SECCIÓN AU 402

CONSIDERACIONES DE AUDITORÍA RELACIONADAS CON UNA

ENTIDAD QUE UTILIZA UNA ORGANIZACIÓN DE SERVICIOS

CONTENIDO
Párrafos
Introducción
Alcance de esta Sección 1-5
Fecha de vigencia 6

Objetivos 7

Definiciones 8

Requerimientos
Obtener un entendimiento de los servicios proporcionados por una
organización de servicios, incluyendo el control interno 9-14
Responder a los riesgos evaluados de representaciones incorrectas
significativas 15-17
Informes Tipo 1 y Tipo 2 que excluyen a los servicios de una
organización de sub-servicios 18
Fraude, incumplimiento de leyes y regulaciones y representaciones
incorrectas no corregidas relacionadas con las actividades de la
organización de servicios 19
Informes del auditor de la entidad usuaria 20-22

Guía de aplicación y otro material explicativo

Obtener un entendimiento de los servicios proporcionados por una
organización de servicios, incluyendo el control interno A1-A24
Responder a los riesgos evaluados de representaciones incorrectas
significativas A25-A40
Informes Tipo 1 y Tipo 2 que excluyen a los servicios de una
organización de sub-servicios A41
Fraude, incumplimiento de leyes y regulaciones y representaciones
incorrectas no corregidas relacionadas con las actividades de la
organización de servicios A42
Informes del auditor de la entidad usuaria A43-A44

373
374
 SECCIÓN AU 402

CONSIDERACIONES DE AUDITORÍA RELACIONADAS CON UNA

ENTIDAD QUE UTILIZA UNA ORGANIZACIÓN DE SERVICIOS

Introducción

Alcance de esta Sección

1. Esta Sección trata la responsabilidad del auditor de la entidad usuaria de obtener

suficiente y apropiada evidencia de auditoría en una auditoría de los estados
financieros de una entidad usuaria que utiliza a una o más organizaciones de
servicios. Específicamente, trata de cómo el auditor de la entidad usuaria aplica la
Sección AU 315, Entendimiento de la Entidad y de su Entorno y Evaluar los
Riesgos de Representaciones Incorrectas Significativas y la Sección AU 330,
Efectuar Procedimientos de Auditoría en Respuesta a Riesgos Evaluados y Evaluar
la Evidencia de Auditoría Obtenida, al obtener un entendimiento de la entidad
usuaria, incluyendo el control interno pertinente para la auditoría, que sea suficiente
para identificar y evaluar los riesgos de representaciones incorrectas significativas y
en diseñar y efectuar procedimientos de auditoría posteriores que respondan a esos
riesgos.

2. Muchas entidades externalizan aspectos de sus actividades de negocios a

organizaciones que proporcionan servicios que abarcan desde efectuar una tarea
específica bajo la dirección de la empresa a reemplazar unidades de negocios
enteras o funciones de la entidad. Muchos de los servicios proporcionados por tales
organizaciones son integrales a las operaciones de negocios de la entidad, sin
embargo, no todos esos servicios son pertinentes para la auditoría.

3. Los servicios proporcionados por organizaciones de servicios son pertinentes a la

auditoría de los estados financieros de la entidad usuaria cuando esos servicios y los
controles sobre éstos afectan al sistema de información de la entidad usuaria,
incluyendo los procesos de negocios relacionados, pertinentes al proceso de
preparación y presentación de información financiera. Aún cuando la mayoría de los
controles en la organización de servicios probablemente se relacionan con el
proceso de preparación y presentación de información financiera, pueden ser
pertinentes otros controles para la auditoría, tales como los controles sobre la
protección de activos. Los servicios de una organización de servicios forman parte
del sistema de información de la entidad usuaria, incluyendo los procesos de
negocios relacionados, que son pertinentes al proceso de preparación y presentación
de información financiera si estos servicios afectan a cualquiera de los siguientes:

a. Las clases de transacciones en las operaciones de la entidad usuaria que son

significativas para los estados financieros de esa entidad;

375
 b. Los procedimientos tanto dentro de los sistemas TI y manuales por los
cuales las transacciones de la entidad usuaria son iniciadas, autorizadas,
registradas, procesadas, corregidas. si fuere necesario, traspasadas al mayor
general e informadas en los estados financieros;

c. Los pertinentes registros contables, información de respaldo y cuentas

específicas en los estados financieros de la entidad usuaria que son
utilizados para iniciar, autorizar, registrar, procesar e informar las
transacciones de la entidad usuaria. Esto incluye la corrección de
información incorrecta y cómo es transmitida la información al mayor
general; los registros pueden estar en formato manual o electrónico;

d. Cómo captura el sistema de información de la entidad usuaria los hechos y

condiciones distintos a las transacciones, los cuales son significativos para
los estados financieros;

e. El proceso de preparación y de presentación de información financiera

utilizado para preparar los estados financieros de la entidad usuaria,
incluyendo las estimaciones contables y revelaciones significativas, y;

f. Los controles que rodean a los asientos de diario, incluyendo asientos de

diario que no son usuales ni recurrentes, utilizados para registrar
transacciones no recurrentes, transacciones inusuales o ajustes.

4. La naturaleza y el alcance del trabajo a ser efectuado por el auditor de la entidad

usuaria de servicios, respecto a los servicios proporcionados por una organización
de servicios dependen de la naturaleza y la importancia de esos servicios para la
entidad usuaria y lo pertinente de esos servicios para la auditoría.

5. Esta Sección no es aplicable a servicios que están limitados a procesar las

transacciones de una entidad que son específicamente autorizadas por la entidad, tal
como procesar las transacciones de una cuenta corriente por un banco o procesar
transacciones de acciones por un corredor (esto es, cuando la entidad usuaria
mantiene la responsabilidad por la autorización de las transacciones y mantiene su
obligación de rendir cuentas relacionada). Además, esta Sección no es aplicable a la
auditoría de transacciones que surgen de una entidad propietaria de una
participación financiera en otra entidad tal como en una sociedad de personas, una
sociedad anónima, un negocio en conjunto, cuando ninguna de éstas efectúa
procesos por cuenta de la entidad.

Fecha de vigencia

6. Esta Sección tiene vigencia para auditorías de estados financieros por los períodos
terminados el o con posterioridad al 31 de diciembre de 2012.

Objetivos

376
7. Los objetivos del auditor de la entidad usuaria, cuando ella utiliza los servicios de
una organización de servicios son:

a. obtener un entendimiento de la naturaleza y de la importancia de los

servicios proporcionados por la organización de servicios y su efecto sobre
el control interno de la entidad usuaria pertinente a la auditoría, suficiente
para identificar y evaluar los riesgos de representaciones incorrectas
significativas.

b. diseñar y efectuar procedimientos de auditoría que respondan a esos riesgos.

Definiciones

8. Para los propósitos de las normas de auditoría generalmente aceptadas los siguientes
términos tienen los significados atribuidos como sigue:

Controles complementarios de la entidad usuaria. Controles que la

administración de la organización de servicios supone, en el diseño de sus servicios,
serán implementados por las entidades usuarias y los cuales, si son necesarios para
lograr los objetivos de control indicados en la descripción de la administración del
sistema de la organización de servicios, son identificados como tales en esa
descripción.

Informe sobre la descripción, por parte de la administración, del sistema de

una organización de servicios y lo adecuado que es el diseño de los controles
(referido en esta Sección como un informe Tipo 1). Un informe que comprende lo
siguiente:

a. La descripción por la administración del sistema de la organización de

servicios.

b. Una afirmación escrita de la administración de la organización de servicios

respecto a si, en todos los aspectos significativos y basado en criterios
adecuados:

i. la descripción por la administración del sistema de la organización de

servicios presenta razonablemente el sistema de la organización de
servicios que fue diseñado e implementado a una fecha determinada.

ii. los controles relacionados con los objetivos de control indicados en la

descripción del sistema de la organización de servicios en la
descripción por la administración, fueron adecuadamente diseñados
para lograr esos objetivos de control a la fecha especificada.

377
 c. El informe del auditor de la organización de servicios que expresa una
opinión sobre los asuntos indicados en las letras b(i) y b(ii), anteriores.

Informe sobre la descripción por la administración del sistema de una

organización de servicios y lo adecuado del diseño y de la efectividad
operacional de los controles (referido en esta Sección como un informe de Tipo
2). Un informe que comprende lo siguiente:

a. La descripción por la administración del sistema de la organización de

servicios.

b. Una afirmación escrita de la administración de la organización de servicios

respecto a si, en todos los aspectos significativos, basado en criterios
adecuados:

i. la descripción por la administración del sistema de organización de

servicios presenta razonablemente el sistema de la organización de
servicios que fue diseñado e implementado durante todo el período
especificado.

ii. los controles relacionados con los objetivos de control indicados en la

descripción de la administración del sistema de la organización de
servicios fueron adecuadamente diseñados durante todo el período
especificado para lograr esos objetivos de control.

iii. los controles relacionados con los objetivos de control indicados en la

descripción de la administración del sistema de la organización de
servicios operó efectivamente durante todo el período especificado
para lograr esos objetivos de control.

c. Un informe del auditor de la organización de servicios que:

i. expresa una opinión sobre los asuntos indicados en las letras b(i)–
b(iii), anteriores.

ii. incluye una descripción de las pruebas de controles del auditor de la

organización de servicios y los resultados de los mismos.

Auditor de una organización de servicios. Un profesional que informe sobre los

controles en una organización de servicios.

Organización de servicios. Una organización o un segmento de una organización

que proporciona servicios a entidades usuarias que son pertinentes al control interno
sobre el proceso de preparación y presentación de información financiera de esas
entidades de servicios.

378
 Sistema de una organización de servicios. Las políticas y procedimientos
diseñados, implementados y documentados por la administración de la organización
de servicios para proporcionar a las entidades usuarias con los servicios cubiertos
por el informe del auditor de la organización de servicios. La descripción por la
administración del sistema de la organización de servicios identifica los servicios
cubiertos, el período al cual corresponde la descripción (o, en el caso de un informe
Tipo 1, la fecha a la cual está relacionada la descripción), los objetivos de control
especificados por la administración o por un tercero externo, la parte que especifica
los objetivos de control (si no fueron especificados por la administración) y los
controles relacionados.

Organización de sub-servicios. Una organización de servicios utilizada por otra

organización de servicios para efectuar algunos de los servicios proporcionados a
entidades usuarias que son pertinentes al control interno sobre el proceso de
preparación y presentación de información financiera de esas entidades usuarias.
(Ver párrafo A20)

Auditor de la entidad usuaria. Un auditor que audita e informa sobre los estados
financieros de una entidad usuaria.

Entidad usuaria. Una entidad que utiliza a una organización de servicios y cuyos
estados financieros están siendo auditados.

Requerimientos

Obtener un entendimiento de los servicios proporcionados por una organización de

servicios, incluyendo el control interno

9. Al obtener un entendimiento de la entidad usuaria de acuerdo con la Sección AU

315, Entendimiento de la Entidad y de su Entorno y Evaluar los Riesgos de
Representaciones Incorrectas Significativas, el auditor de la entidad usuaria debiera
obtener un entendimiento de cómo la entidad usuaria utiliza los servicios de una
organización de servicios en las operaciones de la entidad usuaria, incluyendo lo
siguiente:(1) (Ver párrafos A1-A2)

a. La naturaleza de los servicios proporcionados por una organización de

servicios y la importancia de esos servicios para la entidad usuaria,
incluyendo su efecto sobre el control interno de la entidad usuaria. (Ver
párrafos A3-A5)

b. La naturaleza y la importancia relativa de las transacciones procesadas o las

cuentas o procesos de preparación y presentación de información financiera
afectadas por la organización de servicios. (Ver párrafo A6)

(1)
Ver párrafo 12 de la Sección AU 315, Entendimiento de la Entidad y de su Entorno y Evaluar los Riesgos
de Representaciones Incorrectas Significativas.

379
 c. El grado de interacción entre las actividades de la organización de servicios
y las de la entidad usuaria. (Ver párrafo A7)

d. La naturaleza de la relación entre la entidad usuaria y la organización de

servicios, incluyendo los términos contractuales pertinentes para las
actividades efectuadas por la organización de servicios. (Ver párrafos A8-
A11)

10. Al obtener un entendimiento del control interno pertinente a la auditoría de acuerdo

con la Sección AU 315, Entendimiento de la Entidad y de su Entorno y Evaluar los
Riesgos de Representaciones Incorrectas Significativas, el auditor de la entidad
usuaria debiera evaluar el diseño y la implementación de los controles pertinentes en
la entidad usuaria relacionados con los servicios proporcionados por la organización
de servicios, incluyendo los que son aplicados a las transacciones procesadas por la
organización de servicios.(2) (Ver párrafos A12-A14)

11. El auditor de la entidad usuaria debiera determinar si se ha obtenido un

entendimiento suficiente de la naturaleza y la importancia de los servicios
proporcionados por la organización de servicios y su efecto sobre el control interno
de la entidad usuaria pertinente a la auditoría, para proporcionar una base para la
identificación y evaluación de riesgos de representaciones incorrectas significativas.

12. Si el auditor de la entidad usuaria no puede obtener un suficiente entendimiento de

la entidad usuaria, éste debiera obtener ese entendimiento de uno o más de los
siguientes procedimientos:

a. Obtener y leer un informe Tipo 1 o Tipo 2, si estuvieren disponibles.

b. Contactar a la organización de servicios, a través de la entidad usuaria, para

obtener información específica.

c. Visitar a la organización de servicios y efectuar procedimientos que

proporcionarán la información necesaria respecto a los controles pertinentes
en la organización de servicios.

d. Utilizar a otro auditor para efectuar procedimientos que proporcionarán la

información necesaria respecto a los controles pertinentes en la organización
de servicios. (Ver párrafos A15-A20)

Utilizar un informe Tipo 1 o Tipo 2 para respaldar el entendimiento del auditor de la

entidad usuaria de la organización de servicios

(2)
Ver párrafo 13 de la Sección AU 315, Entendimiento de la Entidad y de su Entorno y Evaluar los Riesgos
de Representaciones Incorrectas Significativas.

380
13. Al determinar la suficiencia y lo apropiado de la evidencia de auditoría
proporcionada por un informe Tipo 1 o Tipo 2, el auditor de la entidad usuaria
debiera estar satisfecho respecto a lo siguiente:

a. La competencia profesional del auditor de servicios y su independencia de la

organización de servicios.

b. Lo adecuadas que son las normas bajo las cuales un informe Tipo 1 o Tipo 2
fueron emitidos. (Ver párrafos A21-A22)

14. Si el auditor de la entidad usuaria pretende utilizar un informe Tipo 1 o Tipo 2 como
evidencia de auditoría para respaldar su entendimiento respecto al diseño e
implementación de controles en la organización de servicios, el auditor de la entidad
usuaria debiera:

a. evaluar si el informe Tipo 1 es a una fecha determinada, o en el caso de un

informe Tipo 2, es por un período que es apropiado para los propósitos del
auditor de la entidad usuaria;

b. evaluar la suficiencia y lo apropiada que es la evidencia proporcionada por

el informe para el entendimiento del control interno de la entidad usuaria
pertinente a la auditoría, y;

c. determinar si los controles complementarios de la entidad usuaria

identificados por la organización de servicios son pertinentes para tratar los
riesgos de representaciones incorrectas significativas relacionadas con las
afirmaciones pertinentes en los estados financieros de la entidad usuaria y, si
así fuere, obtener un entendimiento respecto a si la entidad usuaria ha
diseñado e implementado tales controles. (Ver párrafos A23-A24)

Responder a los riesgos evaluados de representaciones incorrectas significativas

15. Al responder a riesgos evaluados de acuerdo con la Sección AU 330, Efectuar

Procedimientos de Auditoría en Respuesta a Riesgos Evaluados y Evaluar la
Evidencia de Auditoría Obtenida, el auditor de la entidad usuaria debiera:

a. determinar si existe suficiente y apropiada evidencia de auditoría relacionada

con las afirmaciones pertinentes de los estados financieros, que esté
disponible en los registros mantenidos en la entidad usuaria y, si no

b. efectuar procedimientos de auditoría posteriores para obtener suficiente y

apropiada evidencia de auditoría o utilizar otro auditor para efectuar esos
procedimientos en la organización de servicios por cuenta del auditor de la
entidad usuaria. (Ver párrafos A25-A29)

Pruebas de controles

381
16. Cuando la evaluación de riesgos del auditor de la entidad usuaria incluye una
expectativa que los controles en la organización de servicios están operando con
efectividad, el auditor de la entidad usuaria debiera obtener evidencia de auditoría
respecto a la efectividad operacional de esos controles de uno o más de los
siguientes procedimientos:

a. Obtener y leer un informe Tipo 2, si está disponible.

b. Efectuar apropiadas pruebas de los controles en la organización de servicios.

c. Utilizar a otro auditor para efectuar las pruebas de los controles en la

organización de servicios por cuenta del auditor de la entidad usuaria. (Ver
párrafos A30-A31)

Utilizar un informe Tipo 2 como evidencia de auditoría que los controles en la

organización de servicios están operando con efectividad

17. Si, de acuerdo con el párrafo 16(a), el auditor de la entidad usuaria pretende utilizar
un informe Tipo 2 como evidencia de auditoría que los controles en la organización
de servicios están operando con efectividad, el auditor de la entidad usuaria debiera
determinar si el informe del auditor de la organización de servicios proporciona
suficiente y apropiada evidencia de auditoría respecto a la efectividad de los
controles para respaldar la evaluación de riesgos del auditor de la entidad usuaria
mediante:

a. evaluar si el informe Tipo 2 corresponde a un período que sea apropiado

para los propósitos del auditor de la entidad usuaria;

b. determinar si los controles complementarios de la entidad usuaria

identificados por la organización de servicios son pertinentes para tratar los
riesgos de representaciones incorrectas significativas relacionadas con las
afirmaciones pertinentes en los estados financieros de la entidad usuaria y, si
así fuere, obtener un entendimiento respecto a si la entidad usuaria ha
diseñado e implementado tales controles y, si fuere así, efectuar pruebas de
su efectividad operacional;

c. evaluar lo adecuado que es el período de tiempo cubierto por las pruebas de

los controles y el tiempo transcurrido desde que se efectuaron las pruebas de
los controles, y;

d. evaluar si las pruebas de los controles efectuadas por el auditor de la

organización de servicios y los resultados de los mismos, como se describen
en el informe del auditor de la organización servicios son pertinentes a las
afirmaciones en los estados financieros de la entidad usuaria y proporcionan
suficiente y apropiada evidencia de auditoría para respaldar la evaluación de
riesgos del auditor de la entidad usuaria. (Ver párrafos A32-A40)

382
Informes Tipo 1 y Tipo 2 que excluyen a los servicios de una organización de sub-
servicios

18. Si el auditor de la entidad usuaria pretende utilizar un informe Tipo 1 o Tipo 2 que
excluye los servicios proporcionados por una organización de sub-servicios y esos
servicios son pertinentes para la auditoría de los estados financieros de la entidad
usuaria, el auditor de la entidad usuaria debiera aplicar los requerimientos de esta
Sección en relación con los servicios proporcionados por la organización de sub-
servicios. (Ver párrafo A41)

Fraude, incumplimiento de leyes y regulaciones y representaciones incorrectas no

corregidas relacionadas con las actividades de la organización de servicios

19. El auditor de la entidad usuaria debiera indagar a la Administración de la entidad

usuaria respecto a si la organización de servicios ha informado a la entidad usuaria,
o si la entidad usuaria tiene, de otro modo, conocimiento de cualquier fraude,
incumplimiento con leyes o regulaciones o de representaciones incorrectas que
afectan los estados financieros de la entidad usuaria. El auditor de la entidad usuaria
debiera evaluar como tales asuntos, si hubieren, afectan la naturaleza, oportunidad y
alcance de los procedimientos de auditoría posteriores del auditor de la entidad
usuaria, incluyendo el efecto sobre las conclusiones del auditor de la entidad usuaria
y el informe del auditor de la entidad usuaria. (Ver párrafo A42)

Informes del auditor de la entidad usuaria

20. El auditor de la entidad usuaria debiera modificar la opinión en el informe del

auditor de la entidad usuaria, de acuerdo con la Sección AU 705, Modificaciones a
la Opinión en el Informe del Auditor Independiente, si el auditor de la entidad
usuaria no puede obtener suficiente y apropiada evidencia de auditoría respecto a los
servicios proporcionados por la organización de servicios pertinentes para la
auditoría de los estados financieros de la entidad usuaria. (Ver párrafo A43)

21. El auditor de la entidad usuaria no debiera referirse al trabajo de un auditor de una

entidad de servicios en el informe del auditor de la entidad usuaria que incluye una
opinión sin modificaciones. (Ver párrafo A44)

22. Si una referencia al trabajo de un auditor de una organización de servicios es

pertinente para un entendimiento de una modificación en la opinión del auditor de la
entidad usuaria, el informe del auditor de la entidad usuaria debiera indicar que tal
referencia no disminuye la responsabilidad del auditor de la entidad usuaria por esa
opinión. (Ver párrafo A44)

***

Guía de aplicación y otro material explicativo

383
Obtener un entendimiento de los servicios proporcionados por una organización de
servicios, incluyendo el control interno

Fuentes de Información (Ver párrafo 9)

A1. La información respecto a la naturaleza de los servicios proporcionados por una

organización de servicios puede estar disponible de una amplia variedad de fuentes,
tales como las siguientes:

Manuales de usuarios.

Revisiones generales de sistemas.

Manuales técnicos.

El contrato o acuerdo del nivel de servicios entre la entidad usuaria y la

organización de servicios.

Informes por organizaciones de servicios, auditores internos u organismos

reguladores sobre los controles en la organización de servicios.

Informes por el auditor de la organización de servicios, si están disponibles.

A2. El conocimiento obtenido a través de la experiencia del auditor de la entidad usuaria

con la organización de servicios -por ejemplo, a través de la experiencia en otros
trabajos de auditoría– puede también ser de ayuda en el entendimiento de la
naturaleza de los servicios proporcionados por la organización de servicios. Esto
puede ser particularmente de ayuda si los servicios y los controles en la
organización de servicios sobre esos servicios están altamente estandarizados.

Naturaleza de los servicios proporcionados por una organización de servicios (Ver

párrafo 9(a))

A3. Una entidad usuaria puede utilizar a una organización de servicios, tal como una
que procesa transacciones y mantiene la relacionada obligación de rendir cuentas
hacia la entidad usuaria, o registra transacciones y procesa la información
relacionada. Las organizaciones de servicios que proporcionan tales servicios
incluyen, por ejemplo departamentos fideicomisarios de bancos los cuales invierten
y manejan activos para planes de beneficios a empleados o para otros,
administradores de hipotecas que administran éstas para otros y proveedores de
aplicaciones de servicios que proporcionan aplicaciones envasadas de software y un
entorno tecnológico que permite a clientes a procesar transacciones financieras y
operacionales.

A4. Ejemplos de servicios proporcionados por organizaciones de servicios que pueden

ser pertinentes a la auditoría incluyen los siguientes:

384
 a. Mantención de los registros contables de la entidad usuaria.

b. Administración de los activos de la entidad usuaria.

c. Iniciar, autorizar, registrar o procesar transacciones como un agente de la

entidad usuaria.

Consideraciones específicas para entidades más pequeñas

A5. Las entidades más pequeñas pueden utilizar servicios de teneduría de libros
externos, cubriendo desde el procesamiento de ciertas transacciones (por ejemplo, el
pago de impuestos sobre sueldos y salarios) y la mantención de sus registros
contables para la preparación de sus estados financieros. El uso de tal tipo de
organización de servicios para la preparación de sus estados financieros no releva a
la Administración de la entidad más pequeña y, cuando fuere apropiado, a los
encargados del Gobierno Corporativo, de sus responsabilidades por los estados
financieros.(3)

Naturaleza e importancia relativa de las transacciones procesadas por la organización de

servicios (Ver párrafo 9(b))

A6. Una organización de servicios puede establecer políticas y procedimientos

(controles) que afectan al control interno de la entidad usuaria. Estos controles están
al menos parcialmente separados física y operacionalmente de la entidad usuaria. La
importancia de los controles en la organización de servicios para el control interno
de la entidad usuaria depende de la naturaleza de los servicios proporcionados por la
organización de servicios, incluyendo la naturaleza y la importancia relativa de las
transacciones que procesa para la entidad usuaria. En algunas situaciones, las
transacciones procesadas y las cuentas afectadas por la organización de servicios
pueden no parecer que sean significativas para los estados financieros de la entidad
usuaria, pero la naturaleza de las transacciones procesadas puede ser significativa y
el auditor de la entidad usuaria puede determinar que un entendimiento de los
controles sobre el procesamiento de esas transacciones es necesario en las
circunstancias.

El grado de interacción entre las actividades de la organización de servicios y las de la

entidad usuaria (Ver párrafo 9(c))

A7. La importancia de los controles en la organización de servicios para el control

interno de la entidad usuaria también depende del grado de interacción entre las
actividades de la organización de servicios y las de la entidad usuaria. El grado de
interacción se refiere a la medida en que la entidad usuaria puede y elige
implementar controles efectivos sobre el procesamiento efectuado por la

(3)
Ver párrafo 5 de la Sección AU 200, Objetivos Generales del Auditor Independiente y Efectuar una
Auditoría de Acuerdo con Normas de Auditoría Generalmente Aceptadas.

385
 organización de servicios. Por ejemplo, un alto grado de interacción existe entre las
actividades de la entidad usuaria y aquellas en la organización de servicios cuando
la entidad usuaria autoriza las transacciones y la organización de servicios procesa y
contabiliza esas transacciones. En estas circunstancias, puede ser practicable que la
entidad usuaria pueda implementar controles efectivos sobre esas transacciones. Por
otro lado, cuando la organización de servicios inicia o inicialmente registra, procesa
y contabiliza las transacciones de la entidad usuaria, existe un grado menor de
interacción entre las dos organizaciones. En estas circunstancias, es posible que la
entidad usuaria no pueda implementar o elija no hacerlo, controles efectivos sobre
estas transacciones en la entidad usuaria y puede confiar en los controles en la
organización de servicios.

Naturaleza de la relación entre la entidad usuaria y la organización de servicios (Ver

párrafo 9(d))

A8. El contrato o acuerdo del nivel de servicios entre la entidad usuaria y la

organización de servicios puede contemplar temas tales como los siguientes:

La información a ser proporcionada a la entidad usuaria y las

responsabilidades por iniciar transacciones relacionadas con actividades
asumidas por la organización de servicios.

El cumplimiento con los requerimientos de los organismos reguladores

relacionados con el formato de los registros a ser mantenidos o el acceso a
éstos.

La indemnización, si hubiere, a ser proporcionada a la entidad usuaria en el

caso de una falla en el desempeño.

Respecto a si la organización de servicios proporcionará un informe sobre

sus controles y, si fuere así, si tal tipo de informe será del Tipo 1 o Tipo 2.

Respecto a si el auditor de la entidad usuaria tiene derechos para accesar los

registros contables de la entidad usuaria mantenidos por la organización de
servicios y a otra información necesaria para efectuar la auditoría.

Respecto a si el acuerdo permite una comunicación directa entre el auditor

de la entidad usuaria y el auditor de la organización de servicios.

A9. Una relación directa existe entre la organización de servicios y la entidad usuaria
cuando la entidad usuaria firma un acuerdo con la organización de servicios, y
asimismo, entre la organización de servicios y el auditor de la organización de
servicios cuando la organización de servicios contrata al auditor de ésta. Estas
relaciones no crean una relación directa entre el auditor de la entidad usuaria y el
auditor de la organización de servicios.

386
A10. Las comunicaciones entre el auditor de la entidad usuaria y el auditor de la
organización de servicios normalmente son efectuadas a través de la entidad usuaria
y la organización de servicios. Un auditor de una entidad usuaria puede solicitar a
través de la entidad usuaria que el auditor de la organización de servicios efectúe
procedimientos por cuenta del auditor de la entidad usuaria. Por ejemplo, un auditor
de una organización de servicios puede ser contratado por la organización de
servicios para efectuar un trabajo de procedimientos acordados relacionado con
efectuar pruebas de los controles en una organización de servicios, o efectuar
procedimientos relacionados con las transacciones o saldos de la entidad usuaria
mantenidos por la organización de servicios. La Sección AT 201, Normas de
Atestiguación para Procedimientos Acordados, establece normas y proporciona
guías para trabajos de procedimientos acordados.

Consideraciones específicas para entidades gubernamentales

A11. En el caso de entidades gubernamentales, el auditor puede ser requerido para

efectuar procedimientos relacionados con el cumplimiento de leyes y regulaciones
por la entidad. Tales procedimientos requeridos pueden incluir obtener un
entendimiento del control interno sobre el cumplimiento, efectuar pruebas de los
controles sobre el cumplimiento y efectuar pruebas sobre el cumplimiento. En
consecuencia, los auditores de entidades gubernamentales que utilizan una
organización de servicios, pueden determinar que es apropiado solicitar a través de
una entidad gubernamental, que el auditor de una organización de servicios efectúe
procedimientos de auditoría específicos relacionados con el cumplimiento, respecto
a los servicios proporcionados por la organización de servicios. (4)

Entendimiento de los controles relacionados con los servicios proporcionados por la

organización de servicios (Ver párrafo 10)

A12. La entidad usuaria puede establecer controles sobre los servicios de la organización
de servicios que pueden ser sometidas a pruebas por el auditor de la entidad usuaria
y que pueden permitir que éste concluya que los controles de la entidad usuaria
están operando con efectividad para algunas o todas las afirmaciones relacionadas,
sin considerar los controles implementados en la organización de servicios. Por
ejemplo, si una entidad usuaria utiliza a una organización de servicios para procesar
sus transacciones de sueldos y salarios, la entidad usuaria puede establecer controles
sobre la entrega y la recepción de esa información que podrían prevenir, o detectar y
corregir, representaciones incorrectas significativas. Estos controles pueden incluir
lo siguiente:

Comparar la información entregada a la organización de servicios con los

informes recibidos de la organización de servicios después que la
información ha sido procesada.

(4)
Tal como se podría requerir en auditorías de cumplimientos gubernamentales por las normas de auditoría
gubernamentales u otros requerimientos.

387
 Recalcular una muestra de los montos de las planillas de sueldos y salarios
para comprobar la exactitud de las cifras y revisar la razonabilidad del
monto total de las planillas de sueldos y salarios.

A13. En esta situación, el auditor de la entidad usuaria puede efectuar pruebas de los
controles de la entidad usuaria sobre el procesamiento de los sueldos y salarios que
proporcionarían una base para que el auditor de la entidad usuaria concluya que los
controles de la entidad usuaria están operando con efectividad en relación con las
afirmaciones sobre las transacciones de sueldos y salarios.

A14. Como se indica en la Sección AU 315, Entendimiento de la Entidad y de su Entorno

y Evaluar los Riesgos de Representaciones Incorrectas Significativas,(5) para
algunos riesgos el auditor puede juzgar que no es posible ni práctico obtener
suficiente y apropiada evidencia de auditoría solamente de procedimientos
sustantivos. Tales riesgos pueden estar relacionados con el registro incorrecto o
incompleto de clases de transacciones y de saldos de cuentas rutinarios y
significativos, que pueden involucrar un procesamiento altamente automatizado con
poca o ninguna intervención manual. Los riesgos relacionados con tal
procesamiento automatizado pueden estar particularmente presentes cuando la
entidad usuaria utiliza a una organización de servicios. En tales casos los controles
de la entidad usuaria sobre tales riesgos son pertinentes para la auditoría y el auditor
de la entidad usuaria debe obtener un entendimiento de y evaluar tales controles de
acuerdo con los párrafos 9–10 de esta Sección.

Procedimientos posteriores cuando no se puede obtener un entendimiento suficiente de

la entidad usuaria (Ver párrafo 12)

A15. La decisión del auditor de la entidad usuaria respecto a cual procedimiento,

individualmente o en conjunto, efectuar en el párrafo 12 con el objeto de obtener la
información necesaria para proporcionar una base para la identificación y
evaluación de los riesgos de representaciones incorrectas significativas en relación
con la utilización de la organización de servicios por la entidad usuaria, puede estar
influenciada por temas tales como los siguientes:

El tamaño tanto de la entidad usuaria como de la organización de servicios.

La complejidad de las transacciones en la entidad usuaria y la complejidad

de los servicios proporcionados por la organización de servicios.

La ubicación de la organización de servicios (por ejemplo, el auditor de la

entidad usuaria puede decidir utilizar a otro auditor para efectuar
procedimientos en la organización de servicios por cuenta del auditor de la

(5)
Ver párrafo 31 de la Sección AU 315, Entendimiento de la Entidad y de su Entorno y Evaluar los Riesgos
de Representaciones Incorrectas Significativas.

388
 entidad usuaria, si la organización de servicios se encuentra ubicada en un
lugar remoto).

Si se espera que el (los) procedimientos(s) proporcionan efectivamente al

auditor de la entidad usuaria con suficiente y apropiada evidencia de
auditoría.

La naturaleza de la relación entre la entidad usuaria y la organización de

servicios.

A16. Una organización de servicios puede contratar a un auditor de una organización de

servicios para informar sobre la descripción y el diseño de sus controles (informe
Tipo 1) o sobre la descripción y diseño de sus controles y su efectividad operacional
(informe Tipo 2). Los informes Tipo 1 y Tipo 2 pueden ser emitidos de acuerdo con
la Sección AT 801, Informar sobre los Controles en una Organización de Servicios,
o de acuerdo con normas establecidas por una organización emisora de normas
autorizada o reconocida (por ejemplo, la “International Auditing and Assurance
Standards Board” - IAASB de IFAC).

A17. La disponibilidad de un informe Tipo 1 o Tipo 2 generalmente dependerá de si el

contrato entre la organización de servicios y la entidad usuaria incluye proporcionar
tal tipo de informe por parte de la organización de servicios. Una organización de
servicios también puede elegir, por motivos prácticos, hacer disponible un informe
Tipo 1 o Tipo 2 a las entidades usuarias. Sin embargo, en algunos casos, un informe
Tipo 1 o Tipo 2 puede no estar disponible para las entidades usuarias.

A18. En algunas circunstancias una entidad usuaria puede externalizar una o más
unidades de negocios o funciones significativas, tales como sus funciones de
planificación tributaria y de cumplimiento, funciones de finanzas y de contabilidad
o la función de contraloría, a una o más organizaciones de servicios. Como un
informe sobre los controles en la organización de servicios puede no estar
disponible en estas circunstancias, visitar a las organizaciones de servicios puede ser
el procedimiento más efectivo para que el auditor de la entidad usuaria obtenga un
entendimiento de los controles en la organización de servicios, debido a que es
probable que exista una interacción directa de la Administración de la entidad
usuaria con la administración de la organización de servicios.

A19. Otro auditor puede ser utilizado para efectuar procedimientos que proporcionarán la
información necesaria sobre los controles pertinentes en la organización de
servicios. Si se ha emitido un informe Tipo 1 o Tipo 2, el auditor de la entidad
usuaria puede utilizar al auditor de la organización de servicios para efectuar estos
procedimientos, ya que el auditor de la organización de servicios tiene una relación
permanente con la organización de servicios. El auditor de la entidad usuaria que
utilice el trabajo de otro auditor puede encontrar útiles las guías en la Sección AU
600, Consideraciones Especiales - Auditorías de Estados Financieros de un Grupo

389
 (Incluyendo el Trabajo de los Auditores de los Componentes),(6) en lo referente al:
entendimiento de otro auditor (incluyendo la independencia y la competencia
profesional de ese auditor); involucrarse en el trabajo de otro auditor al planificar la
naturaleza, alcance y oportunidad de tal trabajo, como asimismo; al evaluar lo
suficiente y apropiada que es la evidencia de auditoría obtenida.

A20. Una entidad usuaria puede utilizar a una organización de servicios la cual a su vez
utiliza a una organización de sub-servicios para proporcionar algunos de los
servicios proporcionados a una entidad usuaria que son pertinentes al control
interno sobre la preparación y presentación de la información financiera de esas
entidades usuarias. La organización de sub-servicios puede ser una entidad separada
de la organización de servicios o puede estar relacionada con la organización de
servicios. El auditor de la entidad usuaria puede necesitar considerar los controles
en la organización de sub-servicios. En situaciones en que se utilizan una o más
organizaciones de sub-servicios, la interacción entre las actividades de la entidad
usuaria y las de la organización de servicios es ampliada para incorporar la
interacción entre la entidad usuaria, la organización de servicios y las
organizaciones de sub-servicios. El grado de esta interacción como asimismo la
naturaleza e importancia relativa de las transacciones procesadas por la
organización de servicios y las organizaciones de sub-servicios son los factores más
importantes para que el auditor de la entidad usuaria considere al determinar la
importancia de los controles de la organización de servicios y de las organizaciones
de sub-servicios en relación con los controles de la entidad usuaria (Ver párrafo 8
para la definición de una organización de sub-servicios).

Utilizar un informe Tipo 1 o Tipo 2 para respaldar el entendimiento del auditor de la

entidad usuaria de la organización de servicios (Ver párrafos 13–14)

A21. El auditor de la entidad usuaria puede efectuar indagaciones respecto al auditor de

la organización de servicios a la organización profesional del auditor de la
organización de servicios o a otros profesionales e indagar respecto a si el auditor de
la organización de servicios está sujeto a supervisión por parte de un organismo
regulador. El auditor de la organización de servicios puede estar ejerciendo en una
jurisdicción en la cual se observan normas diferentes en relación con informes sobre
los controles en una organización de servicios. En tal situación, el auditor de la
entidad usuaria puede obtener información acerca de las normas utilizadas por el
auditor de la organización de servicios, de la organización responsable por la
emisión de normas de esa jurisdicción.

A22. A menos que llegue evidencia en contrario al conocimiento del auditor de la entidad
usuaria, un informe de un auditor de una organización de servicios implica que el
auditor de la organización de servicios es independiente de la organización de
servicios. Sin embargo, un auditor de una organización de servicios no necesita ser
independiente de las entidades usuarias.

(6)
Ver párrafos 2 y 22 de la Sección AU 600, Consideraciones Especiales - Auditorías de Estados
Financieros de un Grupo (Incluyendo el Trabajo de los Auditores de los Componentes).

390
A23. Un informe de Tipo 1 o Tipo 2, junto con información respecto a la entidad usuaria,
puede ayudar al auditor de la entidad usuaria en obtener un entendimiento de lo
siguiente:

a. Los controles en la organización de servicios que pueden afectar el

procesamiento de las transacciones de la entidad usuaria, incluyendo el uso
de las organizaciones de sub-servicios.

b. El flujo de transacciones significativas a través del sistema de la

organización de servicios para determinar los puntos en el flujo de las
transacciones donde pueden ocurrir representaciones incorrectas
significativas en los estados financieros de la entidad usuaria.

c. Los objetivos de control indicados en la descripción del sistema de la

organización de servicios que son pertinentes para las afirmaciones en los
estados financieros de la entidad usuaria.

d. Si los controles en la organización de servicios están adecuadamente

diseñados e implementados para prevenir, o detectar y corregir errores de
procesamiento que podrían resultar en representaciones incorrectas
significativas en los estados financieros de la entidad usuaria.

Un informe Tipo 1 o Tipo 2 puede ayudar al auditor de la entidad usuaria para

obtener un entendimiento suficiente para identificar y evaluar los riesgos de
representaciones incorrectas significativas de los estados financieros de la entidad
usuaria. Sin embargo, un informe Tipo 1 no proporciona ninguna evidencia de la
efectividad operacional de los controles pertinentes.

A24. Un informe Tipo 1 que sea a una fecha determinada, o un informe Tipo 2 que sea
por un período fuera del período sobre el cual informa una entidad usuaria, puede
ayudar al auditor de la entidad usuaria para obtener un entendimiento preliminar de
los controles implementados en la organización de servicios si el informe es
complementado por información actual adicional de otras fuentes. Si la descripción
del sistema de la organización de servicios es a una fecha o por un período que
antecede al inicio del período sujeto a auditoría, el auditor de la entidad usuaria
puede efectuar procedimientos para actualizar la información en un informe Tipo 1
o Tipo 2, tales como los siguientes:

Analizar los cambios en la organización de servicios con el personal de la

entidad usuaria que estaría en la posición de conocer tales cambios.

Revisar la actual documentación y correspondencia emitida por la

organización de servicios.

Analizar los cambios con el personal de la organización de servicios.

391
Responder a los riesgos evaluados de representaciones incorrectas significativas (Ver
párrafo 15)

A25. Respecto a si el uso de una organización de servicios incrementa el riesgo de

representaciones incorrectas significativas de una entidad usuaria, depende de la
naturaleza de los servicios proporcionados y de los controles sobre estos servicios.
En algunos casos, utilizar una organización de servicios puede disminuir el riesgo
de una representación incorrecta significativa de una entidad usuaria,
particularmente si la entidad usuaria misma no tiene la experiencia necesaria para
llevar a cabo actividades particulares, tales como iniciar, procesar y registrar
transacciones, o no tiene recursos adecuados (por ejemplo un sistema de TI).

A26. Cuando la organización de servicios mantiene elementos significativos de los

registros contables de la entidad usuaria, el acceso directo a esos registros puede ser
necesario para que el auditor de la entidad usuaria obtenga suficiente y apropiada
evidencia de auditoría relacionada con las operaciones de los controles sobre esos
registros, para corroborar las transacciones y saldos registrados en ellos, o ambos.
Tal acceso puede involucrar la inspección física de los registros en las oficinas de la
organización de servicios o la consulta electrónica de los registros, o ambos.
Cuando se logra acceso directo en forma electrónica, el auditor de la entidad usuaria
también puede obtener evidencia relacionada con lo adecuado que son los controles
de la organización de servicios sobre lo completa e íntegra que es la información de
la entidad usuaria por la cual la organización de servicios es responsable.

A27. Al determinar la naturaleza y el alcance de la evidencia de auditoría a ser obtenida

para los saldos de estados financieros que representan los activos mantenidos o las
transacciones procesadas por una organización de servicios para una entidad
usuaria, los siguientes procedimientos pueden ser considerados por el auditor de la
entidad usuaria:

a. Inspeccionar los registros y documentos mantenidos por la entidad usuaria.

La fiabilidad de esta fuente de evidencia está determinada por la naturaleza y
el alcance de los registros contables y la documentación respaldatoria
mantenida por la entidad usuaria. En algunos casos, la entidad usuaria puede
no mantener registros o documentos independientes de transacciones
específicas efectuadas por su cuenta.

b. Inspeccionar registros y documentos mantenidos por la organización de

servicios. El acceso por el auditor de la entidad usuaria a los registros de la
organización de servicios puede ser establecido como parte de los acuerdos
contractuales entre la entidad usuaria y la organización de servicios. El
auditor de la entidad usuaria puede también utilizar a otro auditor, por su
cuenta, para obtener acceso a los registros de la entidad usuaria mantenidos
por la organización de servicios, o solicitar a la organización de servicios a
través de la entidad usuaria para accesar a los registros de la entidad usuaria
mantenidos por la organización de servicios.

392
 c. Obtener confirmaciones de saldos y transacciones de la organización de
servicios. Cuando la entidad usuaria mantiene registros independientes de
saldos y transacciones, la confirmación de la organización de servicios
corroborando esos registros usualmente constituye evidencia de auditoría
fiable relacionada con la existencia de las respectivas transacciones y
activos. Por ejemplo, cuando se utilizan múltiples organizaciones de
servicios, tales como un administrador de inversiones y un custodio y estas
organizaciones de servicios mantienen registros independientes, el auditor
de la entidad usuaria puede confirmar los saldos con estas organizaciones
con el objetivo de comparar esta información con los registros
independientes de la entidad usuaria. Si la entidad usuaria no mantiene
registros independientes, la información obtenida en las confirmaciones de
las organizaciones de servicios es meramente una declaración de lo que está
reflejado en los registros mantenidos por la organización de servicios. Por lo
tanto, tales confirmaciones no representan, por sí mismas, evidencia de
auditoría fiable. En estas circunstancias el auditor de la entidad usuaria
puede considerar si se puede identificar una fuente alternativa de evidencia.

d. Efectuar procedimientos de auditoría sobre los registros mantenidos por la

entidad usuaria o sobre los informes recibidos de la organización de
servicios. La efectividad de los procedimientos analíticos es probable que
varíe por cada afirmación y estará afectada por el alcance y detalle de la
información disponible.

A28. Como se indica en el párrafo A10, un auditor de una organización de servicios

puede efectuar procedimientos de acuerdo con la Sección AT 201, Normas de
Atestiguación para Procedimientos Acordados, que son de naturaleza sustantiva
para el beneficio de los auditores de la entidad usuaria. Tal tipo de trabajo puede
involucrar efectuar por el auditor de la organización de servicios procedimientos
acordados por la entidad usuaria y su auditor y por la organización de servicios y su
auditor. Los hallazgos resultantes de los procedimientos efectuados por el auditor de
la organización de servicios son revisados por el auditor de la entidad usuaria para
determinar si constituyen suficiente y apropiada evidencia de auditoría. Además,
requerimientos pueden ser impuestos por autoridades gubernamentales o a través de
acuerdos contractuales mediante los cuales el auditor de la organización de servicios
efectúa procedimientos designados que son de naturaleza sustantiva. Los resultados
de la aplicación de los procedimientos requeridos a los saldos y transacciones
procesados por la organización de servicios pueden ser utilizados por el auditor de
la entidad usuaria como parte de la evidencia necesaria para sustentar la opinión de
auditoría del auditor de la entidad usuaria. En estas circunstancias, puede ser útil
que el auditor de la entidad usuaria y el auditor de organización de servicios
establezcan un entendimiento antes de efectuar los procedimientos relacionados con
la documentación de auditoría o respecto a los medios para accesar la
documentación de auditoría que serán proporcionados al auditor de la entidad
usuaria.

393
A29. En ciertas circunstancias, particularmente cuando una entidad usuaria externaliza
parte o toda su función financiera a una organización de servicios, el auditor de la
entidad usuaria puede enfrentar una situación en que una porción significativa de la
evidencia de auditoría se encuentra en la organización de servicios. Puede ser
necesario efectuar procedimientos sustantivos en la organización de servicios por
parte del auditor de la entidad usuaria o por el auditor de la organización de
servicios por cuenta del auditor de la entidad usuaria. Un auditor de una
organización de servicios puede proporcionar un informe Tipo 2 y, además, puede
efectuar procedimientos sustantivos por cuenta del auditor de la entidad usuaria.
Como se indica en el párrafo A44, la participación de un auditor de una
organización de servicios no altera la responsabilidad del auditor de la entidad
usuaria de obtener suficiente y apropiada evidencia de auditoría para obtener una
base razonable para respaldar la opinión del auditor de entidad usuaria. En
consecuencia, la información pertinente para ser considerada por el auditor de la
entidad usuaria al determinar si se ha obtenido suficiente y apropiada evidencia de
auditoría y si el auditor de la entidad usuaria necesita efectuar procedimientos
sustantivos posteriores, incluye la participación del auditor de la entidad usuaria
con, o evidencia de, la dirección, supervisión y el resultado de los procedimientos
sustantivos efectuados por el auditor de la organización de servicios.

Pruebas de controles (Ver párrafo 16)

A30. La Sección AU 330, Efectuar Procedimientos de Auditoría en Respuesta a Riesgos

Evaluados y Evaluar la Evidencia de Auditoría Obtenida,(7) requiere que el auditor
de la entidad usuaria diseñe y efectúe pruebas de los controles para obtener
suficiente y apropiada evidencia de auditoría respecto a la efectividad operacional
de los controles pertinentes en ciertas circunstancias. Dentro del contexto de una
organización de servicios, este requerimiento es aplicable cuando:

a. la evaluación del auditor de la entidad usuaria de los riesgos de

representaciones incorrectas significativas incluye una expectativa que los
controles en la organización de servicios están operando con efectividad (o
sea, el auditor de la entidad usuaria pretende confiar en la efectividad
operacional de los controles en la organización de servicios al determinar la
naturaleza, oportunidad y alcance de los procedimientos sustantivos) o,

b. los procedimientos sustantivos, por sí mismos, o en combinación con

pruebas de la efectividad operacional de los controles en la entidad usuaria,
no pueden proporcionar suficiente y apropiada evidencia de auditoría al
nivel de las aplicaciones.

A31. Si un informe Tipo 2 no está disponible, un auditor de una entidad usuaria puede
contactar a la organización de servicios a través de la entidad usuaria para solicitar
que un auditor de la organización de servicios sea contratado para efectuar un

(7)
Ver párrafo 8 de la Sección AU 330, Efectuar Procedimientos de Auditoría en Respuesta a Riesgos
Evaluados y Evaluar la Evidencia de Auditoría Obtenida.

394
 trabajo de Tipo 2 que incluya pruebas de la efectividad operacional de los controles
pertinentes o el auditor de la entidad usuaria puede utilizar a otro auditor para
efectuar procedimientos acordados en la organización de servicios que sometan a
pruebas la efectividad operacional de esos controles. Un auditor de una entidad
usuaria puede también visitar a la organización de servicios y efectuar pruebas de
los controles pertinentes si la organización de servicios concuerda con ello. Las
evaluaciones de riesgos del auditor de la entidad usuaria están basadas en la
evidencia combinada proporcionada por el informe del auditor de la organización de
servicios y los propios procedimientos del auditor de la entidad usuaria.

Utilizar un informe Tipo 2 como evidencia de auditoría que los controles en la

organización de servicios están operando con efectividad (Ver párrafo 17)

A32. Un informe Tipo 2 puede tener por objetivo satisfacer las necesidades de varios
auditores de entidades usuarias diferentes, por lo tanto, pruebas específicas de
controles y resultados descritos en un informe Tipo 2 pueden no ser pertinentes para
afirmaciones que son significativas en los estados financieros de la entidad usuaria.
Las pruebas pertinentes de los controles y los resultados de las pruebas son
evaluados para determinar si el informe Tipo 2 proporciona suficiente y apropiada
evidencia de auditoría respecto a la efectividad de los controles para respaldar la
evaluación de riesgos del auditor de la entidad usuaria. Al hacerlo, el auditor de la
entidad usuaria puede considerar los siguientes factores:

a. El período de tiempo cubierto por las pruebas de los controles y el tiempo

transcurrido desde que se efectuaron las pruebas de los controles.

b. El alcance de trabajo del auditor de la organización de servicios y los

servicios y procesos cubiertos, los controles sometidos a pruebas y las
pruebas que fueron efectuadas y la manera en que los controles sometidos a
pruebas se relacionan con los controles de la entidad usuaria.

c. Los resultados de esas pruebas de controles y la opinión del auditor de la

organización de servicios sobre la efectividad operacional de los controles.

A33. Para ciertas afirmaciones, mientras más corto sea el período cubierto por una prueba
específica y más largo el tiempo transcurrido desde que se efectuó la prueba, menor
es la evidencia de auditoría que la prueba pueda proporcionar. Al comparar el
período cubierto por el informe Tipo 2 con el período financiero sobre el cual
informa la entidad usuaria, el auditor de la entidad usuaria puede concluir que el
informe Tipo 2 ofrece menos evidencia de auditoría si existe poco traslapo entre el
período cubierto por el informe Tipo 2 y el período por el cual el auditor de la
entidad usuaria pretende confiar en el informe. Cuando este sea el caso, un informe
adicional Tipo 2 cubriendo un período que precede o sea posterior puede
proporcionar evidencia de auditoría adicional. En otros casos, el auditor de la
entidad usuaria puede determinar que es necesario efectuar, o utilizar a otro auditor
para efectuar pruebas de los controles en la organización de servicios a fin de

395
 obtener suficiente y apropiada evidencia de auditoría respecto a la efectividad
operacional de esos controles.

A34. También puede ser necesario que el auditor de la entidad usuaria obtenga evidencia
adicional respecto a cambios significativos en los controles pertinentes en la
organización de servicios durante un período fuera del período cubierto por el
informe Tipo 2, o para determinar cuáles procedimientos de auditoría adicionales
necesitan ser efectuados (por ejemplo, cuando exista poco o ningún traslapo entre el
período cubierto por el informe Tipo 2 y el período cubierto por los estados
financieros de la entidad usuaria). Los factores pertinentes para determinar cual
evidencia de auditoría adicional obtener respecto a los controles en la organización
de servicios que estaban operando fuera del período cubierto por el informe del
auditor de la organización de servicios, pueden incluir lo siguiente:

La importancia de los riesgos evaluados de representaciones incorrectas

significativas al nivel de las afirmaciones.

Los controles específicos que fueron sometidos a pruebas durante el período

intermedio y cambios significativos a éstos desde que fueron sometidos a
pruebas, incluyendo cambios en los sistemas y procesos de información y
del personal.

El grado en que la evidencia de auditoría respecto a la efectividad

operacional de esos controles fue obtenida.

La extensión del período restante.

La medida en que el auditor de la entidad usuaria pretende reducir

procedimientos sustantivos posteriores basados en la confianza en los
controles.

La efectividad del entorno de control y de los controles de monitoreo en la

entidad usuaria.

A35. Evidencia de auditoría adicional puede ser obtenida, por ejemplo, efectuando
pruebas de controles que operaron durante el período restante o efectuando pruebas
de los controles de monitoreo de la entidad usuaria.

A36. Si el período de pruebas del auditor de la organización de servicios está

completamente fuera del período financiero sobre el cual informa la entidad usuaria,
el auditor de la entidad usuaria no podrá confiar en tales pruebas para concluir que
los controles de la entidad usuaria están operando con efectividad, debido a que las
pruebas no proporcionan evidencia de auditoría del período actual respecto a la
efectividad de los controles, a menos que se efectúen otros procedimientos.

396
A37. En ciertas circunstancias, un servicio proporcionado por la organización de
servicios puede ser diseñado bajo el supuesto que ciertos controles serán
implementados por la entidad usuaria. Por ejemplo, el servicio puede ser diseñado
bajo el supuesto que la entidad usuaria tendrá implementados controles para
autorizar las transacciones antes que sean enviadas para su procesamiento por la
organización de servicios. En tal situación, la descripción del sistema de la
organización de servicios puede incluir una descripción de esos controles
complementarios de la entidad usuaria. El auditor de la entidad usuaria considera si
esos controles complementarios de la entidad usuaria son pertinentes al servicio
proporcionado a la entidad usuaria.

A38. Si el auditor de la entidad usuaria considera que el informe del auditor de la

organización de servicios puede no proporcionar suficiente y apropiada evidencia de
auditoría apropiada (por ejemplo, si el informe de un auditor de una organización de
servicios no incluye una descripción de las pruebas de controles y resultados de
estos, efectuadas por el auditor de la organización de servicios), el auditor de la
entidad usuaria puede complementar su entendimiento de los procedimientos y
conclusiones del auditor de la organización de servicios, contactando a la
organización de servicios a través de la entidad usuaria para solicitar una reunión de
análisis con el auditor de la organización de servicios respecto al alcance y los
resultados del trabajo del auditor de la organización de servicios. Además, si el
auditor de la entidad usuaria lo considera necesario, el auditor de la entidad usuaria
puede contactar a la organización de servicios a través de la entidad usuaria para
solicitar que el auditor de la organización de servicios efectúe procedimientos en la
organización de servicios, o el auditor de la entidad usuaria puede efectuar tales
procedimientos.

A39. El informe Tipo 2 del auditor de la organización de servicios identifica los

resultados de las pruebas, incluyendo desviaciones y otra información que podría
afectar a las conclusiones del auditor de la entidad usuaria. Las desviaciones
observadas por el auditor de la organización de servicios, o una opinión modificada
en el informe del auditor de la organización de servicios no significa
automáticamente que el informe del auditor de la organización de servicios no será
útil para la auditoría de los estados financieros de la entidad usuaria en evaluar los
riesgos de representaciones incorrectas significativas. Más bien, las desviaciones y
el asunto que genera una opinión modificada en el informe Tipo 2 del auditor de la
organización de servicios, son considerados en la evaluación por parte del auditor
de la entidad usuaria, de las pruebas de los controles efectuadas por el auditor de la
organización de servicios. Al considerar las desviaciones y los asuntos que originan
una opinión modificada, el auditor de la entidad usuaria puede analizar tales asuntos
con el auditor de la organización de servicios. Tal comunicación depende que la
entidad usuaria contacte a la organización de servicios y obtenga la aprobación de
ésta última para que tenga lugar la comunicación.

Comunicación de deficiencias significativas y debilidades importantes en el control

interno identificadas durante la auditoría

397
A40. La Sección AU 265, Comunicar Asuntos Relacionados con el Control Interno
Identificados en una Auditoría,(8) requiere que el auditor de la entidad usuaria
comunique por escrito a la Administración y los encargados del Gobierno
Corporativo las deficiencias significativas y las debilidades importantes
identificadas durante la auditoría. Los asuntos relacionados con la utilización de una
organización de servicios que el auditor de la entidad usuaria pueda identificar
durante la auditoría y puede comunicar a la Administración y a los encargados del
Gobierno Corporativo de la entidad usuaria incluyen los siguientes:

Cualquier control de monitoreo requerido que podría ser implementado por

la entidad usuaria, incluyendo los identificados como resultado de obtener
un informe Tipo 1 o Tipo 2.

Instancias cuando los controles complementarios en la entidad usuaria

identificados en el informe Tipo 1 y Tipo 2 no son implementados en la
entidad usuaria.

Controles que pueden ser requeridos en la organización de servicios que no

parecen haber sido implementados o que fueron implementados pero no
están operando con efectividad.

El auditor también puede comunicar otros asuntos relacionados con controles,

incluyendo deficiencias que no son deficiencias significativas ni debilidades
importantes.

Informes Tipo 1 y Tipo 2 que excluyen a los servicios de una organización de sub-
servicios (Ver párrafo 18)

A41. Si una organización de servicios utiliza a una organización de sub-servicios, el

informe del auditor de la organización de servicios puede ya sea incluir o excluir los
objetivos de control pertinentes de la organización de sub-servicios y los controles
relacionados en la descripción de su sistema por la organización de servicios y en el
alcance del trabajo del auditor de la organización de servicios. Estos dos métodos de
informar son conocidos como el método inclusivo y el método de exclusión (“carve-
out method”), respectivamente. Si el informe Tipo 1 o Tipo 2 excluye los controles
de una organización de sub-servicios y los servicios proporcionados por la
organización de sub-servicios son pertinentes a la auditoría de los estados
financieros de la entidad usuaria, el auditor de la entidad usuaria debe aplicar los
requerimientos de esta Sección respecto a la organización de sub-servicios. La
naturaleza y el alcance del trabajo a ser efectuado por el auditor de la entidad
usuaria en relación con los servicios proporcionados por una organización de sub-
servicios dependen de la naturaleza y de la importancia de esos servicios para la
entidad usuaria y lo pertinente que sean esos servicios para la auditoría. La
aplicación del requerimiento del párrafo 9 ayuda al auditor de la entidad usuaria a

(8)
Ver párrafos 11-12 de la Sección AU 265, Comunicar Asuntos Relacionados con el Control Interno
Identificados en una Auditoría.

398
 determinar el efecto de la organización de sub-servicios y la naturaleza y el alcance
del trabajo a ser efectuado.

Fraude, incumplimiento de leyes y regulaciones y representaciones incorrectas no

corregidas relacionadas con las actividades de la organización de servicios (Ver párrafo
19)

A42. Bajo los términos de un contrato con entidades usuarias, una organización de
servicios puede ser requerida a revelar a las entidades usuarias afectadas, cualquier
fraude, incumplimiento de leyes y regulaciones o representaciones incorrectas no
corregidas atribuibles a la administración o empleados de la organización de
servicios. Como lo requiere el párrafo 19, el auditor de la entidad usuaria efectúa
indagaciones a la Administración de la entidad usuaria respecto a si la organización
de servicios le ha informado de cualesquier de tales asuntos y evalúa si cualquier
asunto informado por la organización de servicios afecta la naturaleza, oportunidad
y alcance de los procedimientos de auditoría posteriores del auditor de la entidad
usuaria. En ciertas circunstancias, el auditor de la entidad usuaria puede requerir
información adicional para efectuar esta evaluación y puede solicitar que la entidad
usuaria contacte a la organización de servicios para obtener la información
necesaria.

Informes del auditor de la entidad usuaria (Ver párrafo 20)

A43. Cuando el auditor de la entidad usuaria no pueda obtener suficiente y apropiada

evidencia de auditoría respecto a los servicios proporcionados por la organización
de servicios pertinente a la auditoría de estados financieros de la entidad usuaria,
existe una limitación al alcance de la auditoría. Este puede ser el caso cuando:

el auditor de la entidad usuaria no pueda obtener un entendimiento suficiente

de los servicios proporcionados por la organización de servicios y no tiene
una base para identificar y evaluar los riesgos de representaciones
incorrectas significativas;

la evaluación de riesgos de un auditor de una entidad usuaria incluye una

expectativa que los controles en la organización de servicios están operando
con efectividad y el auditor de la entidad usuaria no pueda obtener suficiente
y apropiada evidencia de auditoría respecto a la efectividad operacional de
estos controles, o;

suficiente y apropiada evidencia de auditoría solo está disponible de los

registros mantenidos en la organización de servicios y el auditor de la
entidad usuaria no puede obtener acceso directo a estos registros.

Respecto a si el auditor de la entidad usuaria expresa una opinión con salvedades o

se abstiene de opinar depende de la conclusión del auditor de la entidad usuaria

399
 respecto a si los posibles efectos sobre los estados financieros son significativos,
invasivos, o ambos.(9)

Referencia al trabajo del auditor de la organización de servicios (Ver párrafos 21-22)

A44. El hecho que una entidad usuaria utilice a una organización de servicios no altera la
responsabilidad del auditor de la entidad usuaria de obtener suficiente y apropiada
evidencia de auditoría para permitir una base razonable para sustentar la opinión de
auditoría del auditor de la entidad usuaria. Por lo tanto, el auditor de la entidad
usuaria no hace referencia al informe del auditor de la organización de servicios
como una base, en parte, para la opinión del auditor de la entidad usuaria sobre los
estados financieros de la entidad usuaria. Sin embargo, cuando el auditor de la
entidad usuaria expresa una opinión modificada debido a una opinión modificada en
el informe de un auditor de una organización de servicios, el auditor de la entidad
usuaria no está impedido de referirse al informe del auditor de la organización de
servicios si tal referencia ayuda a explicar el motivo de la opinión modificada del
auditor de la entidad usuaria. En tales circunstancias, el auditor de la entidad usuaria
no necesita identificar al auditor de la organización de servicios por su nombre y
puede necesitar del consentimiento del auditor de la organización de servicios antes
de efectuar tal tipo de referencia.

(9)
Ver párrafos 7-10 de la Sección AU 705, Modificaciones a la Opinión en el Informe del Auditor
Independiente.

400