Por: CP Alexander Camargo M.

Para la ejecución de las actividades de control, las compañías utilizan información que viene de diferentes fuentes y en formatos diversos. Información que debe ser entendida por el auditor en la realización de las pruebas de recorrido de los controles y consideradas en la re-ejecución de los controles, controles en los que planificamos confianza y efectuamos pruebas de eficacia operativa.

El nivel de documentación de las pruebas sobre esta información es más exigente cuando realizamos pruebas de controles en auditorías SOX. En donde, además de las pruebas de integridad y precisión realizadas a la Información Utilizada por la Entidad (IUE), se realizan también a la Información Provista por la Entidad (IPE). La IPE corresponde con la evidencia de la auditoría que es generada por la entidad y utilizada por los auditores para probar un control.

Aunque la diferencia entre IUE y la IPE parece ser sutil, es importante entender la diferencia. Pues para una IUE, la entidad deberá contar con verificaciones o controles establecidos para asegurar que esta información es completa y precisa, mientras que para la IPE el auditor deberá realizar procedimientos que aseguren que la información es completa y precisa.

La PCAOB Public Company Accounting Oversight Board, en su estándar de auditoría AS No. 15, evidencia en el parágrafo 10 “Usar Información producida por la Entidad”:

“Al utilizar información producida por la entidad como evidencia de auditoría, el auditor debe evaluar si la información es suficiente y adecuada para los fines de la auditoría mediante la aplicación de procedimientos para:

• Probar la exactitud e integridad de la información, o probar los controles sobre la exactitud e integridad de esa información; y
• Evaluar si la información es suficientemente precisa y detallada para efectos de la auditoría.”

Esta referencia a las auditorías SOX no quiere decir que en las ISA no se encuentren requerimientos similares, revisemos la ISA 500 en su parágrafo:

“Al utilizar información generada por la entidad, el auditor evaluará si, para sus fines, dicha información es suficientemente fiable, lo que comportará, según lo requieran las circunstancias:

(a) la obtención de evidencia de auditoría sobre la exactitud e integridad de la información; y (Ref: Apartados A49-A50)

(b) la evaluación de la información para determinar si es suficientemente precisa y detallada para los fines del auditor. (Ref: Apartado A51)”

Es decir, que estemos frente a una auditoria SOX o una auditoria llevada a cabo de conformidad con las normas internacionales de auditoría, debemos ocuparnos por la IPE y la IUE.

La información producida por la entidad y la información utilizada en los controles a menudo se presenta como un informe.  Los informes pueden ser generados por el sistema, preparados o una combinación de ambos (descarga de datos acumulados del sistema ingresados manualmente en una hoja de cálculo de Excel). Una entidad podría gastar mucho tiempo y dinero si intenta abordar la integridad y precisión de todos sus IPE e IUC en sus entornos de control.  Para evitar gastar demasiado tiempo o dinero en esta área, una entidad  generalmente se centrará más en los controles relevantes que respaldan sus requisitos para el cumplimiento de los controles internos contables.

La NIA 315, en el apartado A132, revisada respecto del conocimiento del control interno nos indica:

“El sistema de control interno de la entidad incluye aspectos relacionados con los objetivos de información de la entidad, incluidos sus objetivos de información financiera, pero también pueden incluir aspectos relacionados con sus objetivos operativo o de cumplimiento cuando dichos aspectos son relevantes para la información financiera (…)”.

Un ejemplo de lo anterior son los controles sobre el cumplimiento de las disposiciones legales y reglamentarias. Dichos controles pueden ser relevantes para la información financiera cuando, a su vez, sean relevantes para la preparación por la entidad de información a revelar en los estados financieros sobre contingencias.

Para iniciar el proceso de documentar tanto la IUC como la IPE, las entidades pueden priorizar los controles relevantes para centrarse en ellos y realizar el análisis de la IUC y la IPE relacionadas. Es decir, para cada control identificado como relevante, enumerar exactamente cuáles son los documentos que se utilizan para ejecutar o realizar dichos controles. Esta información debe incluir cualquier documento de respaldo del que dependa el control.

Es probable que se requiera llevar un registro de los pasos que toman los ejecutores de los controles para documentar la integridad y precisión de la documentación de los que dependen los controles. Mejorar la documentación de los controles asegura que los mismos sean desarrollados en forma consistente. De modo que se así se cumplen sus objetivos de control y, además, facilitan los procesos de auditoría.

CP Alexander Camargo M.

Contador Público, CFCS “Especialista Certificado en delitos financieros”, especialista en Control Interno de la Universidad Militar Nueva Granada, magíster en Gestión Integral del Riesgo de la Universidad Externado de Colombia (Pendiente Tesis). Cuenta con más de 25 años de experiencia en procesos de aseguramiento y consulta en empresas de diferentes sectores de la economía adquirida en firmas internacionales de auditoría, KPMG y CROWE. Actualmente CEO de C&G Auditores y Consultores Ltda.

• www.auditorescyg.com
• https://www.facebook.com/Cygauditor
• https://www.linkedin.com/company/cygauditore/
• https://www.instagram.com/auditorescyg/