puede depender de determinados controles generales de TI que previenen o detectan cambios no autorizados en el programa de TI de control de procesamiento de la información (es decir, controles sobre cambios en los programas de la correspondiente aplicación de TI). En tales circunstancias, la esperada eficacia operativa del control general de TI (o su ausencia) puede influir en la valoración por el auditor del riesgo de control (por ejemplo, el riesgo de control puede ser más elevado cuando se espera que dichos controles generales de TI sean ineficaces o si el auditor no tiene previsto probar los controles generales de TI).

– La estrategia del auditor para probar la información producida por la entidad generada por las aplicaciones de TI de la entidad o que involucra información originada por las mismas;

Ejemplo:

Cuando la información producida por la entidad que vaya a ser utilizada como evidencia de auditoría sea generada por aplicaciones de TI, el auditor puede determinar probar controles sobre informes generados por el sistema, incluida la identificación y comprobación de los controles generales de TI que responden a los riesgos de cambios inapropiados o no autorizados en los programas o cambios directos de datos en los informes.

– La valoración por el auditor del riesgo inherente en las afirmaciones; o

Ejemplo:

Cuando hay cambios significativos y extensos en los programas de una aplicación de TI para tratar requerimientos de información nuevos o revisados del marco de información financiera aplicable, puede ser un indicio de la complejidad de los nuevos requerimientos y de su efecto estados financieros de la entidad. Cuando se producen tales cambios en los programas o en los datos, es probable que la aplicación de TI esté sujeta a riesgos derivados de la utilización de TI.

– El diseño de procedimientos posteriores de auditoría.

Ejemplo:

Si los controles de procesamiento de la información dependen de los controles generales de TI, es posible que el auditor determine comprobar la eficacia operativa de los controles generales de TI, para lo que será necesario diseñar pruebas de controles para esos controles generales. Si, en las mismas circunstancias, el auditor determina no comprobar la eficacia operativa de los controles generales de TI o se espera que dichos controles generales sean ineficaces, los riesgos relacionados derivados de la utilización de TI probablemente tengan que ser tratados mediante el diseño de procedimientos sustantivos. No obstante, es posible que los riesgos derivados de la utilización de TI no puedan ser tratados cuando están relacionadas con riesgos para los cuales los procedimientos sustantivos por sí solos no proporcionan evidencia de auditoría suficiente y adecuada. En esas circunstancias, es posible que el auditor deba considerar las implicaciones en la opinión del auditor.

Identificación de las aplicaciones sujetas a riesgos derivados de la utilización de TI.

A167. Para las aplicaciones de TI relevantes para el sistema de información, el conocimiento de la naturaleza y de la complejidad de los procesos específicos de TI y de los controles generales de TI establecidos por la entidad puede ayudar al auditor en la determinación de cuáles son las aplicaciones de TI en las que confía la entidad para procesar adecuadamente la información en el sistema de información de la entidad y para mantener la integridad de esta. Es posible que esas aplicaciones estén sujetas a riesgos derivados de la utilización de TI.

A168. La identificación de las aplicaciones sujetas a riesgos derivados de la utilización de TI implica tener en cuenta los controles identificados por el auditor puesto que tales controles pueden suponer la utilización de TI o confiar en las TI. El auditor se puede centrar en si una aplicación de TI incluye controles automatizados en los que confía la dirección identificados por él, incluidos los controles que responden a riesgos para los cuales los procedimientos sustantivos por sí solos no proporcionan evidencia de auditoría suficiente y adecuada. El auditor también puede considerar el modo en que la información relativa a los tipos de transacciones, saldos contables e información a revelar se almacena y procesa en el sistema de información y si la dirección confía en controles generales de TI para mantener la integridad de esta.

A169. Los controles identificados por el auditor pueden depender de informes generados por el sistema, en cuyo caso, las aplicaciones que producen dichos informes pueden estar sujetas a riesgos derivados de la utilización de TI. En otros casos, es posible que el auditor no tenga previsto confiar en los controles sobre los informes generados por el sistema y prevea comprobar directamente los datos de entrada y de salida de dichos informes, en cuyo caso, puede no identificar las correspondientes aplicaciones de TI como sujetas a riesgos por TI.

Graduación.

A170. La amplitud del conocimiento del auditor de los procesos de TI, incluido el grado en que la entidad ha establecido controles generales de TI, variará según la naturaleza y las circunstancias de la entidad y de su entorno de TI, así como según la naturaleza y extensión de los controles identificados por el auditor. El número de aplicaciones de TI sujetas a riesgos derivados de la utilización de TI también variará en base a estos factores.

Ejemplos:

– Es poco probable que una entidad que utiliza un software comercial y no tiene acceso al código fuente para realizar ningún cambio en los programas tenga un proceso relativo a cambios en los programas, pero sí puede tener un proceso o procedimientos para configurar el software (por ejemplo, el cuadro de cuentas, parámetros o niveles). Además, es posible que la entidad tenga un proceso o procedimientos para gestionar el acceso a la aplicación (por ejemplo, haber nombrado una persona para que tenga acceso al software comercial). En esas circunstancias, es poco probable que la entidad tenga o necesite controles generales de TI formales.

– Por el contrario, es posible que una entidad de gran dimensión confíe en mayor grado en las TI y el entorno de TI puede involucrar múltiples aplicaciones de TI y los procesos de TI para la gestión del entorno de TI pueden ser complejos (por ejemplo, existe un departamento separado de TI que desarrolla e implementa los cambios en los programas y gestiona los derechos de acceso), incluido el que la entidad haya implementado controles generales de TI formales sobre sus procesos de TI.

– Cuando la dirección no confíe en controles automatizados o en controles generales de TI para el procesamiento de transacciones o el mantenimiento de los datos, y el auditor no haya identificado ningún control automatizado u otros controles de procesamiento de la información (o ninguno que dependa de los controles generales de TI), el auditor puede planificar comprobar directamente cualquier información generada por la entidad que implique TI y puede no identificar ninguna aplicación de TI sujeta a riesgos por la utilización de TI.

– Cuando la dirección confíe en una aplicación de TI para el procesamiento o el mantenimiento de los datos y el volumen de datos sea significativo, y la dirección confíe en la aplicación de TI para ejecutar controles automatizados que el auditor también ha identificado, es probable que la aplicación de TI esté sujeta a riesgos por la utilización de TI.

A171. Cuando el entorno de TI de una entidad es más complejo, es probable que la identificación de las aplicaciones de TI y otros aspectos del entorno de TI, la determinación de los riesgos relacionados derivados de la utilización de TI y la identificación de controles generales de TI requiera la participación de miembros del equipo con cualificaciones especializadas en TI. Es posible que esa participación sea esencial y tenga que ser extensa en el caso de entornos de TI complejos.

Identificación de otros aspectos del entorno de TI sujetos a riesgos derivados de la utilización de TI.

A172. Los demás aspectos del entorno de TI que pueden estar sujetos a riesgos derivados de la utilización de TI incluyen la red, los sistemas operativos y bases de datos y, en determinadas circunstancias, las comunicaciones (interfaces) entre aplicaciones de TI. Por lo general, no se identifican otros aspectos del entorno de TI cuando el auditor no identifica aplicaciones sujetas a riesgos derivados de la utilización de TI. Cuando el auditor haya identificado aplicaciones de TI sujetas a riesgos derivados de la utilización de TI, es probable que se identifiquen otros aspectos del entorno de TI (por ejemplo, bases de datos, sistema operativo, red) porque esos aspectos dan apoyo e interactúan con las aplicaciones de TI identificadas.

Identificación de riesgos derivados de la utilización de TI y controles generales de TI [Ref: Apartado 26(c)].

El Anexo 6 contiene consideraciones para la obtención de conocimiento de los controles generales de TI.

A173. En la identificación de riesgos derivados de la utilización de TI, el auditor puede considerar la naturaleza de la aplicación de TI identificada u otro aspecto del entorno de TI y los motivos por los que están sujetos a riesgos derivados de la utilización de TI. En el caso de algunas aplicaciones de TI u otros aspectos del entorno de TI identificados, es posible que el auditor identifique riesgos aplicables derivados de la utilización de TI relacionados principalmente con accesos no autorizados o con cambios no autorizados en los programas, o que tratan los riesgos de cambios inapropiados en los datos (por ejemplo, el riesgos de cambios inapropiados en los datos mediante el acceso directo a las bases de datos o la capacidad de manipular directamente la información).

A174. La extensión y la naturaleza de los riesgos aplicables identificados derivados de la utilización de TI varían según la naturaleza y las características de las aplicaciones de TI identificadas y otros aspectos del entorno de TI. Se pueden producir riesgos de TI aplicables cuando la entidad emplea proveedores de servicios externos o internos para algunos aspectos de su entorno de TI (por ejemplo, subcontratando a un tercero para el alojamiento de su entorno de TI o utilizando un centro de servicios compartidos para la gestión centralizada de los procesos de TI en un grupo). Riesgos aplicables derivados de la utilización de TI también se pueden identificar en relación con la ciberseguridad. Es más probable que haya más riesgos derivados de la utilización de TI cuanto mayor sea el volumen o la complejidad de los controles de aplicaciones automatizados y la dirección otorgue una mayor confianza a dichos controles para un procesamiento eficaz de las transacciones o el mantenimiento eficaz de la integridad de la información subyacente.

Evaluación del diseño e implementación de controles identificados en el componente de actividades de control [Ref: Apartado 26(d)].

A175. La evaluación del diseño de un control identificado implica la consideración por el auditor de si el control, de manera individual o en combinación con otros controles, es capaz de prevenir de modo eficaz, o de detectar y corregir, incorrecciones materiales (es decir, el objetivo de control).

A176. El auditor determina la implementación de un control estableciendo que el control existe y que la entidad lo está utilizando. No tiene mucho sentido que el auditor evalúe la implementación de un control que no tenga un diseño eficaz. En consecuencia, el auditor evalúa en primer lugar el diseño del control. Un control incorrectamente diseñado puede representar una deficiencia de control.

A177. Los procedimientos de valoración del riesgo para la obtención de evidencia de auditoría sobre el diseño e implementación de controles identificados en el componente de actividades de control pueden incluir:

– La indagación ante los empleados de la entidad.

– La observación de la aplicación de controles específicos.

– La inspección de documentos e informes.

Sin embargo, la indagación como único procedimiento no es suficiente para dichos fines.

A178. El auditor puede esperar, basándose en la experiencia de la auditoría anterior o en los procedimientos de valoración del riesgo del periodo actual, que la dirección no haya diseñado o implementado los controles de un modo eficaz para responder a un riesgo significativo. En esos casos, los procedimientos aplicados para cumplir el requerimiento del apartado 26(d) pueden consistir en determinar que dichos controles no han sido diseñados o implementados de un modo eficaz. Si los resultados de los procedimientos indican que los controles han sido diseñados o implementados recientemente, se requiere que el auditor aplique los procedimientos del apartado 26(b)–(d) a los controles diseñados o implementados recientemente.

A179. Es posible que el auditor concluya que es adecuado comprobar un control eficazmente diseñado e implementado para tener en cuenta su eficacia operativa en el diseño de procedimientos sustantivos. Sin embargo, cuando un control no está diseñado o implementado de un modo eficaz, no tiene ninguna utilidad comprobarlo. Cuando el auditor prevé comprobar un control, la información que obtenga sobre el grado en que el control responde al riesgo o los riesgos de incorrección material es un dato para su valoración del riesgo en las afirmaciones.

A180. Evaluar el diseño y determinar la implementación de controles identificados en el componente de actividades de control no es suficiente para comprobar su eficacia operativa. Sin embargo, en el caso de controles automatizados, el auditor puede planificar comprobar la eficacia operativa de los controles automatizados mediante la identificación y comprobación de controles generales de TI que aseguran el funcionamiento congruente de un control automatizado en vez de aplicar pruebas de eficacia operativa directamente sobre los controles automatizados. La obtención de evidencia de auditoría sobre la implementación de un control manual en un determinado momento no proporciona evidencia de auditoría sobre la eficacia operativa del control en otros momentos del periodo que comprende la auditoría. En la NIA 330⁽⁴⁶⁾ se describen con más detalle las pruebas sobre la eficacia operativa de los controles, incluidas las pruebas de controles indirectos.

⁽⁴⁶⁾ NIA 330, apartados 8-11.

A181. Cuando el auditor no tiene previsto comprobar la eficacia operativa de los controles identificados, el conocimiento del auditor aún le puede ayudar en el diseño de la naturaleza, el momento de realización y la extensión de los procedimientos sustantivos de auditoría que respondan a los correspondientes riesgos de incorrección material.

Ejemplo:

Los resultados de esos procedimientos de valoración del riesgo pueden proporcionar una base para la consideración por el auditor de posibles desviaciones en una población cuando diseñe muestras de auditoría.

Deficiencias de control en el sistema de control interno de la entidad (Ref: Apartado 27).

A182. En la realización de las evaluaciones de cada uno de los componentes del sistema de control interno de la entidad⁽⁴⁷⁾, es posible que el auditor determine que algunas de las políticas de la entidad en un componente no son adecuadas a la naturaleza y las circunstancias de la entidad. Esta determinación puede ser un indicador que ayude al auditor en la identificación de deficiencias de control. Si el auditor ha identificado una o varias deficiencias de control, puede tener en cuenta el efecto de esas deficiencias para el diseño de procedimientos posteriores de auditoría de conformidad con la NIA 330.

⁽⁴⁷⁾ Apartados 21(b), 22(b), 24(c), 25(c) y 26(d).

A183. Si el auditor ha identificado una o más deficiencias de control, la NIA 265⁽⁴⁸⁾ requiere que determine si, individualmente o su combinación, constituyen una deficiencia significativa. El auditor aplicará su juicio profesional para determinar si una deficiencia representa una deficiencia de control significativa⁽⁴⁹⁾.

⁽⁴⁸⁾ NIA 265, Comunicación a los responsables del gobierno y a la dirección de la entidad de las deficiencias en el control interno, apartado 8.

⁽⁴⁹⁾ En los apartados A6‒A7 de la NIA 265 se exponen indicadores de deficiencias significativas y de cuestiones que se deben considerar en la determinación de si una deficiencia, o una combinación de deficiencias, en el control interno constituye una deficiencia significativa.

Ejemplos:

Las circunstancias que pueden ser indicativas de que existe una deficiencia de control significativa incluyen cuestiones como:

– La identificación de fraude, cualquiera que sea su magnitud, en el que participe la alta dirección;

– Procesos internos identificados que son inadecuados relacionados con las deficiencias de información y comunicación observadas por la auditoría interna;

– Deficiencias comunicadas con anterioridad que no hayan sido corregidas por la dirección de modo oportuno;

– Que la dirección no haya respondido a riesgos significativos, por ejemplo, no implementando controles sobre riesgos significativos; y

– La reexpresión de estados financieros emitidos con anterioridad.

Identificación y valoración del riesgo de incorrección material (Ref: Apartados 28‒37).

Por qué el auditor identifica y valora los riesgos de incorrección material.

A184. Los riesgos de incorrección material son identificados y valorados por el auditor con el fin de determinar la naturaleza, el momento de realización y la extensión de los procedimientos posteriores de auditoría necesarios para obtener evidencia de auditoría suficiente y adecuada. Dicha evidencia permite al auditor expresar una opinión sobre los estados financieros con un nivel de riesgo de auditoría aceptablemente bajo.

A185. La información obtenida de la aplicación de procedimientos de valoración del riesgo se utiliza como evidencia de auditoría para sustentar la identificación y la valoración de los riesgos de incorrección material. Por ejemplo, la evidencia de auditoría obtenida en la evaluación del diseño de controles identificados y en la determinación de si se han implementado en el componente de actividades de control se utiliza como evidencia de auditoría justificativa de la valoración del riesgo. Esta evidencia también proporciona una base para el diseño por el auditor de respuestas de carácter global para responder a los riesgos valorados de incorrección material en los estados financieros, así como para el diseño y aplicación de procedimientos posteriores de auditoría cuya naturaleza, momento de realización y extensión respondan a los riesgos valorados de incorrección material en las afirmaciones, de conformidad con la NIA 330.

Identificación de los riesgos de incorrección material (Ref: Apartado 28).

A186. La identificación de los riesgos de incorrección material se realiza antes de considerar cualquiera de los correspondientes controles (es decir, el riesgo inherente) y se basa en la consideración preliminar del auditor de las incorrecciones que tienen una probabilidad razonable tanto de existir como de ser materiales en caso de que existan⁽⁵⁰⁾.

^{(50) NIA 200, apartado A15a.}

A187. La identificación de los riesgos de incorrección material también proporciona al auditor una base para la determinación de las afirmaciones relevantes, lo que le ayuda a determinar los tipos de transacciones, saldos contables e información a revelar significativos.

Afirmaciones.

Por qué el auditor utiliza afirmaciones.

A188. En la identificación y valoración de los riesgos de incorrección material, el auditor utiliza afirmaciones para considerar los distintos tipos de incorrecciones potenciales que pueden existir. Las afirmaciones para las que el auditor ha identificado riesgos relacionados de incorrección material son afirmaciones relevantes.

La utilización de afirmaciones.

A189. En la identificación y valoración de los riesgos de incorrección material, el auditor puede utilizar las categorías de afirmaciones que se describen en el apartado A190(a)-(b) más adelante o puede expresarlas de una manera diferente siempre que todos los aspectos descritos más adelante hayan sido cubiertos. El auditor puede elegir combinar las afirmaciones sobre tipos de transacciones y hechos y la correspondiente información a revelar, con las afirmaciones sobre saldos contables y la correspondiente información a revelar.

A190. Las afirmaciones utilizadas por el auditor al considerar los distintos tipos de incorrecciones potenciales que pueden existir se pueden clasificar en las categorías siguientes:

(a) Afirmaciones sobre tipos de transacciones y hechos, y la correspondiente información a revelar, durante el periodo objeto de auditoría:

(i) Ocurrencia: las transacciones y hechos registrados o revelados han ocurrido y dichas transacciones y hechos corresponden a la entidad.

(ii) Integridad: se han registrado todos los hechos y transacciones que tenían que registrarse y se ha incluido toda la información a revelar relacionada que se tenía que incluir en los estados financieros.

(iii) Exactitud: las cantidades y otros datos relativos a las transacciones y hechos se han registrado adecuadamente y la correspondiente información a revelar ha sido adecuadamente medida y descrita.

(iv) Corte de operaciones: las transacciones y los hechos se han registrado en el periodo correcto.

(v) Clasificación: las transacciones y los hechos se han registrado en las cuentas apropiadas.

(vi) Presentación: las transacciones y hechos han sido adecuadamente agregados o desagregados y están descritos con claridad y la correspondiente información a revelar es pertinente y comprensible en el contexto de los requerimientos del marco de información financiera aplicable.

(b) Afirmaciones sobre saldos contables, y la correspondiente información a revelar, al cierre del periodo:

(i) Existencia: los activos, pasivos y el patrimonio neto existen.

(ii) Derechos y obligaciones: la entidad posee o controla los derechos de los activos, y los pasivos son obligaciones de la entidad.

(iii) Integridad: se han registrado todos los activos, pasivos y patrimonio neto que tenían que registrarse y se ha incluido toda la información a revelar relacionada que se tenía que incluir en los estados financieros.

(iv) Exactitud, valoración e imputación: los activos, pasivos y el patrimonio neto figuran en los estados financieros por los importes adecuados y cualquier ajuste resultante a la valoración o imputación ha sido adecuadamente registrado, y la correspondiente información a revelar ha sido adecuadamente medida y descrita.

(v) Clasificación: los activos, pasivos y el patrimonio neto se han registrado en las cuentas apropiadas.

(vi) Presentación: los activos, pasivos y el patrimonio neto han sido adecuadamente agregados o desagregados y están descritos con claridad y la correspondiente información a revelar es pertinente y comprensible en el contexto de los requerimientos del marco de información financiera aplicable.

A191. Las afirmaciones descritas en el apartado A190(a)–(b) anterior, adaptadas según corresponda, también pueden ser utilizadas por el auditor al considerar los diferentes tipos de incorrecciones que pueden darse en la información a revelar que no está directamente relacionada con tipos de transacciones, hechos o saldos contables registrados.

Ejemplo:

Un ejemplo de esa información a revelar incluye cuando es posible que la entidad esté obligada por el marco de información financiera aplicable a describir su exposición a riesgos originados por instrumentos financieros, incluido cómo surgen dichos riesgos; los objetivos, políticas y procedimientos para gestionar los riesgos y los métodos utilizados para medir los riesgos.

Consideraciones específicas para entidades del sector público.

A192. Apartado suprimido.

Riesgos de incorrección material en los estados financieros [Ref: Apartados 28 (a) y 30].

Por qué el auditor identifica y valora los riesgos de incorrección material en los estados financieros

A193. El auditor identifica y valora los riesgos de incorrección material en los estados financieros con el fin de determinar si estos tienen un efecto generalizado sobre los estados financieros y, en consecuencia, requerirían una respuesta global de conformidad con la NIA 330⁽⁵¹⁾.

⁽⁵¹⁾ NIA 330, apartado 5.

A194. Además, los riesgos de incorrección material en los estados financieros también pueden afectar a afirmaciones concretas y la identificación de estos riesgos puede ayudar al auditor en la identificación de riesgos de incorrección material en las afirmaciones y en el diseño de procedimientos posteriores de auditoría para tratar riesgos identificados.

Identificación y valoración de los riesgos de incorrección material en los estados financieros.

A195. Los riesgos de incorrección material en los estados financieros se refieren a los que se relacionan de manera generalizada con los estados financieros en su conjunto y, potencialmente, afectan a varias afirmaciones. Los riesgos de esta clase no son necesariamente riesgos que se puedan identificar con afirmaciones específicas sobre los tipos de transacciones, saldos contables o información a revelar (por ejemplo, riesgo de elusión de controles por la dirección). Representan, más bien, circunstancias que pueden incrementar los riesgos de incorrección material en las afirmaciones de manera generalizada. La evaluación por el auditor de si los riesgos identificados se relacionan de manera generalizada con los estados financieros sustenta su valoración de los riesgos de incorrección material en los estados financieros. En otros casos, se pueden identificar también determinadas afirmaciones susceptibles de ese riesgo y pueden, por lo tanto, afectar a la identificación y valoración por parte del auditor de los riesgos de incorrección material en las afirmaciones.

Ejemplo:

La entidad se enfrenta a pérdidas de explotación y problemas de liquidez y depende de financiación que aún no se ha obtenido. En dicha circunstancia, el auditor puede determinar que el principio contable de empresa en funcionamiento da lugar a un riesgo de incorrección material en los estados financieros. En esta situación, quizás resulte necesario que el marco contable se aplique utilizando bases de liquidación lo que afectaría a todas las afirmaciones de manera generalizada.

A196. La identificación y valoración por el auditor de los riesgos de incorrección material en los estados financieros se ven influenciadas por su conocimiento del sistema de control interno de la entidad, en especial por su conocimiento del entorno de control, del proceso de valoración del riesgo por la entidad y del proceso para el seguimiento del sistema de control interno de la entidad; y:

– Por el resultado de las correspondientes evaluaciones requeridas por los apartados 21(b), 22(b), 24(c) y 25(c); y

– por cualquier deficiencia identificada en los controles de conformidad con el apartado 27.

En concreto, los riesgos en los estados financieros pueden originarse por deficiencias en el entorno de control o por hechos o condiciones externos, como condiciones económicas en declive.

A197. Los riesgos de incorrección material debidos a fraude pueden ser de especial relevancia para la consideración por el auditor de los riesgos de incorrección material en los estados financieros.

Ejemplo:

El auditor conoce por indagaciones ante la dirección que los estados financieros de la entidad van a ser utilizados en discusiones con prestamistas con el fin de obtener financiación adicional para mantener el fondo de maniobra. El auditor puede, en consecuencia, determinar que existe una mayor susceptibilidad de incorrección debida a factores de riesgo de fraude que afectan al riesgo inherente (es decir, la susceptibilidad de los estados financieros a incorrección material debida al riesgo de información financiera fraudulenta, como una sobrevaloración de activos e ingresos y una infravaloración de pasivos y gastos para asegurar que se obtendrá la financiación).

A198. El conocimiento del auditor, incluidas las correspondientes evaluaciones, del entorno de control y de otros componentes del sistema de control interno puede generar dudas sobre la capacidad del auditor para obtener evidencia de auditoría en la que basar la opinión de auditoría o ser causa de renuncia al encargo, si las disposiciones legales o reglamentarias así lo permiten.

Nota aclaratoria de la adaptación a NIA-ES.–A efectos de lo dispuesto en este apartado, en relación con la renuncia al encargo, se debe atender a lo establecido en los artículos 5.2 y 22 de la LAC y en su normativa de desarrollo.

Ejemplos:

– Como resultado de su evaluación del entorno de control de la entidad, el auditor tiene reservas acerca de la integridad de la dirección de la entidad, las cuales pueden ser tan graves, que le lleven a la conclusión de que el riesgo de que la dirección presente intencionadamente unos estados financieros incorrectos es tal, que no se puede realizar una auditoría.

– Como resultado de su evaluación del sistema de información y comunicación de la entidad, el auditor determina que se han gestionado de manera deficiente cambios significativos en el entorno de las TI, con una escasa supervisión por parte de la dirección y de los responsables del gobierno de la entidad. El auditor concluye que tiene reservas significativas acerca del estado y la fiabilidad de los registros contables de la entidad. En esas circunstancias, el auditor puede determinar que es poco probable que se disponga de evidencia de auditoría suficiente y adecuada que sirva de base para una opinión de auditoría no modificada sobre los estados financieros.

A199. La NIA 705 (Revisada)⁽⁵²⁾ establece los requerimientos y proporciona orientaciones para determinar si es necesario que el auditor exprese una opinión con salvedades o deniegue la opinión o, como puede ser necesario en algunos casos, renuncie al encargo si las disposiciones legales o reglamentarias aplicables así lo permiten.

⁽⁵²⁾ NIA 705 (Revisada), Opinión modificada en el informe de auditoría emitido por un auditor independiente.

Nota aclaratoria de la adaptación a NIA-ES.–Véase nota aclaratoria al apartado A198 de esta Norma.

Consideraciones específicas para entidades del sector público.

A200. Apartado suprimido.

Riesgos de incorrección material en las afirmaciones [Ref: Apartado 28(b)].

El Anexo 2 contiene ejemplos, en el contexto de los factores de riesgo inherente, de hechos o condiciones que pueden indicar una susceptibilidad a incorrecciones que pueden ser materiales.

A201. Los riesgos de incorrección material que no se relacionan de manera generalizada con los estados financieros son riesgos de incorrección material en las afirmaciones.

Afirmaciones relevantes y tipos de transacciones, saldos contables e información a revelar significativos (Ref: Apartado 29).

Por qué se determinan las afirmaciones relevantes y los tipos de transacciones, saldos contables e información a revelar significativos.

A202. La determinación de las afirmaciones relevantes y de los tipos de transacciones, saldos contables e información a revelar significativos proporciona la base para el alcance del conocimiento del auditor del sistema de información de la entidad que debe obtener de conformidad con el apartado 25(a). Este conocimiento también puede ayudar al auditor en la identificación y valoración de los riesgos de incorrección material (véase el apartado A86).

Herramientas y técnicas automatizadas.

A203. El auditor puede utilizar técnicas automatizadas para ayudarle en la identificación de los tipos de transacciones, saldos contables e información a revelar significativos.

Ejemplos:

– Se puede analizar la totalidad de una población de transacciones utilizando herramientas y técnicas automatizadas para conocer su naturaleza, fuente, dimensión y volumen. Mediante la aplicación de técnicas automatizadas, el auditor puede, por ejemplo, detectar que una cuenta con saldo cero al final del periodo está formada por numerosas transacciones y anotaciones en el diario registradas a lo largo del tiempo que se compensan, lo que indica que el saldo contable o el tipo de transacciones puede ser significativo (por ejemplo, una cuenta relacionada con el pago de nóminas). Esa misma cuenta puede permitir detectar también reembolsos de gastos a la dirección (y a otros empleados), lo que podría dar lugar a información a revelar significativa debido a que estos pagos se realizan a partes vinculadas.

– El auditor puede detectar con más facilidad un tipo significativo de transacciones que no había sido previamente identificada analizando los flujos de toda una población de transacciones de ingresos.

Información a revelar que puede ser significativa.

A204. La información a revelar significativa incluye información a revelar tanto cuantitativa como cualitativa para la que existe una o varias afirmaciones relevantes. Algunos ejemplos de información a revelar que tiene aspectos cualitativos y que puede contener afirmaciones relevantes, por lo es posible que sea considerada significativa por el auditor, incluyen información a revelar sobre:

– Liquidez y cláusulas del contrato de deuda en el caso de una entidad con una situación financiera delicada.

– Hechos o circunstancias que han originado el reconocimiento de una pérdida por deterioro de valor de activos.

– Principales fuentes de incertidumbre en la estimación, incluidas las hipótesis sobre el futuro.

– La naturaleza de un cambio de política contable y otra información a revelar relevante requerida por el marco de información financiera aplicable cuando, por ejemplo, se espera que nuevos requerimientos de información financiera tengan un impacto significativo sobre la situación financiera y el resultado de la entidad.

– Acuerdos de remuneración con pagos basados en acciones, incluida la información sobre el modo en que se determinaron las cantidades registradas, y otra información a revelar relevante.

– Partes vinculadas y transacciones entre partes vinculadas.

– Análisis de sensibilidad, incluidos los efectos de los cambios en las hipótesis utilizadas por la entidad en sus técnicas de valoración con el fin de permitir a los usuarios entender la incertidumbre subyacente en la medición de un importe registrado o revelado.

Valoración de los riesgos de incorrección material en las afirmaciones.

Valoración del riesgo inherente (Ref: Apartados 31‒33).

Valoración de la probabilidad de que ocurra una incorrección y de su magnitud (Ref: Apartado 31).

Por qué el auditor valora la probabilidad de que ocurra una incorrección y su magnitud.

A205. El auditor valora la probabilidad de que exista una incorrección y su magnitud en el caso de riesgos identificados de incorrección material porque la significatividad de la combinación de la probabilidad de que exista y de la magnitud de la incorrección potencial si existe determina el punto en el espectro de riesgo inherente en el que se sitúa el riesgo inherente identificado, lo que proporciona información para el diseño por el auditor de procedimientos posteriores de auditoría para responder al riesgo.

A206. La valoración del riesgo inherente de los riesgos identificados de incorrección material también ayuda al auditor a determinar los riesgos significativos. El auditor determina los riesgos significativos porque la NIA 330 y otras NIA requieren respuestas específicas a riesgos significativos.

A207. Los factores de riesgo inherente influyen en la valoración por el auditor de la probabilidad de que exista una incorrección y su magnitud para los riesgos identificados de incorrección material en las afirmaciones. Cuanto mayor sea el grado de susceptibilidad de incorrección material de un tipo de transacciones, saldo contable o información a revelar, mayor será, probablemente, la valoración del riesgo inherente. Considerar el grado en que los factores de riesgo inherente afectan a la susceptibilidad de una afirmación a incorrección ayuda al auditor a responder adecuadamente al riesgo inherente para riesgos de incorrección material en las afirmaciones y a diseñar una respuesta más precisa a dicho riesgo.

Espectro de riesgo inherente.

A208. En la valoración del riesgo inherente, el auditor aplica su juicio profesional para determinar la significatividad de la combinación de la probabilidad de que exista una incorrección y de su magnitud.

A209. El riesgo inherente valorado relacionado con un determinado riesgo de incorrección material en las afirmaciones supone un juicio dentro de un rango, de menor a mayor, en el espectro de riesgo inherente. El juicio acerca de la valoración del punto del rango de riesgo inherente en el que se encuentra el riesgo puede variar según la naturaleza, dimensión y complejidad de la entidad y tiene en cuenta la valoración de la probabilidad de que ocurra una incorrección y de su magnitud, así como de los factores de riesgo inherente.

A210. En la consideración de la probabilidad de que exista una incorrección, el auditor tiene en cuenta la posibilidad de que exista una incorrección basándose en la consideración de los factores de riesgo inherente.

A211. En la consideración de la magnitud de una incorrección, el auditor tiene en cuenta los aspectos cualitativos y cuantitativos de la posible incorrección (es decir, se pueden considerar materiales las incorrecciones en las afirmaciones sobre tipos de transacciones, saldos contables o información a revelar en base a su dimensión, naturaleza o circunstancias).

A212. El auditor utiliza la significatividad de la combinación de la probabilidad de que ocurra una incorrección material y la magnitud de la posible incorrección para determinar en qué punto del espectro de riesgo inherente (es decir, el rango) valora que se sitúa el riesgo inherente. Cuanto mayor sea la combinación de la probabilidad de que exista y la magnitud, mayor será la valoración del riesgo inherente; cuanto menor sea la combinación de probabilidad y magnitud, menor será la valoración del riesgo inherente.

A213. Si la valoración de un riesgo le sitúa en el extremo más alto del espectro de riesgo inherente, no significa que tanto la magnitud como la probabilidad de que exista tengan que ser valoradas como altas. Es más bien el punto de intersección de la magnitud y de la probabilidad de la incorrección material en el espectro de riesgo inherente lo que determinará si el riesgo inherente valorado se sitúa en un punto alto o bajo del espectro de riesgo inherente. La valoración de un riesgo inherente como más alto también puede tener su origen en diferentes combinaciones de probabilidad y magnitud, por ejemplo, una valoración del riesgo inherente como más alto puede ser el resultado de una baja probabilidad y de una magnitud muy alta.

A214. Con el fin de desarrollar estrategias adecuadas para responder a los riesgos de incorrección material, el auditor puede clasificar los riesgos de incorrección material en categorías dentro del espectro de riesgo inherente en base a la valoración de su riesgo inherente. Estas categorías se pueden describir de varias maneras. Independientemente del método de clasificación que se utilice, la valoración por el auditor del riesgo inherente es adecuada cuando el diseño y la implementación de procedimientos posteriores de auditoría para tratar los riesgos identificados de incorrección material en las afirmaciones dan una respuesta adecuada a la valoración del riesgo inherente y a los motivos para dicha valoración.

Riesgos generalizados de incorrección material en las afirmaciones [Ref: Apartado 31(b)].

A215. Al valorar los riesgos identificados de incorrección material en las afirmaciones, es posible que el auditor concluya que algunos riesgos de incorrección material están relacionados de un modo más generalizado con los estados financieros en su conjunto y afectan potencialmente a muchas afirmaciones, en cuyo caso es posible que el auditor actualice la identificación de los riesgos de incorrección material en los estados financieros.

A216. En circunstancias en las que ciertos riesgos de incorrección material son identificados como riesgos en los estados financieros debido a su efecto generalizado en varias afirmaciones y se pueden identificar con afirmaciones específicas, se requiere que el auditor tenga en cuenta esos riesgos al valorar el riesgo inherente para los riesgos de incorrección material en las afirmaciones.

Consideraciones específicas para entidades del sector público.

A217. Apartado suprimido.

Riesgos significativos (Ref: Apartado 32).

Por qué se determinan los riesgos significativos y las implicaciones para la auditoría.

A218. La determinación de los riesgos significativos permite al auditor centrar más su atención en los riesgos que están en la parte más alta del espectro de riesgo inherente, realizando determinadas actuaciones que constituyen respuestas requeridas, que incluyen:

– Se requiere que se identifiquen controles que responden a riesgos significativos de conformidad con el apartado 26(a)(i), con un requerimiento de evaluar si el control ha sido diseñado de modo eficaz y ha sido implementado de conformidad con el apartado 26(d).

– La NIA 330 requiere que los controles que responden a riesgos significativos se comprueben en el periodo actual (cuando el auditor tiene intención de confiar en la eficacia operativa de esos controles) y que se planifiquen y apliquen procedimientos sustantivos que respondan de forma específica a dicho riesgo identificado⁽⁵³⁾.

⁽⁵³⁾ NIA 330, apartados 15 y 21.

– La NIA 330 requiere que el auditor obtenga evidencia de auditoría más convincente cuanto mayor sea la valoración del riesgo realizada por el auditor⁽⁵⁴⁾.

⁽⁵⁴⁾ NIA 330, apartado 7(b).

– La NIA 260 (Revisada) requiere que exista comunicación con los responsables del gobierno de la entidad acerca de los riesgos significativos identificados por el auditor⁽⁵⁵⁾.

⁽⁵⁵⁾ NIA 260 (Revisada), apartado 15.

– La NIA 701 requiere que el auditor tenga en cuenta los riesgos significativos cuando determine las cuestiones que han requerido atención significativa por su parte, las cuales pueden ser cuestiones clave de la auditoría⁽⁵⁶⁾.

⁽⁵⁶⁾ NIA 701, Comunicación de las cuestiones clave de la auditoría en el informe de auditoría emitido por un auditor independiente, apartado 9.

– La revisión oportuna por el socio del encargo de la documentación de auditoría, en las etapas adecuadas del desarrollo del encargo, permite que las cuestiones significativas, incluidos los riesgos significativos, se resuelvan oportuna y satisfactoriamente para el socio del encargo, en la fecha del informe de auditoría o con anterioridad a ella⁽⁵⁷⁾.

⁽⁵⁷⁾ NIA 220, apartados 17 y A19.

– La NIA 600 requiere una mayor participación del socio del encargo del grupo si el riesgo significativo está relacionado con un componente en una auditoría del grupo y que el equipo del encargo del grupo dirija el trabajo que se requiere en el componente que realice el auditor del componente⁽⁵⁸⁾.

⁽⁵⁸⁾ NIA 600, apartados 30 y 31.

Determinación de los riesgos significativos.

A219. En la determinación de los riesgos significativos, el auditor puede identificar en primer lugar los riesgos de incorrección material valorados cuyo riesgo inherente se haya valorado como más alto dentro del espectro de riesgo inherente para sustentar su consideración de qué riesgos se pueden encontrar próximos al límite superior. Encontrarse próximo al límite superior en el espectro de riesgo inherente será distinto según la entidad y no significará necesariamente lo mismo para una entidad de un periodo a otro. Puede depender de la naturaleza y las circunstancias de la entidad para la que se está valorando el riesgo.

A220. La determinación de cuáles de los riesgos de incorrección material valorados se encuentran próximos al límite superior dentro del espectro de riesgo inherente y constituyen, por lo tanto, riesgos significativos es una cuestión de juicio profesional, salvo si el riesgo es de un tipo de riesgo que debe ser tratado como riesgo significativo de conformidad con los requerimientos de otra NIA. La NIA 240 proporciona requerimientos y orientaciones adicionales sobre la identificación y valoración de los riesgos de incorrección material debida a fraude⁽⁵⁹⁾.

⁽⁵⁹⁾ NIA 240, apartados 26-28.

Ejemplo:

– Normalmente se determinaría que el dinero en efectivo en un supermercado tiene una elevada probabilidad de posible incorrección (debido al riesgo de apropiación indebida del efectivo), sin embargo, la magnitud sería habitualmente muy reducida (debido al pequeño volumen de efectivo que se maneja en las tiendas). La combinación de estos dos factores en el espectro de riesgo inherente probablemente no tendría como resultado que se determine que la existencia de efectivo sea un riesgo significativo.

– Una entidad está negociando vender un segmento de negocio. El auditor considera el efecto en el deterioro del fondo de comercio y puede determinar que hay una probabilidad más alta de posible incorrección y una magnitud más alta debido al impacto de los factores de riesgo inherente de subjetividad, incertidumbre y susceptibilidad de sesgo de la dirección y otros factores de riesgo de fraude. Esto puede tener como resultado que se determine que el deterioro del fondo de comercio sea un riesgo significativo.

A221. El auditor también tiene en cuenta los efectos relativos de los factores de riesgo inherente al valorar el riesgo inherente. Es probable que el riesgo valorado sea menor cuanto menor sea el efecto de los factores de riesgo inherente. Los riesgos de incorrección material cuyo riesgo inherente haya sido valorado como más alto y que pueden, en consecuencia, determinarse como riesgos significativos, pueden ser originados por cuestiones como las siguientes:

– Transacciones para las que existen múltiples tratamientos contables aceptables por lo que interviene la subjetividad.

– Estimaciones contables con una elevada incertidumbre en la estimación o modelos complejos.

– Complejidad en la recogida y procesamiento de datos para sustentar saldos contables.

– Saldos contables o información a revelar cuantitativa en la que intervienen cálculos complejos.

– Principios contables que pueden estar sujetos a diferentes interpretaciones.

– Cambios en los negocios de la entidad que suponen cambios contables, por ejemplo, fusiones y adquisiciones.

Riesgos para los que los procedimientos sustantivos por sí solos no proporcionan evidencia de auditoría suficiente y adecuada (Ref: Apartado 33).

Por qué se requiere que se identifiquen los riesgos para los que los procedimientos sustantivos por sí solos no proporcionan evidencia de auditoría suficiente y adecuada.

A222. Debido a la naturaleza de un riesgo de incorrección material y a las actividades de control que tratan ese riesgo, en algunas circunstancias, la única forma de obtener evidencia de auditoría suficiente y adecuada es comprobar la eficacia operativa de los controles. En consecuencia, se requiere que el auditor identifique cualquier riesgo de ese tipo por las implicaciones para el diseño y aplicación de procedimientos posteriores de auditoría de conformidad con la NIA 330 para responder a los riesgos de incorrección material en las afirmaciones.

A223. El apartado 26(a)(iii) también requiere la identificación de controles que responden a riesgos para los que los procedimientos sustantivos por sí solos no pueden proporcionar evidencia de auditoría suficiente y adecuada porque se requiere que el auditor, de conformidad con la NIA 330⁽⁶⁰⁾, diseñe y realice pruebas de esos controles.

⁽⁶⁰⁾ NIA 330, apartado 8.

Determinación de riesgos para los que los procedimientos sustantivos por sí solos no proporcionan evidencia de auditoría suficiente y adecuada.

A224. Cuando transacciones rutinarias estén sujetas a un procesamiento muy automatizado con escasa o nula intervención manual, puede que no resulte posible aplicar únicamente procedimientos sustantivos en relación con el riesgo. Este puede ser el caso en aquellas circunstancias en las que una cantidad significativa de la información de la entidad se inicia, registra, procesa o notifica solo de manera electrónica, como en un sistema de información que implica un alto grado de integración a través de sus aplicaciones de TI. En estos casos:

– Es posible que la evidencia de auditoría únicamente esté disponible en formato electrónico, y que su suficiencia y adecuación normalmente dependan de la eficacia de los controles sobre su exactitud e integridad.

– La posibilidad de que la información se inicie o altere de manera incorrecta y de que este hecho no se detecte puede ser mayor si los correspondientes controles no están funcionando de manera eficaz.

Ejemplo:

Por lo general, no es posible obtener evidencia de auditoría suficiente y adecuada en relación con los ingresos de una entidad de telecomunicaciones basándose sólo en procedimientos sustantivos. Esto es así porque la evidencia sobre llamadas o tráfico de datos no existe en un formato observable. En su lugar, por lo general, se realizan pruebas de controles sustanciales para determinar que el origen y finalización de llamadas y el tráfico de datos se capturan correctamente (por ejemplo, minutos de una llamada o volumen de una descarga) y se registran correctamente en el sistema de facturación de la entidad.

A225. La NIA 540 (Revisada) proporciona orientaciones adicionales relacionadas con las estimaciones contables acerca de riesgos para los que los procedimientos sustantivos por sí solos no proporcionan evidencia de auditoría suficiente y adecuada⁽⁶¹⁾. En relación con las estimaciones contables esto puede no estar limitado al procesamiento automatizado, sino que puede ser también aplicable a modelos complejos.

⁽⁶¹⁾ NIA 540 (Revisada), apartados A87–A89.

Valoración del riesgo de control (Ref: Apartado 34).

A226. Los planes del auditor de comprobar la eficacia operativa de los controles se basan en la expectativa de que los controles funcionan eficazmente, y esto será la base de la valoración por el auditor del riesgo de control. La expectativa inicial de la eficacia operativa de los controles se basa en la evaluación por el auditor del diseño de los controles identificados en el componente de actividades de control y en la determinación de su implementación. Una vez que el auditor haya comprobado la eficacia operativa de los controles de conformidad con la NIA 330, podrá confirmar su expectativa inicial acerca de la eficacia operativa de los controles. Si los controles no están funcionando eficazmente según lo esperado, el auditor tendrá que revisar la valoración del riesgo de control de conformidad con el apartado 37.

A227. La valoración por el auditor del riesgo de control se puede realizar de diferentes maneras dependiendo de las técnicas o metodologías de auditoría que prefiera, y se puede expresar de diferentes formas.

A228. Si el auditor prevé comprobar la eficacia operativa de los controles, puede resultar necesario probar una combinación de controles para confirmar sus expectativas de que los controles están funcionando eficazmente. El auditor puede tener previsto probar tanto controles directos como indirectos, incluidos controles generales de TI y, en ese caso, tener en cuenta el efecto combinado esperado de los controles al valorar el riesgo de control. En la medida en que el control que vaya a ser probado no trate totalmente el riesgo inherente valorado, el auditor determinará las implicaciones para el diseño de procedimientos posteriores de auditoría para reducir el riesgo de auditoría a un nivel aceptablemente bajo.

A229. Cuando el auditor tenga previsto comprobar la eficacia operativa de un control automatizado, puede también planificar comprobar la eficacia operativa de los correspondientes controles generales de TI que sustentan el funcionamiento continuo de dicho control automatizado para responder a los riesgos derivados de la utilización de TI y para proporcionar una base para la expectativa del auditor de que el control automatizado funcionó eficazmente durante todo el periodo. Si el auditor espera que los correspondientes controles de TI sean ineficaces, esta determinación puede afectar a su valoración del riesgo de control en las afirmaciones y sus procedimientos posteriores de auditoría quizás tengan que incluir procedimientos sustantivos para responder a los riesgos aplicables derivados de la utilización de TI. En la NIA 330⁽⁶²⁾ se proporcionan orientaciones adicionales sobre los procedimientos que el auditor puede aplicar en estas circunstancias.

⁽⁶²⁾ NIA 330, apartados A29–A30.

Evaluación de la evidencia de auditoría obtenida de los procedimientos de valoración del riesgo (Ref: Apartado 35).

Por qué el auditor evalúa la evidencia de auditoría obtenida de los procedimientos de valoración del riesgo.

A230. La evidencia obtenida de la aplicación de procedimientos de valoración del riesgo proporciona la base para la identificación y valoración de los riesgos de incorrección material. Esto proporciona una base para el diseño de la naturaleza, el momento de realización y la extensión de los procedimientos posteriores de auditoría que responden a los riesgos valorados de incorrección material en las afirmaciones, de conformidad con la NIA 330. En consecuencia, la evidencia de auditoría obtenida de la aplicación de procedimientos de valoración del riesgo proporciona la base para la identificación y valoración de los riesgos de incorrección material debida a fraude o error en los estados financieros y en las afirmaciones.

La evaluación de la evidencia de auditoría.

A231. La evidencia de auditoría obtenida de la aplicación de procedimientos de valoración del riesgo comprende tanto la información que sustenta y corrobora las afirmaciones de la dirección como cualquier información que contradiga dichas afirmaciones⁽⁶³⁾.

⁽⁶³⁾ NIA 500, apartado A1.

Escepticismo profesional

A232. Al evaluar la evidencia de auditoría obtenida de la aplicación de procedimientos de valoración del riesgo, el auditor considera si ha obtenido suficiente conocimiento de la entidad y su entorno, del marco de información financiera aplicable y del sistema de control interno de la entidad para poder identificar los riesgos de incorrección material, así como si existe cualquier evidencia contradictoria que pueda indicar un riesgo de incorrección material.

Tipos de transacciones, saldos contables e información a revelar que no son significativos pero si son materiales (Ref: Apartado 36).

A233. Como se explica en la NIA 320⁽⁶⁴⁾, la materialidad y el riesgo de auditoría se consideran al identificar y valorar los riesgos de incorrección material en tipos de transacciones, saldos contables e información a revelar. La determinación por el auditor de la importancia relativa viene dada por el ejercicio de su juicio profesional, y se ve afectada por su percepción de las necesidades de información financiera de los usuarios de los estados financieros⁽⁶⁵⁾. A los efectos de esta NIA y del apartado 18 de la NIA 330, los tipos de transacciones, saldos contables e información a revelar son materiales si podría esperarse razonablemente que omitiendo, revelando con incorrecciones u ocultando información sobre ellos, se influiría en las decisiones económicas que los usuarios toman basándose en los estados financieros en su conjunto.

⁽⁶⁴⁾ NIA 320, apartado A1.

⁽⁶⁵⁾ NIA 320, apartado 4.

A234. Es posible que existan tipos de transacciones, saldos contables o información a revelar que sean materiales pero que no se haya determinado que sean tipos de transacciones, saldos contables o información a revelar significativos (es decir, no se han identificado afirmaciones relevantes).

Ejemplo:

La entidad puede disponer de información revelada sobre remuneración a directivos para la que el auditor no haya identificado un riesgo de incorrección material. Sin embargo, el auditor puede determinar que esta información revelada es material en base a las consideraciones del apartado A233.

A235. Los procedimientos de auditoría para tratar tipos de transacciones, saldos contables o información a revelar que son materiales pero que no se consideran significativos se tratan en la NIA 330⁽⁶⁶⁾. Cuando se determina que un tipo de transacción, saldo contable o información a revelar es significativo como lo requiere el apartado 29, dicho tipo de transacción, saldo contable o información a revelar es también un tipo de transacción, saldo contable o información a revelar material a los efectos del apartado 18 de la NIA 330.

⁽⁶⁶⁾ NIA 330, apartado 18.

Revisión de la valoración del riesgo (Ref: Apartado 37).

A236. Durante la realización de la auditoría puede llegar a conocimiento del auditor nueva información u otra información que difiera significativamente de la información sobre la que se basó la valoración del riesgo.

Ejemplo: