SECCIÓN AU 314

ENTENDIMIENTO DE LA ENTIDAD Y DE SU ENTORNO Y

EVALUACIÓN DE LOS RIESGOS DE REPRESENTACIONES
INCORRECTAS SIGNIFICATIVAS

Introducción

1. Esta Sección establece normas y proporciona guías acerca de la implemen-

tación de la segunda norma del trabajo en terreno, según lo siguiente:

“El auditor debe obtener un suficiente entendimiento de la entidad y de su entorno, in-

cluyendo su control interno, para evaluar el riesgo de representaciones incorrectas sig-
nificativas en los estados financieros debido ya sea a error o a fraude y para diseñar la
naturaleza, oportunidad y alcance de los procedimientos de auditoría adicionales.”

La importancia de la evaluación de riesgo por parte del auditor como base

para procedimientos de auditoría adicionales se analiza en el riesgo de audi-
toría en la Sección AU 312, Riesgo e Importancia Relativa Inherentes a una
Auditoría. Ver la Sección AU 326 Evidencia de Auditoría como guía acerca
de cómo el auditor utiliza las afirmaciones pertinentes(1), en suficiente deta-
lle para formarse una base para la evaluación del riesgo de representaciones
incorrectas significativas y para diseñar y efectuar procedimientos de audi-
toría adicionales. El auditor debiera realizar una evaluación de riesgo a nivel
de los estados financieros y a nivel de las afirmaciones pertinentes basado
en un entendimiento adecuado de la entidad y de su entorno, incluyendo su
control interno. La Sección AU 318 Realización de Procedimientos de Audi-
toría en Respuesta a los Riesgos Evaluados y a la Evidencia de Auditoría
Obtenida, analiza la responsabilidad del auditor para determinar las respues-
tas generales y diseñar y efectuar procedimientos de auditoría adicionales
cuya naturaleza, oportunidad y alcance responden a las evaluaciones de
riesgo. Esta norma debiera ser aplicada en conjunto con las normas y guías
proporcionadas en otras secciones. En particular, la responsabilidad del au-
ditor para considerar fraude en una auditoría de los estados financieros se
analiza en la Sección AU 316, Consideración de Fraude en una Auditoría
de Estados Financieros.

(1)
Las afirmaciones pertinentes son afirmaciones que tienen un efecto significativo respecto a si la
cuenta está presentada razonablemente. Por ejemplo, la valorización podría no ser pertinente para la
cuenta de efectivo en caja, a menos que involucre una traducción de monedas. Sin embargo, la exis-
tencia y la integridad siempre son pertinentes. Similarmente, la valorización podría no ser pertinente
para el monto bruto del saldo de cuentas por cobrar, pero es pertinente para las cuentas de provisio-
nes relacionadas. Adicionalmente, el auditor podría, en ciertas circunstancias, enfocarse en las afir-
maciones de presentación y revelación separadamente del proceso de preparación y entrega de la
información financiera al cierre del período contable.

61
2. Lo siguiente es una visión general de esta norma:

 Procedimientos de evaluación de riesgo y fuentes de información

acerca de la entidad y de su entorno, incluyendo su control interno.
Esta Sección explica los procedimientos de auditoría que el auditor
debiera efectuar para obtener un entendimiento de la entidad y de su
entorno, incluyendo su control interno (procedimientos de evalua-
ción de riesgo). El equipo de auditoría debiera analizar la susceptibi-
lidad de los estados financieros de la entidad a una representación
incorrecta significativa.

 Entendendimiento de la entidad y de su entorno, incluyendo su con-

trol interno. Esta Sección proporciona guías al auditor para entender
aspectos específicos de la entidad y de su entorno y los componentes
de su control interno, con el fin de identificar y evaluar los riesgos de
representaciones incorrectas significativas y para diseñar y efectuar
procedimientos de auditoría adicionales.

 Evaluar los riesgos de representaciones incorrectas significativas.

Esta Sección proporciona guías para el auditor al evaluar los riesgos
de representaciones incorrectas significativas a nivel de los estados
financieros y a nivel de las afirmaciones pertinentes. El auditor debi-
era:

- Identificar riesgos considerando la entidad y su entorno, in-

cluyendo los controles pertinentes y considerando las clases
de transacciones, saldos de cuentas y revelaciones en los es-
tados financieros.

- Relacionar los riesgos identificados con lo que puede fallar a

nivel de la afirmación pertinente.

- Considerar la importancia y la probabilidad de representacio-

nes incorrectas significativas para cada riesgo identificado.

Esta Sección también proporciona guías para el auditor al determinar

si cualquiera de los riesgos evaluados son riesgos significativos que
requieren de una consideración especial de auditoría o riesgos para
los cuales los procedimientos sustantivos por sí solos no proporcio-
nan suficiente y apropiada evidencia de auditoría. El auditor debiera
evaluar el diseño de los controles de la entidad, incluyendo las acti-
vidades de control pertinentes sobre tales riesgos y determinar si son
adecuados y si han sido implementados.

 Documentación. Esta Sección proporciona guías de documentación

relacionada.

62
3. Obtener un entendimiento de la entidad y de su entorno es un aspecto esen-
cial al efectuar una auditoría según normas de auditoría generalmente acep-
tadas. En particular, ese entendimiento establece un marco de referencia de-
ntro del cual el auditor planifica la auditoría y ejerce juicios profesionales
acerca de la evaluación de riesgos de representaciones incorrectas significa-
tivas de los estados financieros y responder a esos riesgos durante la auditor-
ía, por ejemplo cuando:

 Establece una importancia relativa para efectos de planificación y

evalúa si tal juicio se mantiene apropiadamente mientras progresa la
auditoría.

 Considera lo apropiado de la selección y aplicación de las políticas

contables y lo adecuado de las revelaciones en los estados financie-
ros.

 Identifica áreas donde puede ser necesario una consideración espe-

cial de auditoría, por ejemplo, transacciones con partes relacionadas,
lo apropiado del uso por parte de la Administración del concepto de
empresa en marcha, transacciones complejas o inusuales o al consi-
derar el propósito comercial de las transacciones.

 Desarrolla expectativas a utilizar cuando efectúa procedimientos

analíticos.

 Diseña y efectúa procedimientos de auditoría adicionales para redu-

cir el riesgo a un nivel apropiadamente bajo.

 Evalúa la suficiencia y lo apropiado de la evidencia de auditoría ob-

tenida, tal como la evidencia, relacionada con la razonabilidad de los
supuestos de la Administración y de las representaciones verbales y
escritas de la Administración.

4. El auditor debiera utilizar su juicio profesional para determinar el alcance

del entendimiento requerido de la entidad y de su entorno, incluyendo su
control interno. La principal consideración del auditor es si el entendimiento
que se ha adquirido es suficiente para evaluar los riesgos de representacio-
nes incorrectas significativas en los estados financieros y diseñar y efectuar
procedimientos de auditoría adicionales. La profundidad del entendimiento
general que el auditor obtiene al efectuar la auditoría es menor que el que
posee la Administración por administrar la entidad.

Procedimientos de evaluación de riesgos y fuentes de información acerca de la

entidad y de su entorno, incluyendo su control interno

63
5. Obtener un entendimiento de la entidad y de su entorno, incluyendo su con-
trol interno, es un proceso dinámico y continuo de obtener, actualizar y ana-
lizar información durante la auditoría. Durante este proceso, el auditor tam-
bién debiera seguir las guías en la Sección AU 316. Tal como se describe en
Sección AU 326, los procedimientos de auditoría para obtener el entendi-
miento son conocidos como procedimientos de evaluación de riesgo por que
alguna de la información obtenida al realizar tales procedimientos puede ser
utilizada por el auditor como evidencia de auditoría para respaldar las eva-
luaciones de riesgo de representaciones incorrectas significativas. Además,
al efectuar procedimientos de evaluación de riesgo, el auditor puede obtener
evidencia de auditoría acerca de las afirmaciones pertinentes relacionadas
con clases de transacciones, saldos de cuentas o revelaciones y acerca de la
efectividad de la operación de los controles, aunque tales procedimientos de
auditoría no fueron específicamente planificados como procedimientos sus-
tantivos o como pruebas de controles. El auditor también puede elegir efec-
tuar procedimientos sustantivos o pruebas de controles al mismo tiempo que
los procedimientos de evaluación de riesgo debido a que es eficiente hacer-
lo.

Procedimientos de evaluación de riesgo

6. El auditor debiera realizar los siguientes procedimientos de evaluación de

riesgo para obtener un entendimiento de la entidad y de su entorno, inclu-
yendo su control interno:

a. Indagaciones a la Administración y otros dentro de la entidad

b. Procedimientos analíticos

c. Observación e inspección

No se requiere que el auditor efectúe todos los procedimientos de evaluación

de riesgo descritos anteriormente para cada aspecto del entendimiento des-
crito en el párrafo 21. Sin embargo, todos los procedimientos de evaluación
de riesgo debieran ser efectuados por el auditor durante la obtención del en-
tendimiento requerido.

7. Además, el auditor puede realizar otros procedimientos donde la informa-

ción obtenida puede ser útil en la identificación de riesgos de representacio-
nes incorrectas significativas. Por ejemplo, en cooperación con la entidad, el
auditor puede considerar hacer indagaciones a otros fuera de la entidad tales
como los asesores legales externos de la entidad o de expertos en valoriza-
ciones que la entidad haya utilizado. La revisión de información obtenida de
fuentes externas tales como informes de analistas, bancos o agencias clasifi-
cadoras de riesgo, diarios comerciales o económicos o publicaciones de re-

64
 guladores o financieras también puede ser útil en la obtención de informa-
ción acerca de la entidad.

8. Aunque mucha de la información que el auditor obtiene mediante indaga-

ciones puede ser obtenida de la Administración y de los responsables por el
proceso de preparación y entrega de información financiera, las indagacio-
nes a otros dentro de la entidad, tales como personal de producción, de audi-
toría interna y otros empleados con diferentes niveles de autoridad, puede
ser útil para proporcionar al auditor una perspectiva diferente en la identifi-
cación de riesgos de representaciones incorrectas significativas. Al determi-
nar a otros dentro de la entidad a quienes indagar o el alcance de esas inda-
gaciones, el auditor debiera considerar qué información puede ser obtenida
que podría ayudar a éste en la identificación de riesgos de representaciones
incorrectas significativas. Por ejemplo:

 Indagaciones dirigidas hacia los encargados del Gobierno Corporati-

vo(2) pueden ayudar al auditor entender el entorno en el cual se pre-
paran los estados financieros.

 Indagaciones dirigidas hacia personal de auditoría interna puede re-

lacionarse a sus actividades con respecto al diseño y efectividad del
control interno de la entidad y si la Administración ha respondido sa-
tisfactoriamente a cualquier hallazgo proveniente de estas activida-
des.

 Indagaciones al personal involucrado en la generación, autorización,

procesamiento y registro de transacciones complejas o inusuales
pueden ayudar al auditor en la evaluación de lo apropiado de la se-
lección y aplicación de ciertas políticas contables.

 Indagaciones dirigidas hacia los asesores legales internos pueden re-

lacionarse con asuntos tales como litigios, cumplimiento con las le-
yes y regulaciones, conocimiento de fraude o de sospecha de fraude
que afecten a la entidad, garantías, obligaciones post-venta, acuerdos
(tales como entidades de administración y control conjunto) con so-
cios de la entidad y el significado de términos contractuales.

 Indagaciones dirigidas hacia personal de marketing, ventas, o pro-

ducción pueden relacionarse con cambios en las estrategias de mar-
keting de la entidad, tendencias de ventas, estrategias de producción,
o acuerdos contractuales con sus clientes.

(2)
Ver pié de página 4 de la Sección AU 311, Planificación y Supervisión, para la definición y el
análisis acerca de los encargados del Gobierno Corporativo.

65
9. Los párrafos 4 y 6 de la Sección AU 329, Procedimientos Analíticos, especi-
fican que el auditor debiera aplicar procedimientos analíticos en la planifi-
cación de la auditoría para ayudar al entendimiento de la entidad y su entor-
no y en la identificación de áreas que podrían representar riesgos específicos
pertinentes para la auditoría. Por ejemplo, los procedimientos analíticos
pueden ser útiles en la identificación de la existencia de transacciones o
hechos inusuales, montos, ratios y tendencias que podrían indicar asuntos
que tienen implicancias en los estados financieros y en la auditoría. Al efec-
tuar procedimientos analíticos como procedimientos de evaluación de ries-
go, el auditor debiera desarrollar expectativas acerca de relaciones plausi-
bles cuya existencia es razonablemente esperada. Cuando la comparación de
tales expectativas con los montos registrados o con los ratios desarrollados
de montos registrados resulta en relaciones inusuales o inesperadas, el audi-
tor debiera considerar esos resultados en la identificación de riesgos de re-
presentaciones incorrectas significativas. Sin embargo, cuando tales proce-
dimientos analíticos utilizan información muy resumida (lo que sucede a
menudo), los resultados de tales procedimientos analíticos proporcionan so-
lamente una indicación inicial amplia respecto a que puede existir una re-
presentación incorrecta significativa. Por lo tanto, el auditor debiera consi-
derar los resultados de tales procedimientos analíticos junto con otra infor-
mación obtenida en la identificación de riesgos de representaciones inco-
rrectas significativas.

10. La observación y la inspección pueden apoyar a las indagaciones a la Admi-

nistración y a otros y también proporcionar información acerca de la entidad
y de su entorno. Tales procedimientos de auditoría por lo general incluyen:

 Observación de las actividades y operaciones de la entidad.

 Inspección de documentos (tales como los planes y estrategias de

negocio), registros y manuales de control interno.

 Lectura de informes preparados por la Administración (tales como

informes trimestrales y estados financieros intermedios), por los en-
cargados del Gobierno Corporativo (tales como las actas de las reu-
niones del Directorio) y auditoría interna.

 Visita a las instalaciones y plantas de la entidad.

 Rastrear las transacciones a través del sistema de información perti-

nente al proceso de preparación y entrega de información financiera,
lo cual puede ser realizado como parte de la comprobación del fun-
cionamiento de los procesos de la entidad (“walk-through”).

11. Cuando el auditor pretende utilizar información acerca de la entidad y de su

entorno obtenida en períodos anteriores, el auditor debiera determinar si han

66
 ocurrido cambios que puedan afectar la pertinencia de tal información en la
auditoría actual. En el caso de trabajos recurrentes, la experiencia previa del
auditor con la entidad contribuye al entendimiento de la entidad. Por ejem-
plo, los procedimientos de auditoría efectuados en auditorías anteriores por
lo general proporcionan evidencia de auditoría acerca de la estructura orga-
nizacional, negocios y controles de la entidad, como también la información
acerca de representaciones incorrectas anteriores y si éstas han sido corregi-
dos oportunamente, lo cual ayuda al auditor al evaluar los riesgos de repre-
sentaciones incorrectas significativas en la auditoría actual. Sin embargo tal
información puede haberse tornado irrelevante por cambios en la entidad o
de su entorno. El auditor debiera hacer indagaciones y efectuar otros proce-
dimientos de auditoría adecuados, tales como la comprobación del funcio-
namiento de los sistemas de la entidad (“walk-throughs”), para determinar si
han ocurrido cambios que puedan afectar lo pertinente que sea tal informa-
ción.

12. La Sección AU 316 establece que el auditor debiera evaluar específicamente

el riesgo de representaciones incorrectas significativas(3) de los estados fi-
nancieros debido a fraude e indica que el auditor debiera considerar esa eva-
luación al diseñar los procedimientos de auditoría a ser efectuados. Al hacer
esta evaluación, el auditor debiera también considerar los factores de riesgos
de fraude que se relacionan tanto con representaciones incorrectas significa-
tivas que surgen del proceso de preparación y entrega de información finan-
ciera fraudulenta como con representaciones incorrectas que surgen de la
apropiación indebida de activos. Los factores de riesgo de fraude que se re-
lacionan con el proceso de preparación y entrega de información financiera
fraudulenta son (a) características e influencia de la Administración sobre el
ambiente de control, (b) condiciones de la industria y (c) características de la
operación y estabilidad financiera. Los factores de riesgo de fraude que se
relacionan con la apropiación indebida de activos son (a) susceptibilidad de
activos a la apropiación indebida y (b) ausencia de controles. La respuesta
del auditor a la evaluación del riesgo de representaciones incorrectas signifi-
cativas debido a fraude es influenciada por la naturaleza e importancia de
los factores de riesgo identificados que estén presentes. En ciertas circuns-
tancias, el auditor puede concluir que las condiciones indican una necesidad
de modificar los procedimientos de auditoría. En estas circunstancias, el au-
ditor debiera considerar si la evaluación de riesgo de representaciones inco-
rrectas significativas debido a un fraude, requiere de una respuesta general,
o una específica para un particular saldo de cuenta, clase de transacción o
revelaciones a nivel de la afirmación pertinente o ambos. Sin embargo, de-

(3)
El riesgo de representaciones incorrectas significativas se describe como la evaluación combinada
del auditor acerca del riesgo inherente y el riesgo de control. Ver Sección AU 312, párrafo 22, Ries-
go e Importancia Relativa Inherentes a una Auditoría, para una definición y un mayor análisis res-
pecto al riesgo de representaciones incorrectas significativas.

67
 bido a que tales factores de riesgo no necesariamente indican la existencia
de fraude, los resultados de la evaluación del riesgo de representaciones in-
correctas significativas debido a fraude proporcionan solamente una indica-
ción inicial amplia acerca de si puede existir una representación incorrecta
significativa debido a fraude. Por lo tanto, el auditor debiera considerar los
resultados de la evaluación de riesgo de representaciones incorrectas signifi-
cativas debido a fraude efectuada durante la planificación junto con otra in-
formación obtenida en la identificación de riesgos de representaciones inco-
rrectas significativas.

13. En caso que sea pertinente para la auditoría, el auditor también debiera con-
siderar otra información tal como la obtenida del proceso de aceptación o
continuación del cliente o, cuando fuere practicable, de la experiencia adqui-
rida en otros trabajos efectuados para la entidad, por ejemplo, trabajos de
revisión de la información financiera intermedia.

Análisis entre los miembros del equipo de auditoría

14. Los miembros del equipo de auditoría, incluyendo el auditor con la respon-
sabilidad final de la auditoría, debieran reunirse para analizar la susceptibili-
dad de los estados financieros de la entidad a representaciones incorrectas
significativas. Este análisis puede ser realizado en conjunto con el análisis
entre el equipo de auditoría que se especifica en la Sección AU 316 para
analizar la susceptibilidad de los estados financieros de la entidad a fraude.
Cuando el trabajo completo es realizado por un único auditor, éste debiera
considerar y documentar la susceptibilidad de los estados financieros de la
entidad a representaciones incorrectas significativas. En estas circunstancias,
el auditor debiera considerar otros factores que pueden ser necesarios en el
trabajo, tales como el de personal con habilidades especializadas.

15. Se debiera utilizar criterio profesional para determinar cuáles miembros del
equipo de auditoría debieran ser incluidos en el análisis, cómo y cuándo de-
biera realizarse la reunión y el alcance del análisis. Los miembros claves del
equipo de auditoría, incluyendo el auditor con la responsabilidad final, debi-
eran estar involucrados en el análisis. Sin embargo, no es necesario que to-
dos los miembros del equipo tengan un conocimiento acabado de todos los
aspectos de la auditoría. El alcance del análisis es influenciado por los roles,
la experiencia y las necesidades de información de los miembros del equipo
de auditoría. Una consideración adicional es si se asignan especialistas al
equipo de auditoría. Por ejemplo, el auditor puede determinar que un profe-
sional que posee experiencia en tecnología de la información (TI)(4) u otras

(4)
La tecnología de la información (TI) reúne a todos los medios automatizados para iniciar, proce-
sar, almacenar y comunicar información e incluye aparatos de grabación, sistemas de comunicación,
sistemas de computación (incluyendo componentes de hardware, software y datos) y otros aparatos
electrónicos. El uso de una entidad de TI puede ser amplio, sin embargo, el auditor está principal-

68
 habilidades especializadas es necesario en el equipo de auditoría y por lo
tanto incluir a esa persona en la reunión de análisis.

16. El auditor con la responsabilidad final debiera considerar cuáles asuntos

serán comunicados a los otros miembros del equipo del trabajo que no están
presentes en la reunión de análisis. Por ejemplo, en una auditoría con múlti-
ples localidades, pueden tener lugar varias reuniones de análisis que involu-
cren a los miembros claves del equipo de auditoría en cada localidad impor-
tante.

17. El objetivo de esta reunión de análisis(5) es que los miembros del equipo de
auditoría obtengan un mejor entendimiento del potencial para representacio-
nes incorrectas significativas en los estados financieros debido a fraude o
error en las áreas específicas asignadas a ellos y entender cómo los resulta-
dos de los procedimientos de auditoría que ellos efectuan pueden afectar a
otros aspectos de la auditoría, incluyendo las decisiones acerca de la natura-
leza, oportunidad y alcance de procedimientos de auditoría adicionales.

18. El análisis proporciona una oportunidad para que los miembros del equipo
de auditoría con mayor experiencia, incluyendo al auditor con la responsabi-
lidad final por la auditoría, compartan sus percepciones sobre la base de su
conocimiento de la entidad y para que los miembros del equipo, intercam-
bien información acerca de los riesgos de negocios(6) a los cuales la entidad
está expuesta y acerca de cómo y donde los estados financieros podrían ser
susceptibles a tener representaciones incorrectas significativas. Tal como lo
indica Sección AU 316, se le debiera otorgar un énfasis particular a la sus-
ceptibilidad de los estados financieros de la entidad a tener representaciones
incorrectas significativas debido a un fraude. Además, el equipo de auditoría
debiera analizar los asuntos críticos, tales como las áreas de riesgo de audi-
toría significativas, áreas susceptibles donde la Administración puede hacer
caso omiso de los controles, procedimientos contables inusuales utilizados
por el cliente, sistemas de control importantes, importancia relativa a nivel
de los estados financieros y a nivel de cuenta y cómo se utilizará la impor-
tancia relativa para determinar el alcance de las pruebas. El análisis también
debiera abordar la aplicación de principios de contabilidad generalmente
aceptados a los hechos y circunstancias de la entidad y a la luz de las políti-
cas contables de la entidad.

mente interesado en el uso de TI por la entidad para iniciar, autorizar, registrar, procesar e informar
transacciones u otra información financiera.

(5)
Pueden haber una o más reuniones de análisis dependiendo de las circunstancias del trabajo.
(6)
Ver párrafos 29 hasta el 33 inclusive.

69
19. El auditor debiera planificar y efectuar la auditoría con una actitud de escep-
ticismo profesional. El análisis entre los miembros del equipo de auditoría
debiera enfatizar la necesidad de ejercer un escepticismo profesional durante
el trabajo, estar alerta a información u otras condiciones que indiquen que
una representación incorrecta significativa debido a un fraude o error puede
haber ocurrido y ser riguroso en hacer un seguimiento de tales indicios.

20. Dependiendo de las circunstancias de la auditoría, pueden haber varias reu-

niones de análisis con el fin de facilitar el intercambio continuo de informa-
ción entre miembros del equipo de auditoría con respecto a la susceptibili-
dad de los estados financieros de la entidad a representaciones incorrectas
significativas. El propósito es que los miembros del equipo de auditoría co-
muniquen y compartan la información obtenida durante la auditoría que
pueda afectar las evaluaciones de riesgos de representaciones incorrectas
significativas debido a fraudes o errores o en los procedimientos de auditoría
efectuados para abordar los riesgos.

Entendimiento de la entidad y de su entorno, incluyendo su control interno

21. El entendimiento del auditor de la entidad y de su entorno consiste de un

entendimiento de los siguientes aspectos:

a. Factores de la industria, de regulación y de otros factores externos

b. Naturaleza de la entidad

c. Objetivos y estrategias y los riesgos del negocio relacionados que

pueden resultar en representaciones incorrectas significativas de los
estados financieros

d. Medición y revisión del desempeño financiero de la entidad

e. Control interno, que incluye la selección y aplicación de políticas

contables

22. El Anexo A contiene ejemplos de asuntos que el auditor puede considerar

para obtener un entendimiento de la entidad y de su entorno relacionado con
las letras (a) a (d) indicadas en el párrafo anterior. El Anexo B contiene una
explicación detallada de los componentes de control interno.

23. La naturaleza, oportunidad y alcance de los procedimientos de evaluación de

riesgo efectuados dependen de las circunstancias del trabajo, tales como el
tamaño y complejidad de la entidad y la experiencia del auditor en ésta.
Además, identificar los cambios significativos en cualquiera de los aspectos
anteriores de la entidad en comparación con períodos anteriores es particu-
larmente importante para obtener un entendimiento suficiente de la entidad

70
 con el fin de identificar y evaluar los riesgos de representaciones incorrectas
significativas.

Factores de la industria, de regulación y otros factores externos

24. El auditor debiera obtener un entendimiento de los factores pertinentes de la

industria, de la regulación y de otros factores externos. Estos factores inclu-
yen las condiciones de la industria, tales como el entorno competitivo, las
relaciones con los proveedores y los clientes y los desarrollos tecnológicos y
el entorno regulatorio el cual incluye, entre otros asuntos, pronunciamientos
contables pertinentes, el entorno legal y político y requerimientos ambienta-
les que afectan a la industria y a la entidad y otros factores externos, tales
como las condiciones económicas generales.(7)

25. La industria en la cual opera la entidad puede estar sujeta a riesgos específi-
cos de representaciones incorrectas significativas que surgen de la naturale-
za del negocio, del grado de regulación u otras influencias externas (tales
como factores políticos, económicos, técnicos y competitivos). Por ejemplo,
los contratos a largo plazo pueden involucrar estimaciones significativas de
ingresos y gastos que generan riesgos de representaciones incorrectas signi-
ficativas en los estados financieros. De la misma forma, las regulaciones
pueden especificar ciertos requerimientos del proceso de preparación y en-
trega de información financiera para la industria en la cual opera la entidad.
En tales casos, el auditor debiera considerar si el equipo de auditoría incluye
a miembros con suficiente y pertinente conocimiento y experiencia. En caso
que la Administración incumpla con tales regulaciones, sus estados financie-
ros pueden estar representados incorrectamente en forma significativa.

Naturaleza de la entidad

26. El auditor debiera obtener un entendimiento de la naturaleza de la entidad.

La naturaleza de la entidad se refiere a las operaciones de la entidad, su pro-
piedad, Gobierno Corporativo, los tipos de inversiones que está efectuando
y los que planifica efectuar, la forma en la cual la entidad está estructurada y
cómo se financia. Un entendimiento de la naturaleza de una entidad le per-
mite al auditor entender las clases de transacciones, los saldos de las cuen-
tas y las revelaciones que se esperaría tener en los estados financieros.

27. La entidad puede tener una estructura compleja con afiliadas u otros compo-
nentes en varias localidades. Adicionalmente, a las dificultades de consoli-
dación, en tales casos pueden surgir otros asuntos con estructuras complejas
que generan riesgos de representaciones incorrectas significativas incluyen-
do la asignación del “goodwill” a las afiliadas y su deterioro, si las inversio-
nes son negocios de administración y control conjunto (“joint-ventures”),

(7)
Ver Sección AU 317, Actos Ilegales de Clientes, para mayores requerimientos relacionados con el
marco legal y regulatorio aplicable a la entidad y a la industria.

71
 afiliadas o inversiones contabilizadas bajo el método del valor patrimonial y
si se contabilizan adecuadamente las entidades de cometido especial.

28. El conocimiento de la estructura de propiedad, de la Administración y de

otro personal clave y sus relaciones entre propietarios y otras personas o en-
tidades, también es importante para determinar si se han identificado y con-
tabilizado apropiadamente las transacciones con partes relacionadas. La
Sección AU 334, Partes Relacionadas, proporciona guías adicionales para
las consideraciones del auditor, pertinentes para partes relacionadas.

Objetivos, estrategias y riesgos del negocio relacionados

29. El auditor debiera obtener un entendimiento de los objetivos y estrategias de

la entidad y de los riesgos del negocio relacionados que pueden resultar en
representaciones incorrectas significativas en los estados financieros. La en-
tidad conduce su negocio en el contexto de factores de la industria, de regu-
lación y otros factores internos y externos. Para responder a estos factores,
la Administración de la entidad o los encargados del Gobierno Corporativo
definen los objetivos, que son los planes generales para la entidad. Las estra-
tegias son los enfoques de las operaciones mediante los cuales la Adminis-
tración pretende lograr sus objetivos. Los riesgos del negocio resultan de
condiciones, hechos, circunstancias, acciones o inacciones significativas que
podrían afectar adversamente la capacidad de la entidad para lograr sus ob-
jetivos y llevar a cabo sus estrategias o mediante la fijación de objetivos y
estrategias inapropiados. De la misma forma como cambia el entorno exter-
no, la conducción de los negocios de la entidad también es dinámica y las
estrategias y objetivos de la entidad cambian en el tiempo.

30. El riesgo del negocio es más amplio que el riesgo de representaciones inco-
rrectas significativas de los estados financieros, el cual incluye a este último.
Por ejemplo, la entrada de un nuevo competidor al mercado con las ventajas
competitivas de reconocimiento de marca y de economía de escala, puede
representar un riesgo del negocio para la capacidad de un productor para ob-
tener la misma cantidad de espacio en los estantes de los vendedores a mino-
ristas y competir en precios. El riesgo potencial de representaciones inco-
rrectas significativas de los estados financieros relacionados con este riesgo
del negocio podría ser de obsolescencia o de sobre-producción de existen-
cias, las que solamente podrían ser vendidas a precios de descuento. Particu-
larmente, el riesgo del negocio puede surgir por un cambio o complejidad,
aunque el no reconocer la necesidad del cambio, también puede generar un
riesgo. El cambio puede surgir, por ejemplo, debido al desarrollo de nuevos
productos que pueden fracasar debido a un mercado que no responde al pro-
ducto de la entidad, aún cuando haya sido desarrollado correctamente o de-
bido a deficiencias que podrían resultar en pasivos y en un riesgo que afecta
la reputación de la entidad. Como un ejemplo de complejidad, la conducción
y la administración de proyectos de ingeniería a largo plazo (tales como la

72
 construcción de un navío o la construcción de un puente de suspensión)
pueden generar riesgos en las áreas de porcentaje de cumplimiento, precios,
costos, diseño y control de rendimientos. Un entendimiento de los riesgos de
negocio aumenta la probabilidad de identificar riesgos de representaciones
incorrectas significativas. Sin embargo, el auditor no tiene la responsabili-
dad de identificar o evaluar todos los riesgos del negocio.

31. La mayoría de los riesgos del negocio tendrán eventualmente consecuencias

financieras y, por lo tanto, un efecto en los estados financieros. Sin embar-
go, no todos los riesgos del negocio generan riesgos de representaciones in-
correctas significativas. Un riesgo del negocio podría tener una consecuen-
cia inmediata para el riesgo de representaciones incorrectas para clases de
transacciones, saldos de cuentas o revelaciones a nivel de las afirmaciones
pertinentes o para los estados financieros tomados en su conjunto. Por ejem-
plo, el riesgo del negocio que surge de una contracción de clientes debido a
la consolidación de la industria podría aumentar el riesgo de representacio-
nes incorrectas asociadas con la valorización de las cuentas por cobrar. De
forma similar, un riesgo del negocio puede tener una consecuencia inmedia-
ta por el riesgo de representaciones incorrectas de los estados financieros
tomados en su conjunto. Por ejemplo, el riesgo del negocio de transacciones
significativas con partes relacionadas puede aumentar el riesgo de represen-
taciones incorrectas de un rango de saldos de cuentas significativas y de las
afirmaciones pertinentes. Además, un objetivo de negocio y los riesgos rela-
cionados pueden también tener una consecuencia a más largo plazo que el
auditor puede tener que considerar al evaluar lo apropiado del concepto de
empresa en marcha. Por ejemplo, el riesgo del negocio de una declinación
en la industria en la cual opera la entidad puede afectar la capacidad de la
entidad de continuar como empresa en marcha. La consideración del audi-
tor respecto a si un riesgo del negocio puede resultar en representaciones in-
correctas significativas es, por lo tanto, realizado teniendo presente las cir-
cunstancias de la entidad. Ejemplos de condiciones y hechos que pueden in-
dicar riesgos de representaciones incorrectas significativas se proporcionan
en el Anexo C.

32. Por lo general, la Administración identifica los riesgos del negocio y desa-
rrolla enfoques para abordarlos. Tal proceso de evaluación de riesgo es parte
del control interno y se analiza en los párrafos 76 al 80.

33. Las entidades más pequeñas por lo general no fijan sus objetivos y estrate-
gias, y no administran sus riesgos del negocio relacionados, mediante planes
o procesos formales. En muchos casos puede no haber documentación algu-
na de tales asuntos. En tales entidades, el entendimiento del auditor puede
ser obtenido mediante indagaciones a la Administración y la observación de
cómo la entidad responde a tales asuntos.

Medición y revisión del desempeño financiero de la entidad

73
34. El auditor debiera obtener un entendimiento de la medición y revisión del
desempeño financiero de la entidad. Las mediciones de desempeño y su re-
visión le indican al auditor aspectos del desempeño de la entidad que la
Administración y otros consideran importantes. Las mediciones de desem-
peño, externas o internas, crean presiones sobre la entidad las cuales, a su
vez, pueden motivar a la Administración a tomar acciones para mejorar el
desempeño del negocio o a representar incorrectamente los estados financie-
ros. Obtener un entendimiento de las mediciones de desempeño de la enti-
dad ayuda al auditor a considerar si tales presiones resultan en acciones por
parte de la Administración que pueden haber aumentado los riesgos de re-
presentaciones incorrectas significativas.

35. La medición y revisión por parte de la Administración del desempeño finan-

ciero de la entidad es diferente del monitoreo de los controles (analizados
como un componente del control interno en los párrafos 97 al 101), aunque
sus propósitos podrían traslaparse. El monitoreo de los controles, sin embar-
go, se preocupa específicamente de la efectiva operación del control interno
mediante la consideración de información acerca de los controles. La medi-
ción y la revisión del desempeño está enfocada en si el desempeño del nego-
cio está cumpliendo con los objetivos establecidos por la Administración (o
terceros), pero puede ser que los indicadores de desempeño también propor-
cionen información que le permita a la Administración identificar deficien-
cias en el control interno.

36. La información generada internamente utilizada por la Administración para

este propósito puede incluir indicadores claves de desempeño (financieros y
no financieros), presupuestos, análisis de variaciones, información de divi-
siones, departamentales o de otro nivel, de informes de desempeño y compa-
raciones y del desempeño de la entidad con la de los competidores. Las par-
tes externas también pueden medir y revisar el desempeño financiero de la
entidad. Por ejemplo, la información externa, tales como los informes de los
analistas y los informes de agencias clasificadoras de riesgo, pueden propor-
cionar información útil para el entendimiento de la entidad y de su entorno
por parte del auditor. Tales informes pueden ser obtenidos de la entidad que
está siendo auditada o de sitios Web.

37. Las mediciones internas pueden revelar resultados o tendencias inesperadas

que requieren que la Administración efectúe indagaciones a otros, con el ob-
jeto de determinar su causa y tomar acciones correctivas (incluyendo en al-
gunos casos, la detección y corrección oportuna de representaciones inco-
rrectas). Las mediciones de desempeño también pueden indicar al auditor
riesgos de representaciones incorrectas de información en los estados finan-
cieros. Por ejemplo, las mediciones de desempeño pueden indicar que la en-
tidad tiene un crecimiento o rentabilidad inusual al compararla con otras en-
tidades de la misma industria. Tal información, especialmente si se combina

74
 con otros factores tales como bonos o incentivos de remuneraciones basados
en el desempeño, pueden indicar un riesgo potencial de sesgo por parte de la
Administración en la preparación de los estados financieros.

38. Mucha de la información utilizada en las mediciones de desempeño puede

ser generada por el sistema de información de la entidad. Si la Administra-
ción asume que la información utilizada para revisar el desempeño de la en-
tidad es exacta, sin tener base alguna para tal suposición, pueden existir
errores en la información, que podrían potencialmente causar que la Admi-
nistración llegue a conclusiones erróneas acerca del desempeño. Cuando el
auditor pretende utilizar las mediciones de desempeño para el propósito de
la auditoría (por ejemplo, para procedimientos analíticos), el auditor debiera
considerar si la información relacionada con la revisión de la Administra-
ción del desempeño de la entidad proporciona una base confiable y si es lo
suficientemente precisa para tal propósito. En el caso de utilizar mediciones
de desempeño, el auditor debiera considerar si son lo suficientemente exac-
tas para detectar representaciones incorrectas significativas.

39. Por lo general, las entidades más pequeñas no tienen procesos formales para
medir y revisar el desempeño financiero de la entidad. Sin embargo, la Ad-
ministración a menudo confía en ciertos indicadores claves que el conoci-
miento y la experiencia del negocio sugieren son bases fiables para la eva-
luación del rendimiento financiero y tomar las acciones apropiadas.

Control interno(8)

40. El auditor debiera obtener un entendimiento suficiente de los cinco compo-

nentes del control interno para evaluar el riesgo de representaciones inco-
rrectas significativas en los estados financieros debido a error o fraude y pa-
ra determinar la naturaleza, oportunidad y alcance de procedimientos de au-
ditoría adicionales. El auditor debiera obtener un entendimiento suficiente
realizando procedimientos de evaluación de riesgo para evaluar el diseño de
los controles pertinentes para una auditoría de estados financieros y para de-
terminar si han sido implementados. El auditor debiera utilizar tal conoci-
miento para.

 Identificar potenciales tipos de representaciones incorrectas.

 Considerar factores que afectan los riesgos de representaciones inco-

rrectas significativas.

 Diseñar pruebas de los controles (cuando sea aplicable) y de proce-

dimientos sustantivos.

(8)
Esta Sección reconoce la definición y descripción del control interno incluido en Internal Con-
trol—Integrated Framework [Control Interno – Marco Integrado], publicado por el Committee of
Sponsoring Organizations of the Treadway Commission (Informe COSO).

75
41. El control interno(9) es un proceso efectuado por los encargados del Gobier-
no Corporativo, Administración y otros miembros del personal, diseñado pa-
ra proporcionar una seguridad razonable respecto al logro de los objetivos
de la entidad con respecto a la fiabilidad del proceso de preparación y entre-
ga de información financiera, efectividad y eficiencia de las operaciones y
cumplimiento de leyes y regulaciones.(10) El control interno relativo a la pro-
tección de activos frente a una adquisición, utilización o venta no autoriza-
da, puede incluir controles relacionados con los objetivos del proceso de
preparación y entrega de información financiera y de operaciones. El control
interno comprende cinco componentes interrelacionados:

a. El ambiente de control refleja el estilo de una organización que in-

fluye en la conciencia de control de los miembros de la organización.
Es la base de todos los otros componentes del control interno, apor-
tando disciplina y estructura.

b. La evaluación de riesgo de la entidad es el proceso de identificación

y análisis que hace ésta de los riesgos pertinentes para lograr sus ob-
jetivos, estableciendo una base para determinar cómo se debieran
administrar los riesgos.

c. Los sistemas de información y comunicaciones sustentan la identifi-

cación, captura e intercambio de información de una forma y en un
plazo determinado que permiten a las personas cumplir con sus res-
ponsabilidades.

d. Las actividades de control son las políticas y procedimientos que

ayudan a asegurar que se estén aplicando las directrices de la Admi-
nistración.

e. El monitoreo es un proceso que evalúa la calidad de la gestión del

control interno a lo largo del tiempo.

El Anexo B contiene un análisis detallado acerca de los componentes del

control interno.

42. La división de control interno en los cinco componentes proporciona un

marco de referencia útil a los auditores para considerar cómo los diferentes
aspectos de control interno de una entidad pueden afectar la auditoría. La
división no refleja necesariamente cómo una entidad considera e implemen-
ta el control interno. También, la consideración primaria del auditor es sí y

(9)
El control interno también puede estar referido como la estructura de control interno.
(10)
Dependiendo de ésto es que el control interno es diseñado y efectuado para abordar los riesgos de
negocio que amenazan el cumplimiento de cualquiera de estos objetivos.

76
 cómo, un control específico previene o detecta y corrige representaciones
incorrectas significativas en las afirmaciones pertinentes a las clases de tran-
sacciones, saldos de cuentas, o revelaciones, más que su clasificación dentro
de un componente dado. En consecuencia, los auditores pueden utilizar ter-
minología o marcos de referencia distintos para describir los diversos aspec-
tos de control interno y su efecto sobre la auditoría, de los que se utilizan en
esta Sección, siempre y cuando se aborden todos los componentes descritos
en esta Sección.

43. La manera en la que el control interno se diseña e implementa varía de

acuerdo al tamaño y complejidad de la entidad. Específicamente, las entida-
des más pequeñas pueden utilizar medios menos formales y procesos y pro-
cedimientos más simples para alcanzar sus objetivos. Por ejemplo, las enti-
dades más pequeñas con una activa participación de la Administración en el
proceso de preparación y entrega de la información financiera, pueden no
tener descripciones de procedimientos de contabilidad o políticas escritas
detalladas. Para algunas entidades, especialmente aquellas muy pequeñas, el
dueño-administrador(11) puede efectuar funciones que en una entidad más
grande se considerarían como pertenecientes a varios de los componentes de
control interno. Por lo tanto, los componentes de control interno pueden no
distinguirse claramente dentro de las entidades más pequeñas, pero sus
propósitos subyacentes son igualmente válidos.

44. El auditor debiera obtener un entendimiento de la selección y aplicación de

políticas de contabilidad de la entidad y debiera considerar si son apropiados
para su negocio y consecuentes con principios de contabilidad generalmente
aceptados y las políticas de contabilidad utilizadas en la industria pertinen-
te,(12) o con una base integral de contabilidad distinta de los principios de
contabilidad generalmente aceptados(13). El entendimiento abarca los méto-
dos que la organización utiliza para registrar transacciones significativas e
inusuales, el efecto de políticas de contabilidad significativas en áreas con-
troversiales o emergentes para las cuales no existen guías autorizadas o con-
senso y los cambios en las políticas de contabilidad de la entidad. El auditor
también debiera identificar las normas del proceso de preparación y entrega
de información financiera y las regulaciones que son nuevas para la entidad
y considerar cuando y cómo la organización adoptará tales requerimientos.

(11)
Esta Sección utiliza el término dueño-administrador para indicar los propietarios de entidades que
están involucrados diariamente en la conducción de la entidad.
(12)
Ver Sección AU 411, El Significado de ―Presentan Razonablemente de Acuerdo a Principios de
Contabilidad Generalmente Aceptados‖.

(13)
El término base integral de contabilidad distinta a los principios de contabilidad generalmente
aceptados se encuentra definido en la Sección AU 623, Informes Especiales. De aquí en adelante, la
referencia a los principios de contabilidad generalmente aceptados en la presente Sección incluye,
cuando fuere aplicable, a otra base integral de contabilidad.

77
 Cuando la entidad ha cambiado la selección o el método para aplicar una
política de contabilidad significativa, el auditor debiera considerar las razo-
nes para el cambio y si es apropiado y consecuente con principios de conta-
bilidad generalmente aceptados.

45. La presentación de estados financieros de acuerdo con principios de contabi-

lidad generalmente aceptados debiera incluir una adecuada revelación de
asuntos significativos. Estos asuntos se relacionan con la forma, ordena-
miento y contenido de los estados financieros y sus notas anexas, incluyen-
do por ejemplo, la terminología utilizada, la cantidad de detalles entregados,
la clasificación de partidas en los estados financieros y las bases para los
montos presentados. El auditor debiera considerar si la entidad ha revelado
apropiadamente un asunto en particular a la luz de las circunstancias y
hechos de los cuales el auditor tiene conocimiento en ese momento.

46. Para los propósitos de esta Sección, el término control interno abarca los
cinco componentes de control interno mencionados anteriormente. Además,
el término controles se refiere a uno o más de los componentes o cualquier
aspecto de éstos.

Controles pertinentes al proceso de preparación y entrega de información fi-

nanciera fiable y para la auditoría

47. Existe una relación directa entre los objetivos de una entidad y los compo-
nentes de control interno que implementa para proporcionar una seguridad
razonable sobre su logro. Además, el control interno es pertinente para toda
la entidad o para cualquiera de sus unidades operativas o funciones de nego-
cios. Esta relación se grafica de la siguiente manera:

78
 Objetivos

Cumplimiento
Preparación y
entrega de in-
formación fi-

Operaciones
nanciera
Ambiente de control

Unidades
Componentes

Funciones
Evaluación del riesgo de la entidad

Información y comunicaciones

Actividades de control

Monitoreo Entidad

Aunque los objetivos de la entidad y por lo tanto los controles, se relacionen

con el proceso de preparación y entrega de información financiera, opera-
ciones y cumplimiento, como se menciona en el párrafo 41, no todos estos
objetivos y controles son pertinentes para la auditoría. Además, aunque el
control interno es aplicable a toda la entidad o a cualquiera de sus unidades
operativas o líneas de negocios, puede que no sea necesario para efectuar la
auditoría, un entendimiento del control interno relacionado a una unidad
operativa o líneas de negocios de la entidad.

48. Generalmente, los controles que son pertinentes para una auditoría pertene-
cen al objetivo de una entidad de preparar estados financieros que sean pre-
sentados de acuerdo con principios de contabilidad generalmente aceptados,
incluyendo el manejo de riesgos que pueden dar origen a un riesgo de repre-
sentaciones incorrectas significativas en esos estados financieros. Sin em-
bargo, no es necesario evaluar todos los controles en relación con la evalua-
ción de los riesgos de representaciones incorrectas significativas y diseñar y
efectuar procedimientos de auditoría adicionales en respuesta a los riesgos
evaluados. Es un asunto de juicio profesional del auditor en cuanto a los
controles o la combinación de controles que debieran ser evaluados. Sin
embargo, según se señala en el párrafo 115, en el caso de riesgos significati-
vos si el auditor aún no lo hubiera efectuado, éste debiera evaluar el diseño
de los controles relacionados de la entidad, incluyendo las actividades de
control pertinentes y determinar si han sido implementados. Al aplicar su
juicio, el auditor debiera considerar las circunstancias, el componente apli-
cable y factores tales como los siguientes:

 Importancia relativa.

79
  El tamaño de la entidad.

 La naturaleza del negocio de la entidad, incluyendo su organización

y sus características de propiedad.

 La diversidad y complejidad de las operaciones de la entidad.

 Exigencias legales y regulatorias aplicables.

 La naturaleza y complejidad de los sistemas que son parte del control

interno de la entidad, incluyendo el uso de organizaciones de servi-
cio.

49. Los controles sobre la integridad y precisión de la información producida

por la entidad también puede ser pertinente para la auditoría si el auditor
pretende hacer uso de la información al diseñar y efectuar procedimientos de
auditoría adicionales. La experiencia previa del auditor con la entidad y la
información obtenida en el entendimiento de la entidad y de su entorno y
durante la auditoría ayudan al auditor a identificar los controles pertinentes.

50. Los controles relacionados con los objetivos de operaciones y de cumpli-

miento(14) pueden ser pertinentes para una auditoría si se relacionan con in-
formación o datos que el auditor puede evaluar o utilizar al aplicar proce-
dimientos de auditoría. Por ejemplo, los controles que corresponden a datos
no financieros que el auditor puede utilizar en procedimientos analíticos, ta-
les como estadísticas de producción o controles relacionados con la detec-
ción del incumplimiento de leyes y regulaciones que pueden tener un efecto
directo y significativo en los estados financieros, tales como los controles
sobre cumplimiento de leyes de impuesto a la renta y reglamentos utilizados
para determinar la provisión de impuesto a la renta, pueden ser pertinentes
para una auditoría.

51. Una entidad generalmente tiene controles relacionados a objetivos que no

son pertinentes para una auditoría y por lo tanto no necesitan ser considera-
dos. Por ejemplo, una entidad puede confiar en un sofisticado sistema de
controles automatizados para proporcionar operaciones eficientes y efectivas
(como el sistema computarizado de programación de producción de una
planta manufacturera), pero estos controles generalmente no serían pertinen-
tes para la auditoría.

(14)
Un auditor puede necesitar considerar los controles pertinentes para el cumplimiento a los objeti-
vos de cumplimiento, al realizar una auditoría a un organismo gubernamental de acuerdo a normas
específicas para éstas.

80
52. El control interno relacionado con la protección de activos frente a una ad-
quisición, utilización o venta no autorizada puede incluir controles relacio-
nados con el proceso de preparación y entrega de información financiera,
como asimismo con los objetivos de las operaciones. Al obtener un enten-
dimiento de cada uno de los componentes de control interno, la considera-
ción del auditor de controles de protección de activos está limitada general-
mente a aquellos pertinentes y a la fiabilidad del proceso de preparación y
entrega de información financiera. Por ejemplo, el uso de controles de acce-
so, tales como las contraseñas, que limitan el acceso a los datos y programas
que procesan los desembolsos de efectivo pueden ser pertinentes en la audi-
toría de estados financieros. A la inversa, los controles de protección de ac-
tivos relacionados con los objetivos de las operaciones, tales como los con-
troles para evitar el uso excesivo de materiales en la producción, general-
mente no son pertinentes a la auditoría de estados financieros.

53. Los controles pertinentes a la auditoría pueden existir en cualquiera de los

componentes de control interno y un análisis adicional de los controles per-
tinentes a una auditoría está comprendido bajo el título de cada componente
de control interno mencionado en párrafos posteriores (ver párrafos 67 al
101). Además, los párrafos 115 y 117 analizan ciertos riesgos para los cua-
les el auditor debiera evaluar el diseño de los controles de la entidad sobre
tales riesgos y determinar si han sido implementados.

Profundidad del entendimiento del control interno

54. Obtener un entendimiento del control interno implica evaluar el diseño de

un control y determinar si ha sido implementado. Evaluar el diseño de un
control implica considerar si el control, de manera individual o en combina-
ción con otros controles, es capaz de prevenir o detectar y corregir efectiva-
mente representaciones incorrectas significativas. Una explicación adicional
está incluida en el análisis de cada componente de control interno mostrado
en párrafos posteriores (ver párrafos 67 al 101). La implementación de un
control significa que éste existe y que la entidad lo está utilizando. El audi-
tor debiera considerar el diseño de un control al determinar si considera su
implementación. Un control mal diseñado puede representar una debilidad
importante(15) en el control interno de la entidad y el auditor debiera consi-
derar si tiene que comunicar ésto a los encargados del Gobierno Corporativo
y a la Administración.

55. Según lo indicado en el párrafo 6, el auditor debiera efectuar procedimientos

de evaluación de riesgos para obtener un entendimiento del control interno.

(15)
Una debilidad importante es una deficiencia o una combinación de éstas en el control interno tal
que existe la razonable posibilidad que una representación incorrecta significativa en los estados
financieros de la entidad no será prevenida o no será detectada ni corregida oportunamente.

81
 Los procedimientos para obtener evidencia de auditoría sobre el diseño y la
implementación de controles pertinentes puede incluir la indagación al per-
sonal de la entidad, la observación de la aplicación de controles específicos,
la inspección de documentos e informes y efectuando un seguimiento del
curso de las transacciones a través del sistema de información pertinente al
proceso de preparación y entrega de información financiera. La indagación
por sí sola no es suficiente para evaluar el diseño de un control pertinente a
una auditoría y para determinar si ha sido implementado.

56. Obtener un entendimiento de los controles de una entidad no es suficiente

como prueba de la efectividad de la operación de los controles, a menos que
exista algún tipo de automatización(16) que proporcione una aplicación uni-
forme de la operación del control (los elementos manuales y automatizados
del control interno pertinentes a la auditoría son descritos más adelante). Por
ejemplo, obtener evidencia de auditoría sobre la implementación de un con-
trol que opera manualmente en un momento dado no proporciona evidencia
de auditoría acerca de la operación efectiva del control en otro momento
dentro del período bajo auditoría. Sin embargo, TI permite que una entidad
procese grandes volúmenes de información uniformemente y mejora la ca-
pacidad de la entidad para monitorear el desempeño de las actividades de
control y lograr una efectiva segregación de funciones implementando con-
troles de seguridad en aplicaciones, bases de datos y sistemas operativos.
Por lo tanto, ya que generalmente el procesamiento de TI es inherentemente
uniforme, al realizar procedimientos de auditoría para determinar si un con-
trol automatizado se ha implementado, puede servir como prueba de la ope-
ración efectiva de ese control, dependiendo de la evaluación y pruebas por
parte del auditor de los controles generales de TI, incluyendo la seguridad
sobre el computador y sobre el control de cambios de programas. Las prue-
bas de la operación efectiva de los controles son descritos en más detalle en
la Sección AU 318.

Características de los elementos manuales y automatizados del control interno

pertinentes a la evaluación de riesgos por el auditor

57. Efecto de la tecnología de información sobre el control interno. La utiliza-

ción de TI por parte de una entidad puede afectar a cualquiera de los cinco
componentes del control interno pertinentes al logro de los objetivos de la
entidad: (1) del proceso de preparación y entrega de información financiera,
(2) de sus operaciones y (3) del cumplimiento de sus unidades operacionales
o de sus líneas de negocio. Por ejemplo, una organización puede utilizar TI
como parte de los sistemas no integrados que sólo apoyan a unidades parti-
culares del negocio, funciones o actividades, tales como un sistema único de
cuentas por cobrar para una unidad de negocios en particular o un sistema
que controle la operación de los equipos de fábrica. De manera alternativa,
una entidad puede contar con sistemas complejos y altamente integrados que
(16)
Esto es suponiendo que existen los controles generales efectivos de TI.

82
 comparten datos y que son utilizados para apoyar todos los aspectos de los
objetivos del proceso de preparación y entrega de información financiera, de
las operaciones y de cumplimiento de una entidad.

58. El uso de TI también afecta la manera fundamental en la cual las transaccio-

nes son iniciadas, autorizadas, registradas, procesadas e informadas.(17) En
un sistema manual, la entidad utiliza procedimientos manuales y registra en
papel (por ejemplo, las personas pueden registrar manualmente las órdenes
de venta en formularios o libros diarios, autorizar créditos, preparar infor-
mes de despacho y facturas y mantener los registros de cuentas por cobrar).
Los controles en tal sistema también son manuales y pueden incluir proce-
dimientos tales como aprobaciones y revisiones de actividades y concilia-
ciones y seguimiento de las partidas en conciliación. Alternativamente, una
entidad puede tener sistemas de información que utilicen procedimientos au-
tomatizados para iniciar, autorizar, registrar, procesar e informar transaccio-
nes en cuyo caso los registros en formato electrónico reemplazan documen-
tos en papel como las órdenes de compra, facturas, documentos de despacho
y registros de contabilidad relacionados. Los controles en los sistemas que
utilizan TI consisten en una combinación de controles automatizados (por
ejemplo, controles insertos en programas computacionales) y controles ma-
nuales. Además, los controles manuales pueden ser independientes de TI,
pueden utilizar información producida por TI o pueden limitarse a monito-
rear el efectivo funcionamiento de TI y de los controles automatizados y pa-
ra manejar las excepciones. Cuando se usa TI para iniciar, autorizar, regis-
trar, procesar o informar transacciones u otra información financiera para su
inclusión en los estados financieros, los sistemas y programas pueden incluir
controles relacionados con las respectivas afirmaciones para las cuentas sig-
nificativas o puede ser crítica para el efectivo funcionamiento de los contro-
les manuales que dependen de TI. La combinación de los controles manua-
les y automatizados de una entidad varía con la naturaleza y complejidad del
uso de TI por parte de la entidad.

59. Generalmente, TI proporciona beneficios potenciales de efectividad y efi-

ciencia para el control interno de una entidad porque le permite:

 Aplicar uniformemente normas de negocios predefinidas y efectuar

cálculos complejos al procesar grandes volúmenes de transacciones
o datos.

 Mejorar la oportunidad, disponibilidad y precisión de la información.

 Facilitar el análisis adicional de información.

(17)
El párrafo B9 del Anexo B define iniciación, autorización, registro, procesamiento de la informa-
ción financiera como se utiliza en toda esta Sección.

83
  Mejorar la capacidad de monitorear el desempeño de las actividades
de la entidad y sus políticas y procedimientos.

 Reducir el riesgo que se haga caso omiso de los controles.

 Mejorar la capacidad de lograr una segregación efectiva de las fun-

ciones implementando controles de seguridad en aplicaciones, bases
de datos y sistemas de las operaciones.

60. TI también plantea riesgos específicos para el control interno de una enti-
dad, incluyendo:

 Confianza en los sistemas o programas que están procesando datos

incorrectamente y/o procesando información incorrecta.

 Acceso no autorizado a datos que puede resultar en la destrucción de

datos o cambios indebidos a éstos, incluyendo el registro de transac-
ciones no autorizadas o inexistentes o el registro incorrecto de tran-
sacciones.

 Cambios no autorizados en los datos de los archivos maestros.

 Cambios no autorizados en los sistemas o programas.

 Falla en efectuar cambios necesarios a los sistemas o programas.

 Intervención manual inapropiada.

 Pérdida potencial de datos o incapacidad de acceder a la información

como se requiere.

61. El alcance y naturaleza de estos riesgos para el control interno varían de-
pendiendo de la naturaleza y las características del sistema de información
de la entidad. Por ejemplo, múltiples usuarios, sean externos o internos,
pueden acceder a una base de datos común de información que afecta al
proceso de preparación y entrega de información financiera. En tales cir-
cunstancias, la falta de control en un punto de entrada de un usuario indivi-
dual podría comprometer la seguridad de la base de datos completa, causan-
do potencialmente cambios indebidos o la destrucción de información.
Cuando el personal de TI o un usuario es autorizado o pueden obtener privi-
legios de acceso más allá de los que son necesarios para realizar sus funcio-
nes asignadas, puede fallar la segregación de funciones. Esto podría resultar
en transacciones no autorizadas o cambios a programas o datos que afecten
a los estados financieros. Por lo tanto, la naturaleza y las características del
uso de TI de una entidad en su sistema de información afectan el control in-
terno de la entidad.

84
62. Los controles manuales de los sistemas pueden ser más adecuados donde el
juicio y la discreción son requeridos, tal como en las siguientes circunstan-
cias:

 Transacciones grandes, inusuales o no recurrentes.

 Circunstancias donde las representaciones incorrectas son difíciles

de definir, anticipar o predecir.

 En circunstancias cambiantes que requieren una respuesta de control

fuera del alcance de un control automatizado existente.

 En monitorear la efectividad de los controles automatizados.

63. Los controles manuales son realizados por personas y, por lo tanto, presen-
tan riesgos específicos al control interno de la entidad. Los controles manua-
les pueden ser menos fiables que los automatizados porque pueden ser elu-
didos más fácilmente , ignorados o hacer caso omiso de ellos. También, son
más propensos a errores y equivocaciones. La uniformidad en la aplicación
de un elemento de control manual no puede ser asumida. Los sistemas ma-
nuales pueden ser menos apropiados para lo siguiente:

 Altos volúmenes de transacciones o de transacciones recurrentes o

en situaciones donde los errores que pueden ser anticipados o prede-
cidos pueden ser prevenidos o detectados por parámetros de control
que son automatizados.

 Actividades de control donde las formas específicas de efectuar el

control pueden ser diseñadas y automatizadas adecuadamente.

Limitaciones del control interno

64. El control interno, sin importar lo bien diseñado y operado que sea, sola-
mente puede proporcionar a una entidad una seguridad razonable, pero no
absoluta, respecto al logro de los objetivos de la entidad. La probabilidad de
logro se ve afectada por las limitaciones inherentes al control interno. Estas
incluyen la realidad que en la toma de decisiones el juicio puede ser imper-
fecto y que las fallas en el control interno pueden ocurrir debido a errores o
equivocaciones humanos. Por ejemplo, si el personal del sistema de infor-
mación de una entidad no entiende suficientemente cómo el sistema procesa
las transacciones de venta, pueden diseñar cambios al sistema que procesará
erróneamente las ventas de una nueva línea de productos. Por otra parte, ta-
les cambios pueden ser correctamente diseñados pero mal entendidos por las
personas que traducen el diseño a un programa de código. Los errores tam-
bién pueden ocurrir en el uso de la información generada por TI. Por ejem-

85
 plo, los controles automatizados pueden ser diseñados para informar tran-
sacciones sobre un monto especificado para su revisión por la Administra-
ción, pero las personas responsables de la revisión pueden no entender el
propósito de tales informes y, en consecuencia, pueden no revisarlos o no
investigar las partidas inusuales.

65. Además, los controles, ya sean manuales o automatizados se pueden evadir

por la colusión de dos o más personas, o por hacer caso omiso del control
interno por parte de la Administración. Por ejemplo, la Administración pue-
de efectuar acuerdos con clientes que no son revelados los cuales alteran los
términos y condiciones de los contratos de ventas estándar de la entidad, lo
cual puede llevar a un reconocimiento inadecuado del ingreso. También las
pruebas de edición de un software que están diseñadas para identificar e in-
formar transacciones que excedan de los límites de crédito especificados,
pueden ser ignorados o inhabilitados.

66. Las entidades más pequeñas tienen menos empleados, lo cual puede limitar
el alcance al cual la segregación de funciones es practicable. Sin embargo,
para áreas clave, incluso en una entidad muy pequeña, puede ser practicable
implementar algún grado de segregación de funciones u otra forma de con-
troles no sofisticados, pero efectivos. El potencial para hacer caso omiso de
los controles por parte del dueño-administrador depende en gran medida del
ambiente de control y en particular de las actitudes del dueño-administrador
respecto a la importancia del control interno.

Componentes del control interno

67. Ambiente de control. El ambiente de control fija el tono de una organiza-

ción, influenciando la conciencia de control de su personal. Es la base de to-
dos los otros componentes de control interno, proporcionando disciplina y
estructura.

68. La principal responsabilidad para la prevención y detección de fraudes y

errores reside en los encargados del Gobierno Corporativo y en la Adminis-
tración de la entidad. Al obtener un entendimiento del ambiente de control,
el auditor debiera considerar el diseño y la implementación de los programas
y controles de la entidad para abordar el riesgo de fraude según lo analizado
en la Sección AU 316. La ausencia o inadecuacidad de tales programas y
controles pueden constituir una deficiencia significativa o una debilidad im-
portante. Un ejemplo de tales programas es el “proceso de delación” para
que los empleados informen de manera confidencial cualquier actividad
fraudulenta conocida o sospechada.

69. Al evaluar el diseño del ambiente de control de la entidad, el auditor debiera

considerar los siguientes elementos y cómo han sido incorporados éstos a
los procesos de la entidad:

86
 a. Comunicar y hacer respetar la integridad y los valores éticos. Ele-
mentos esenciales que influencian la efectividad del diseño, la admi-
nistración y el monitoreo de los controles.

b. Compromiso con la competencia. La consideración de la Adminis-

tración de los niveles de competencia para trabajos particulares y
cómo aquellos niveles se traducen en requisitos de habilidades y co-
nocimiento.

c. Participación de los encargados del Gobierno Corporativo. Su inde-

pendencia, respecto a la Administración, la experiencia y la categoría
de sus integrantes, el alcance de su participación y el examen riguro-
so de las actividades de la entidad, la información que recibe, el tipo
de preguntas complejas que ellos plantean y por las cuales se exige
una respuesta por parte de la Administración, como asimismo su in-
teracción con los auditores internos y externos.

d. Filosofía de la Administración y estilo de operación. El enfoque de

la Administración para tomar y administrar riesgos del negocio y las
actitudes y acciones de la Administración en el proceso de prepara-
ción y entrega de información financiera, procesamiento de la infor-
mación y las funciones de contabilidad y del personal.

e. Estructura organizacional. El marco dentro del cual las actividades

de una entidad son planificadas, efectuadas, controladas y revisadas
para alcanzar sus objetivos.

f. Asignación de autoridad y responsabilidad. Cómo son asignadas la

autoridad y responsabilidad respecto a las operaciones y cómo se es-
tablecen las relaciones para comunicarse entre los distintos niveles y
las jerarquías de autorización respectivos.

g. Políticas y prácticas de recursos humanos. Actividades de contrata-

ción, orientación, capacitación, evaluación, consejería, promoción,
compensación y las relacionadas con medidas correctivas.

Por ejemplo, la respuesta de la Administración a las deficiencias de control

interno informadas en períodos anteriores se puede relacionar con uno o más
de los elementos antes mencionados, tales como el compromiso con la com-
petencia o con la filosofía de la Administración y su estilo de operación.

70. El auditor debiera obtener suficiente conocimiento del ambiente de control

para entender las actitudes, conciencia y actividades de quienes están encar-
gados del Gobierno Corporativo en relación con el control interno de la en-
tidad y de su importancia para lograr el proceso de preparación y entrega de

87
 información financiera fiable. Al entender el ambiente de control, el auditor
debiera concentrarse en la implementación de controles ya que éstos pueden
estar establecidos pero no estar operando.

71. Las responsabilidades de los encargados del Gobierno Corporativo son de

gran importancia. Esto está reconocido en códigos de buenas prácticas y
otras regulaciones o guías preparadas para facilitar el trabajo de los integran-
tes del Gobierno Corporativo. La base de la remuneración de la Administra-
ción, especialmente la compensación relacionada con el desempeño ejecuti-
vo, explica la presión que existe sobre la Administración, proveniente de
demandas contrapuestas entre la preparación de información financiera ra-
zonable y los beneficios que representan para los accionistas un resultado
deliberamente mejorado. Este es uno, pero no el único rol de los integrantes
del Gobierno Corporativo de contrapesar tales presiones. Al entender el am-
biente de control, el auditor debiera considerar temas tales como la indepen-
dencia de los Directores y su capacidad para evaluar las actividades de la
Administración. El auditor también debiera considerar si existe un grupo
dentro del Gobierno Corporativo que entienda las transacciones de negocios
de la entidad y evalúe si los estados financieros están razonablemente pre-
sentados de acuerdo con principios de contabilidad generalmente aceptados.

72. Al entender los elementos del ambiente de control, el auditor debiera consi-
derar si éstos han sido implementados. El auditor debiera obtener suficiente
y apropiada evidencia de auditoría a través de una combinación de indaga-
ciones y otros procedimientos de evaluación de riesgos, por ejemplo, corro-
borando las indagaciones a través de la observación o inspección de docu-
mentos. A través de indagaciones a la Administración y empleados, el audi-
tor puede entender cómo la Administración les comunica a éstos su visión
respecto a las prácticas de negocios y comportamiento ético. El auditor de-
biera determinar si los controles han sido implementados considerando, por
ejemplo, si la Administración ha establecido un código de conducta formal y
si actúa en una manera que respalda o reprueba infracciones o autoriza ex-
cepciones al código de conducta.

73. La evidencia de auditoría para los elementos del ambiente de control puede
no estar disponible en la forma de documentos, particularmente para las en-
tidades más pequeñas donde la comunicación entre la Administración y el
personal puede ser informal, pero efectiva. Por ejemplo, el compromiso de
la Administración con los valores éticos y con la competencia son general-
mente implementados más bien a través del comportamiento y la actitud que
se demuestran al administrar los negocios de la entidad, en lugar de un
código de conducta escrito. En consecuencia, las actitudes, la conciencia y
las actitudes de la Administración son de particular importancia en el diseño
del ambiente de control de una entidad más pequeña. Además, el rol de los
encargados del Gobierno Corporativo, es realizado generalmente por el due-
ño-administrador cuando no existen otros dueños.

88
74. Al obtener el entendimiento del ambiente de control, el auditor también de-
biera considerar el efecto colectivo sobre el ambiente de control de las forta-
lezas y debilidades en varios elementos de éste. Las fortalezas y debilidades
de la Administración pueden tener un efecto significativo sobre el control
interno. Por ejemplo, los controles del dueño-administrador pueden mitigar
una falta de segregación de funciones en los negocios pequeños o un Direc-
torio activo e independiente puede influenciar la filosofía y el estilo de ope-
ración de la Administración Superior en las entidades más grandes. Alterna-
tivamente, el incumplimiento de la Administración de proporcionar los re-
cursos suficientes para abordar los riesgos de seguridad presentados por TI,
puede afectar de manera adversa al control interno al permitir cambios inde-
bidos en los programas computacionales o en los datos o al permitir el pro-
cesamiento de transacciones no autorizadas. De igual manera, las políticas
de recursos humanos y las prácticas dirigidas al contratar personal financie-
ro, de contabilidad y de TI competente puede no mitigar un fuerte sesgo de
la Administración Superior por “sobreestimar” los ingresos.

75. La existencia de un ambiente de control satisfactorio es un factor positivo

cuando el auditor evalúa los riesgos de representaciones incorrectas signifi-
cativas de los estados financieros. Aunque un ambiente de control efectivo
no es un impedimiento absoluto al fraude debido a las limitaciones del con-
trol interno, podría ayudar a reducir los riesgos de fraude. Debido al signifi-
cativo efecto del ambiente de control al evaluar los riesgos de representacio-
nes incorrectas significativas, el juicio preliminar del auditor sobre su efec-
tividad generalmente influye en la naturaleza, oportunidad y el alcance de
los procedimientos de auditoría adicionales a ser efectuados. Por ejemplo,
las debilidades en el ambiente de control pueden llevar al auditor a realizar
procedimientos más sustantivos a la fecha del balance general en lugar de a
una fecha intermedia, modificar la naturaleza de las pruebas de los controles
o procedimientos sustantivos para obtener evidencia más persuasiva o au-
mentar el número de localidades a incluir en el alcance de la auditoría. A la
inversa, un ambiente de control efectivo puede permitir al auditor tener
algún grado de confianza adicional en el control interno y de la fiabilidad de
evidencia generada internamente dentro de la entidad y así, por ejemplo,
permitirle realizar pruebas de los controles y procedimientos sustantivos en
una fecha intermedia en lugar que a la fecha del balance general. Sin embar-
go, el ambiente de control no es comúnmente lo suficientemente específico
para prevenir o detectar representaciones incorrectas significativas en los
saldos de cuentas, clases de transacciones, o revelaciones y sus respectivas
afirmaciones. Por lo tanto, el auditor debiera considerar el efecto de otros
componentes del control interno conjuntamente con el ambiente de control
cuando evalúe los riesgos de representaciones incorrectas significativas, por
ejemplo, el monitoreo de controles y la operación de actividades de control
específicas.

89
76. El proceso de evaluación de riesgos de la entidad. El proceso de evaluación
de riesgos de una entidad para propósitos del proceso de preparación y en-
trega de información financiera es su identificación, análisis y administra-
ción de los riesgos pertinentes a la preparación de estados financieros que
son presentados razonablemente de acuerdo con principios de contabilidad
generalmente aceptados. Por ejemplo, la evaluación de riesgos podría de-
terminar como la entidad considera la posibilidad de transacciones no regis-
tradas o identifica y analiza las estimaciones significativas registradas en los
estados financieros. Los riesgos pertinentes al proceso de preparación y en-
trega de información financiera fiable también se relacionan con hechos o
transacciones específicos.

77. Los riesgos pertinentes al proceso de preparación y entrega de información

financiera incluyen hechos y circunstancias externas e internas que pueden
ocurrir y afectar adversamente la capacidad de una entidad de iniciar, auto-
rizar, registrar, procesar y presentar información financiera consecuente con
las afirmaciones de la Administración en los estados financieros.(18) Los
riesgos pueden surgir o cambiar debido a circunstancias como las que se in-
dican a continuación:

 Cambios en el entorno de la operación

 Personal nuevo

 Sistemas de información nuevos o modernizados

 Crecimiento rápido

 Nueva tecnología

 Nuevos modelos de negocios, productos o actividades

 Reestructuraciones corporativas

 Ampliación de operaciones en el extranjero

 Nuevos pronunciamientos de contabilidad

78. El auditor debiera obtener un conocimiento suficiente del proceso de eva-

luación de riesgos de la entidad para entender cómo la Administración con-
sidera los riesgos pertinentes para los objetivos del proceso de preparación y
entrega de información financiera y decide las acciones para abordar esos
riesgos. Al evaluar el diseño y la implementación del proceso de evaluación
de riesgos de la entidad, el auditor debiera considerar cómo la Administra-

(18)
Estas afirmaciones son analizadas en la Sección AU 326 Evidencia de Auditoría.

90
 ción identifica los riesgos de negocio pertinentes al proceso de preparación y
entrega de información financiera, estima la importancia de los riesgos,
evalúa la probabilidad que ocurran y decide las acciones para administrarlos.
El proceso de evaluación de riesgos de una entidad para el proceso de prepa-
ración y entrega de información financiera que abarca los elementos de con-
trol interno aquí incluidos pueden ser parte del marco de administración de
riesgos de una entidad. Como tales, los auditores debieran enfocarse en as-
pectos del marco que afecten los riesgos de representaciones incorrectas
significativas en el proceso de preparación y entrega de la información fi-
nanciera. Si el proceso de evaluación de riesgos de la entidad es apropiado a
las circunstancias, éste ayuda al auditor a identificar los riesgos de represen-
taciones incorrectas significativas.

79. El auditor debiera indagar sobre los riesgos del negocio que la Administra-
ción ha identificado y debiera considerar si pueden resultar en representa-
ciones incorrectas significativas de los estados financieros. El proceso de
evaluación de riesgos de una entidad difiere de la consideración del auditor
del riesgo de auditoría en una auditoría de estados financieros. El propósito
del proceso evaluación de riesgos de una entidad es identificar, analizar y
administrar los riesgos que afectan a los objetivos de la entidad. En una au-
ditoría de estados financieros, el auditor evalúa los riesgos para evaluar la
probabilidad que representaciones incorrectas significativas podrían ocurrir
en los estados financieros. No todos los riesgos de la entidad son necesaria-
mente riesgos de auditoría. Sin embargo, el proceso de evaluación de riesgos
de una entidad puede afectar la consideración del auditor del riesgo de audi-
toría. Durante la auditoría, el auditor puede identificar los riesgos del nego-
cio o los riesgos de representaciones incorrectas significativas en los estados
financieros que la Administración no identificó. En tales casos, el auditor
debiera considerar por qué el proceso de evaluación de riesgos de la entidad
no identificó los riesgos y si el proceso es apropiado a sus circunstancias.

80. En una entidad más pequeña, la Administración puede no tener un proceso

formal de evaluación de riesgos como se describió en el párrafo 76. Para ta-
les entidades el auditor debiera analizar con la Administración cómo los
riesgos del negocio son identificados por la Administración y cómo son
abordados.

81. El sistema de información, el cual incluye los procesos de negocios perti-

nentes relacionados con la preparación y entrega de información finan-
ciera, como asimismo de las comunicaciones. El sistema de información
pertinente a los objetivos del proceso de preparación y entrega de informa-
ción financiera, el cual incluye al sistema de contabilidad, consiste en los
procedimientos, sean estos automatizados o manuales y los registros esta-
blecidos para iniciar, autorizar, registrar, procesar e informar transacciones
de la entidad (como asimismo los hechos y condiciones) y para mantener la
responsabilidad por una debida rendición de cuentas respecto a los activos,

91
 pasivos y patrimonio relacionados. La calidad de la información generada
por un sistema afecta la capacidad de la Administración para tomar las deci-
siones apropiadas para controlar las actividades de la entidad y para preparar
información financiera fiable.

82. La comunicación implica proporcionar un entendimiento de los roles indivi-

duales y las responsabilidades relacionadas con el control interno sobre el
proceso de preparación y entrega de información financiera.

83. El auditor debiera obtener el conocimiento suficiente de los procesos de ne-

gocios y del sistema de información relacionados con el proceso de prepara-
ción y entrega de información financiera, para poder entender:

 Las clases de transacciones en las operaciones de la entidad que son

significativas para los estados financieros.

 Los procedimientos, dentro de sistemas automatizados y manuales,

por los cuales esas transacciones son iniciadas, autorizadas, registra-
das, procesadas e informadas en los estados financieros.

 Los registros contables relacionados, sean electrónicos o manuales,

información sustentatoria y cuentas específicas en los estados finan-
cieros involucrados en la iniciación, autorización, registro, procesa-
miento e información de las transacciones.

 Cómo el sistema de información captura hechos y condiciones que

son significativos para los estados financieros, distintos a las clases
de transacciones.

 El proceso de preparación y entrega de información financiera utili-

zado para preparar los estados financieros de la entidad, incluyendo
estimaciones contables y revelaciones significativas.

84. Cuando se utiliza TI para iniciar, autorizar, registrar, procesar o informar

transacciones u otros datos financieros para ser incluidos en los estados fi-
nancieros, los sistemas y programas pueden comprender controles relacio-
nados con las afirmaciones correspondientes a cuentas significativas o pue-
den ser críticos para el efectivo funcionamiento de controles manuales que
dependen de TI.

85. El auditor también debiera obtener un entendimiento de cómo se resuelve el

procesamiento incorrecto de transacciones. Por ejemplo, tal entendimiento
podría incluir si existe un archivo transitorio automatizado, cómo es utiliza-
do por la entidad para asegurar que partidas transitorias sean aclaradas opor-
tunamente y cómo se procesan y contabilizan cuando se ha hecho caso omi-
so de, o evitado de otra forma, los controles de los sistemas.

92
86. Al obtener un entendimiento del proceso de preparación y entrega de infor-
mación financiera (incluyendo el proceso de cierre), el auditor debiera obte-
ner un entendimiento de los procedimientos automatizados y manuales que
utiliza una entidad para preparar los estados financieros y las revelaciones
relacionadas y cómo pueden ocurrir representaciones incorrectas. Tales pro-
cedimientos incluyen aquellos utilizados para:

 Ingresar totales de transacciones al libro mayor (o registro equiva-

lente). En algunos sistemas de información, se puede usar TI para
transferir tal información automáticamente desde los sistemas de
procesamiento de transacciones al libro mayor o a los sistemas del
proceso de preparación y entrega de información financiera. Los
procesos automatizados y los controles en tales sistemas pueden re-
ducir el riesgo de errores inadvertidos pero no eliminan el riesgo que
personas puedan inapropiadamente hacer caso omiso de tales proce-
sos automatizados, por ejemplo, modificando los montos que están
siendo traspasados automáticamente al libro mayor o al sistema del
proceso de preparación y entrega de información financiera.
Además, al planificar la auditoría, el auditor debiera estar conciente
que cuando se utiliza TI para transferir información de manera au-
tomática, puede existir poca o ninguna evidencia de tal intervención
en los sistemas de información.

 Iniciar, autorizar, registrar y procesar asientos de diario en el libro

mayor. El proceso de preparación y entrega de información financie-
ra de una entidad utilizado para preparar los estados financieros, típi-
camente incluye el uso de asientos de diario estándar que son reque-
ridos recurrentemente para registrar transacciones tales como las
ventas, compras y desembolsos en efectivo, o para registrar estima-
ciones contables que son efectuadas periódicamente por la Adminis-
tración, como los cambios en la estimación de cuentas por cobrar in-
cobrables. El proceso de preparación y entrega de información fi-
nanciera de una entidad también incluye el uso de asientos de diario
no estándar para contabilizar transacciones o ajustes no recurrentes o
inusuales tales como la combinación o venta de negocios o una esti-
mación no recurrente, como un deterioro de un activo. En los siste-
mas manuales en los que los libros mayores están basados en papel,
tales asientos de diario, pueden ser identificados a través de la ins-
pección de libros mayores, diarios y documentación de respaldo. Sin
embargo, cuando se utiliza TI para mantener el libro mayor y prepa-
rar los estados financieros, tales asientos pueden existir sólo en for-
ma electrónica y se pueden identificar de manera más fácil a través
del uso de técnicas de auditoría asistidas por computador.

93
  Iniciar y registrar ajustes recurrentes y no recurrentes a los estados
financieros. Estos son procedimientos relacionados con los ajustes y
reclasificaciones que no están reflejados en los asientos de diario
formales.

 Combinar y consolidar la información del libro mayor. Esto incluye

los procedimientos para combinar las cuentas detalladas del libro
mayor, preparar el balance de comprobación y saldos y preparar la
información financiera consolidada (por ejemplo, transfiriendo in-
formación del libro mayor y efectuando ajustes de asientos de diario
en un sistema de consolidación o en una planilla de resumen; reali-
zando rutinas de consolidación y rutinas de conciliación y revisando
la información financiera consolidada, incluyendo la información en
las notas).

 Preparar estados financieros y sus revelaciones. Estos son procedi-

mientos diseñados para asegurar que la información requerida para
ser presentada y revelada esté acumulada, contabilizada, procesada,
resumida y apropiadamente informada en los estados financieros.

87. El auditor debiera obtener un entendimiento del sistema de información de

la entidad pertinente al proceso de preparación y entrega de información fi-
nanciera de una manera que sea apropiada a las circunstancias de la entidad.
Esto incluye obtener un entendimiento de cómo se originan las transaccio-
nes dentro de los procesos de negocios de la entidad. Los procesos de nego-
cios de una entidad son las actividades diseñadas para desarrollar, comprar,
producir, vender y distribuir los productos y servicios de una entidad, asegu-
rar el cumplimiento de las leyes y regulaciones y registrar la información,
incluyendo la información de contabilidad y del proceso de preparación y
entrega de información financiera.

88. El auditor debiera obtener el suficiente conocimiento del componente de

comunicación para entender cómo la entidad comunica los roles y las res-
ponsabilidades en el proceso de preparación y entrega de información finan-
ciera y temas significativos relacionados con el proceso de preparación y en-
trega de información financiera. La comunicación implica proporcionar un
entendimiento de los roles individuales y de las responsabilidades relaciona-
das con el control interno sobre el proceso de preparación y entrega de in-
formación financiera y pueden tomar formas como manuales de políticas y
manuales para el proceso de preparación y entrega de información financie-
ra. Además, incluye el grado en que el personal entiende cómo sus activida-
des en el sistema de proceso de preparación y entrega de la información fi-
nanciera, se relacionan con el trabajo de otros y los medios para informar
excepciones a un apropiado nivel superior dentro de la entidad. Los canales
de comunicación abiertos ayudan a asegurar que las excepciones sean in-
formadas y se actúe de acuerdo a éstas. El entendimiento del auditor de la

94
 comunicación relacionada con los temas del proceso de preparación y entre-
ga de información financiera también incluye las comunicaciones entre la
Administración y los encargados del Gobierno Corporativo, particularmente
el Comité de Auditoría, así como las comunicaciones externas, tales como
con organismos reguladores.

89. Actividades de control. El auditor debiera obtener un entendimiento de

aquellas actividades de control pertinentes a la auditoría. Las actividades de
control son las políticas y procedimientos que ayudan a asegurar que las di-
rectrices de la Administración se lleven a cabo. Por ejemplo, que las accio-
nes necesarias sean tomadas para administrar los riesgos que amenazan el
logro de los objetivos de la entidad. Las actividades de control, sean auto-
matizadas o manuales, tienen varios objetivos y son aplicadas en distintos
niveles organizacionales y funcionales. Ejemplos de actividades de control
específicas, incluyen los siguientes:

 Autorización. Las actividades de control relacionadas con la inicia-

ción de derivados y otras transacciones no incluidas en el balance
general pueden ser pertinentes al diseño de procedimientos de audi-
toría a efectuar por el auditor relacionados con la afirmación de inte-
gridad.

 Segregación de funciones. Si el personal responsable de registrar es-

timaciones de cuentas incobrables es independiente del personal que
autoriza las transacciones de venta puede ser pertinente al diseño de
procedimientos de auditoría relacionados con la afirmación de valo-
rización.

 Protección. Las actividades de control relacionadas con que las exis-

tencias se encuentran almacenadas de forma segura y el movimiento
y acceso a éstas está limitado a personas autorizadas, puede ser per-
tinente al diseño de procedimientos de auditoría relacionados con la
afirmación de existencia, particularmente la consideración del audi-
tor respecto al número de localidades a visitar.

 Responsabilidad de rendir cuenta por los activos. Las actividades de

control relacionadas con la conciliación de los registros detallados al
libro mayor son necesarios normalmente para diseñar y efectuar pro-
cedimientos de auditoría para clases de transacciones significativas y
saldos de cuentas.

90. El auditor debiera considerar el conocimiento sobre la presencia o ausencia

de actividades de control obtenido del entendimiento de los otros compo-
nentes de control interno en determinar si es necesario poner especial aten-
ción para obtener un entendimiento de las actividades de control. Una audi-
toría no requiere un entendimiento de todas las actividades de control rela-

95
 cionadas a cada clase de transacciones, saldos de cuentas y revelaciones en
los estados financieros o a cada afirmación pertinente. Comúnmente, las ac-
tividades de control que pueden ser pertinentes para una auditoría incluyen a
aquellas relacionadas con autorización, segregación de funciones, protección
de activos y responsabilidad de rendir cuenta por los activos incluyendo por
ejemplo, conciliaciones del libro mayor a los registros de detalle. El auditor
debiera entender el proceso de conciliación de detalles al libro mayor para
las cuentas significativas. Además, las actividades de control también son
pertinentes para la auditoría si se solicita al auditor evaluarlas como se ana-
liza en los párrafos 115 al 117.

91. Al obtener un entendimiento de las actividades de control, la principal con-

sideración del auditor es si y cómo, una actividad de control específica, in-
dividualmente o en conjunto con otras, previene o detecta y corrige repre-
sentaciones incorrectas significativas en las clases de transacciones, saldos
de cuentas o revelaciones. Las actividades de control pertinentes para la au-
ditoría son aquellas por las cuales el auditor considera necesario entender
para evaluar los riesgos de representaciones incorrectas significativas a nivel
de afirmación y para diseñar y efectuar procedimientos de auditoría adicio-
nales en respuesta a los riesgos evaluados. El énfasis del auditor se encuen-
tra en identificar y entender las actividades de control que abordan las áreas
donde el auditor considera que las representaciones incorrectas significati-
vas son más probables que ocurran. Cuando las múltiples actividades de
control logran el mismo objetivo, no es necesario obtener un entendimiento
de cada una de las actividades de control relacionadas con tal objetivo.

92. El auditor debiera obtener un entendimiento de cómo TI afecta las activida-

des de control que son pertinentes para planificar la auditoría. Algunas enti-
dades y auditores pueden ver las actividades de control de TI en términos de
controles de aplicación y controles generales. Los controles de aplicación
son aplicables al procesamiento de aplicaciones individuales. En consecuen-
cia, los controles de aplicación se relacionan al uso de TI para iniciar, auto-
rizar, registrar, procesar e informar transacciones u otra información finan-
ciera. Estos controles ayudan a asegurar que las transacciones ocurrieron,
están autorizadas, están registradas y procesadas precisa y completamente.
Algunos ejemplos incluyen la prueba de verificación de la entrada de datos,
pruebas de secuencia numérica y seguimiento manual de informes de excep-
ción.

93. Los controles de aplicación pueden ser efectuados por TI (por ejemplo, con-
ciliaciones automatizadas de subsistemas) o por personas. Cuando los con-
troles de aplicación son efectuados por personas interactuando con TI, pue-
den ser referidos como controles del usuario. La efectividad de los controles
de los usuarios, tales como las revisiones de informes de excepción produci-
dos por computador u otra información producida por TI, puede depender de
la exactitud de la información producida. Por ejemplo, un usuario podría re-

96
 visar un informe de excepción para identificar las ventas a crédito sobre el
límite de crédito autorizado de un cliente sin llevar a cabo procedimientos
para verificar su exactitud. En tales casos, la efectividad del control del
usuario (es decir, la revisión del informe de excepción) depende de la efecti-
vidad de la revisión del usuario y de la exactitud de la información en el in-
forme producido por TI.

94. Los controles generales son políticas y procedimientos que se relacionan a

muchas aplicaciones y respaldan el efectivo funcionamiento de los controles
de aplicación ayudando a asegurar la adecuada operación continua de los
sistemas de información. Los controles generales incluyen comúnmente
controles sobre centros de datos y operaciones de red, adquisición de siste-
mas de software, cambio y mantención, seguridad de acceso y adquisición
de sistema de aplicación, desarrollo y mantención. Mientras los controles
generales inefectivos no causan representaciones incorrectas por sí mismos,
pueden permitir a los controles de aplicación operar inadecuadamente y
permitir que ocurran representaciones incorrectas que no sean detectadas.
Por ejemplo, si existen debilidades en los controles generales sobre la segu-
ridad de acceso y las aplicaciones están dependiendo de estos controles ge-
nerales para prevenir que transacciones no autorizadas sean procesadas, tal
debilidad de control general puede tener un efecto más grave en el diseño
efectivo y la operación del control de aplicación. Los controles generales
debieran ser evaluados en relación a su efecto sobre las aplicaciones y los
datos que llegan a ser parte de los estados financieros. Por ejemplo, si no se
implementan nuevos sistemas durante el período de los estados financieros,
las debilidades en los controles generales sobre “desarrollo de sistemas”
pueden no ser pertinentes para los estados financieros que están siendo audi-
tados.

95. El uso de TI afecta la manera en la que se implementan las actividades de

control. Por ejemplo, cuando se utiliza TI en un sistema de información, la
segregación de funciones a menudo es lograda implementando controles de
seguridad.

96. El auditor debiera considerar si la entidad ha respondido adecuadamente a

los riesgos que han surgido de TI estableciendo controles efectivos, inclu-
yendo controles generales efectivos de los cuales dependen los controles de
aplicación. Desde la perspectiva del auditor, los controles sobre los sistemas
de TI son efectivos cuando mantienen la integridad de la información y la
seguridad de los datos que tales sistemas procesan.

97. Monitoreo de controles. El auditor debiera entender los principales tipos de

actividades que la entidad utiliza para monitorear el control interno sobre el
proceso de preparación y entrega de información financiera, incluyendo las
fuentes de la información relacionada con esas actividades y cómo esas acti-
vidades son utilizadas para iniciar acciones correctivas de sus controles.

97
98. Una importante responsabilidad de la Administración es establecer y mante-
ner el control interno sobre una base continua. El monitoreo de la Adminis-
tración de los controles incluye si están operando como se planificó y si son
modificados de manera apropiada por cambios en las condiciones. El moni-
toreo de los controles puede incluir actividades como la revisión por parte
de la Administración respecto a si las conciliaciones de los bancos están
siendo preparados de manera oportuna, la evaluación de los auditores inter-
nos sobre el cumplimiento del personal de ventas con las políticas de la en-
tidad en términos de contratos de venta y la supervisión del departamento
legal sobre el cumplimiento de las políticas éticas o de práctica de negocios
de la entidad.

99. El monitoreo de controles es un proceso para evaluar la calidad del desem-

peño del control interno en el tiempo. Implica evaluar el diseño y la opera-
ción de controles de manera oportuna y tomar las acciones correctivas nece-
sarias. El monitoreo es efectuado para asegurar que los controles continúan
operando de manera efectiva. Por ejemplo, si la oportunidad y la exactitud
de las conciliaciones bancarias no son monitoreadas, es probable que el per-
sonal deje de prepararlas. La Administración cumple con el monitoreo de
los controles a través de actividades continuas, evaluaciones separadas o una
combinación de ambas. En muchas entidades, los auditores internos o el
personal que desarrolla funciones similares contribuyen al monitoreo de las
actividades de una entidad. Cuando el auditor obtiene un entendimiento de
la función de auditoría interna, debiera seguir las guías de los párrafos 4 al 8
de la Sección AU 322 Consideración del Auditor Independiente de la Fun-
ción de Auditoría Interna en una Auditoría de Estados Financieros. Las ac-
tividades de monitoreo de la Administración pueden incluir el uso de infor-
mación de comunicaciones de partes externas tales como los reclamos de
clientes y comentarios de los organismos reguladores que pueden indicar
problemas o destacar las áreas que necesiten mejorar.

100. En muchas entidades, buena parte de la información utilizada en el monito-

reo puede ser producida por el sistema de información de la entidad. Si la
Administración presume que la información utilizada para el monitoreo es
exacta sin tener una base para esa suposición, pueden existir errores en la in-
formación y potencialmente llevar a la Administración a conclusiones inco-
rrectas de sus actividades de monitoreo. El auditor debiera obtener un en-
tendimiento de las fuentes de la información relacionadas con las activida-
des de monitoreo de la entidad y la base sobre la cual la Administración
considera la información como suficientemente fiable para este propósito.

101. El entendimiento del auditor sobre el monitoreo de controles por la Admi-

nistración puede ayudar al auditor a identificar la existencia de controles
más detallados u otras actividades que el auditor puede considerar al efec-
tuar evaluaciones de riesgo.

98
Evaluación de los riesgos de representaciones incorrectas significativas

102. El auditor debiera identificar y evaluar los riesgos de representaciones inco-

rrectas significativas, a nivel de los estados financieros y a nivel de la afir-
mación pertinente respecto de las clases de transacciones, saldos de cuentas
y revelaciones. Para este propósito el auditor debiera:

 Identificar los riesgos a lo largo del proceso de obtención del enten-

dimiento de la entidad y de su entorno, incluyendo los controles per-
tinentes que se relacionan con los riesgos y considerando las clases
de transacciones, saldos de cuentas y revelaciones en los estados fi-
nancieros.

 Relacionar los riesgos identificados con lo que puede fallar a nivel

de las afirmaciones pertinentes.

 Considerar si los riesgos son de una magnitud tal que pudieran resul-
tar en representaciones incorrectas significativas en los estados fi-
nancieros.

 Considerar la probabilidad que los riesgos pudieran resultar en repre-

sentaciones incorrectas significativas en los estados financieros.

103. El auditor debiera utilizar la información obtenida efectuando los procedi-

mientos de evaluación de riesgos, incluyendo la evidencia de auditoría obte-
nida al evaluar el diseño de los controles y determinar si éstos han sido im-
plementados como evidencia de auditoría para sustentar la evaluación de
riesgos. El auditor debiera utilizar la evaluación de riesgos para determinar,
la naturaleza, oportunidad y alcance de los procedimientos de auditoría adi-
cionales a ser efectuados. Cuando la evaluación de riesgos se basa en una
expectativa que los controles están operando de manera efectiva para preve-
nir o detectar una representación incorrecta significativa, de manera indivi-
dual o en forma conjunta, a nivel de la afirmación pertinente, el auditor de-
biera efectuar pruebas de los controles que el auditor haya determinado que
están diseñados apropiadamente para prevenir o detectar una representación
incorrecta significativa en la afirmación pertinente para obtener evidencia
que los controles están operando efectivamente, como se describe en la Sec-
ción AU 318.

104. El auditor debiera determinar si los riesgos identificados de representaciones

incorrectas significativas se relacionan con las afirmaciones específicas per-
tinentes relacionadas con las clases de transacciones, saldos de cuentas y re-
velaciones o si se relacionan de manera más significativa a los estados fi-
nancieros tomados como un todo y que afecten potencialmente a muchas

99
 afirmaciones pertinentes. Estos últimos riesgos (riesgos a nivel de los esta-
dos financieros) pueden derivarse de un débil ambiente de control.

105. La naturaleza de los riesgos que surgen de un ambiente de control débil es

tal que no es probable que estén limitados a riesgos individuales específicos
de representaciones incorrectas significativas en clases de transacciones es-
pecíficas, saldos de cuentas y revelaciones. Más bien, las debilidades tales
como la falta de competencia de la Administración, pueden tener un efecto
más significativo en los estados financieros y pueden requerir una respuesta
general por parte del auditor.

106. Al realizar evaluaciones de riesgo, el auditor debiera identificar los controles

más probables para prevenir o detectar y corregir representaciones incorrec-
tas significativas en las afirmaciones pertinentes específicas. Generalmente,
el auditor obtiene un entendimiento de los controles y los relaciona con las
afirmaciones pertinentes en el contexto de procesos y sistemas en los cuales
existen. El hacerlo así es útil ya que las actividades de control individuales a
menudo por si mismas no abordan un riesgo. A menudo, solamente las
múltiples actividades de control, junto con otros elementos del control inter-
no, serán suficientes para abordar un riesgo.

107. A la inversa, algunas actividades de control pueden tener un efecto específi-

co sobre una afirmación individual pertinente incluida en una clase de tran-
sacción o saldo de cuenta en particular. Por ejemplo, las actividades de con-
trol que una entidad estableció para asegurar que su personal está contando
y registrando correctamente el inventario físico anual se relaciona directa-
mente con las afirmaciones de existencia y de integridad para el saldo con-
table de existencias.

108. Los controles se pueden relacionar directa o indirectamente con una afirma-
ción. Mientras más indirecta sea la relación, menos efectivo será el control
para prevenir o detectar y corregir representaciones incorrectas en esa afir-
mación. Por ejemplo, la revisión por parte de un Gerente de Ventas del re-
sumen de actividades de ventas a tiendas específicas por región, se relaciona
comúnmente de manera indirecta a la afirmación de integridad para ingresos
por ventas. En consecuencia, puede ser menos efectiva en reducir el riesgo
para esa afirmación que los controles que se relacionan directamente con esa
afirmación, tales como calzar documentos de despacho con documentos de
facturación.

109. Al evaluar los riesgos, deficiencias en el control interno de una entidad pue-
den llamar la atención del auditor que son suficientemente significativas pa-
ra que sean, a juicio del auditor, deficiencias significativas que debieran ser
comunicadas a los encargados del Gobierno Corporativo según lo exigido
por la Sección AU 325 Comunicación de Asuntos Relacionados con el Con-
trol Interno en una Auditoría de Estados Financieros. Además, el entendi-

100
 miento del auditor del control interno puede generar dudas sobre la capaci-
dad de auditar los estados financieros de una entidad. Las preocupaciones
respecto de la integridad de la Administración de una entidad pueden ser tan
serias que pueden llevar al auditor a concluir que el riesgo de declaraciones
falsas por parte de la Administración en los estados financieros es tal, que
una auditoría no puede ser realizada. También las preocupaciones sobre la
condición y la fiabilidad de los registros de una entidad que pueden llevar al
auditor a concluir que es poco probable que suficiente y apropiada evidencia
de auditoría estará disponible para sustentar una opinión sin salvedades so-
bre los estados financieros. En tales circunstancias, el auditor debiera consi-
derar emitir una opinión con salvedades o una abstención de opinión, pero
en algunos casos el único recurso del auditor puede ser retirarse del trabajo.

Riesgos significativos que requieren una consideración especial de auditoría

110. Como parte de la evaluación de riesgos descrita en el párrafo 102, el auditor

debiera determinar cual de los riesgos identificados, son a juicio del auditor,
riesgos que requieren de una consideración especial de auditoría (tales ries-
gos se definen como “riesgos significativos”). Los párrafos 45 y 53 de la
Sección AU 318 describen las consecuencias de identificar un riesgo como
significativo para los procedimientos de auditoría adicionales.

111. La determinación de riesgos significativos, los cuales surgen en la mayoría

de las auditorías, es un tema de juicio profesional del auditor. Al ejercer este
juicio, el auditor debiera considerar el riesgo inherente(19) para determinar si
la naturaleza del riesgo, la probable magnitud de la potencial representación
incorrecta incluyendo la posibilidad que el riesgo pueda originar múltiples
representaciones incorrectas y la probabilidad que el riesgo ocurra son tales,
que requieren de una consideración especial de auditoría. Las transacciones
de rutina, no complejas que están sujetas a un procesamiento sistemático
tienen menos probabilidad de originar riesgos significativos ya que tienen
riesgos inherentes más bajos. Por otra parte, los riesgos significativos se de-
rivan generalmente de riesgos del negocio que pueden resultar en una repre-
sentación incorrecta significativa. Al considerar la naturaleza de los riesgos,
el auditor debiera considerar varios temas, incluyendo los siguientes:

 Si el riesgo es un riesgo de fraude

 Si el riesgo se relaciona con recientes e importantes acontecimientos

económicos, de contabilidad u otros acontecimientos y por lo tanto,
requiere de atención específica

 La complejidad de las transacciones

(19)
El auditor realiza esto antes de considerar el efecto de los controles identificados relacionados
con el riesgo.

101
  Si el riesgo involucra transacciones significativas con partes relacio-
nadas

 El grado de subjetividad en la valorización de información financiera

relacionada con los riesgos, especialmente aquellos que implican un
amplio rango de incertidumbre en su valorización

 Si los riesgos implican transacciones no rutinarias significativas que

están fuera del curso normal de los negocios de la entidad, o que de
otro modo parecen inusuales.

112. Los riesgos significativos se relacionan a menudo con importantes transac-

ciones no rutinarias y asuntos de juicio. Las transacciones no rutinarias son
transacciones que son inusuales, sea debido a su tamaño o naturaleza y que
por lo tanto ocurren con poca frecuencia. Los asuntos de juicio pueden in-
cluir el desarrollo de estimaciones contables para los cuales exista una im-
portante incertidumbre en su medición.

113. Los riesgos de representaciones incorrectas significativas pueden ser mayo-

res para los riesgos relacionados con las transacciones no rutinarias que sur-
gen de asuntos como los siguientes:

 Mayor intervención de la Administración para especificar el trata-

miento contable

 Mayor intervención manual para la recopilación y procesamiento de

datos

 Cálculos o principios de contabilidad complejos

 La naturaleza de transacciones no rutinarias, la cual puede dificultar

la implementación de controles efectivos sobre los riesgos por parte
de la entidad

 Transacciones significativas con partes relacionadas

114. Los riesgos de representaciones incorrectas significativas pueden ser mayo-

res para los riesgos relacionados con asuntos de juicio significativos que re-
quieran el desarrollo de estimaciones contables originadas de temas como
los siguientes:

 Los principios de contabilidad para estimaciones contables o el reco-

nocimiento de ingresos pueden estar sujetos a interpretaciones dife-
rentes.

102
  El juicio requerido puede ser subjetivo o complejo o puede requerir
de supuestos sobre los efectos de hechos futuros, por ejemplo, jui-
cios sobre valores justos.

115. Para los riesgos significativos, en la medida que el auditor aún no lo haya
efectuado, éste debiera evaluar el diseño de los controles relacionados de la
entidad, incluyendo las actividades de control pertinentes y determinar si
han sido implementados. Un entendimiento de los controles de la entidad re-
lacionados con los riesgos significativos debiera proporcionar al auditor con
información adecuada para desarrollar un enfoque de auditoría efectivo. La
Administración debiera estar conciente de los riesgos significativos. Sin
embargo, los riesgos relacionados con temas no rutinarios o de juicio signi-
ficativos, tienen menor probabilidad de estar sujetos a controles de rutina.
Por lo tanto, el entendimiento del auditor respecto a si la entidad ha diseña-
do e implementado controles para tales riesgos significativos incluye si y
cómo, la Administración responde a los riesgos y si las actividades de con-
trol tales como la revisión de supuestos por parte de la Administración Su-
perior o por expertos, procesos formales para estimaciones o aprobación por
los encargados del Gobierno Corporativo se han implementado para abordar
los riesgos. Por ejemplo, donde existen hechos no recurrentes, tales como la
recepción de un aviso de una demanda significativa, la consideración de la
respuesta de la entidad a tales temas incluirá si han sido referidos a los ex-
pertos apropiados (tales como un asesor legal interno o externo), y si se ha
hecho una evaluación del efecto potencial y cómo se propone que las cir-
cunstancias sean reveladas en los estados financieros.

116. Si la Administración no ha respondido apropiadamente implementando con-

troles sobre los riesgos significativos y si, como resultado de esto, a juicio
del auditor, existe una deficiencia significativa o debilidad importante en el
control interno de la entidad sobre el proceso de preparación y entrega de in-
formación financiera, él debiera comunicar este asunto a las personas encar-
gadas del Gobierno Corporativo. En estas circunstancias, el auditor también
debiera considerar las implicancias que ésto tiene para su evaluación de
riesgos.

Riesgos por los cuales los procedimientos sustantivos por sí sólos no propor-
cionan suficiente y apropiada evidencia de auditoría

117. Como parte de la evaluación de riesgos descrita en el párrafo 102, el auditor

debiera evaluar el diseño y determinar la implementación de los controles de
la entidad, incluyendo las actividades de control pertinentes sobre esos ries-
gos para los cuales, a juicio del auditor, a nivel de la afirmación pertinente,
no es posible o práctico reducir el riesgo de detección a un nivel aceptable-
mente bajo con la evidencia obtenida únicamente de los procedimientos sus-
tantivos. Las consecuencias de la identificación de dichos riesgos para los

103
 procedimientos de auditoría adicionales son descritos en el párrafo 24 de la
Sección AU 318.

118. El entendimiento del sistema de información de la entidad pertinente al pro-

ceso de preparación y entrega de información financiera permite al auditor
identificar los riesgos de representaciones incorrectas significativas relacio-
nadas directamente con el registro de las clases de transacciones rutinarias o
saldos de cuentas y la preparación de estados financieros fiables. Éstos in-
cluyen los riesgos de procesamiento inexacto o incompleto. Generalmente,
tales riesgos se relacionan con las clases de transacciones significativas, ta-
les como ventas, adquisiciones e ingresos y egresos de caja.

119. Las características de transacciones de negocios de rutina diaria permiten a

menudo un procesamiento altamente automatizado con mínima o ninguna
intervención manual. En tales circunstancias, puede no ser posible efectuar
sólo procedimientos sustantivos en relación al riesgo. Por ejemplo, en cir-
cunstancias donde una cantidad significativa de la información de una enti-
dad se inicia, autoriza, registra, procesa o se informa electrónicamente, co-
mo en un sistema integrado, el auditor puede determinar que no es posible
diseñar procedimientos sustantivos efectivos que por sí mismos proporcio-
narían suficiente y apropiada evidencia de auditoría que las clases de tran-
sacciones pertinentes o saldos de cuentas no están representados incorrecta-
mente en forma significativa. En tales casos, la evidencia de auditoría puede
estar disponible solamente en forma electrónica y lo apropiado y su sufi-
ciencia dependen generalmente de la efectividad de los controles sobre su
exactitud e integridad. Además, el potencial para la iniciación o alteración
indebida de información que pueda ocurrir y no ser detectada puede ser ma-
yor si la información es iniciada, autorizada, registrada, procesada o infor-
mada solamente en forma electrónica y los controles apropiados no están
operando de manera efectiva.

120. Ejemplos de situaciones en las cuales el auditor puede encontrar imposible

diseñar procedimientos sustantivos efectivos que proporcionen por sí mis-
mos suficiente y apropiada evidencia de auditoría que ciertas afirmaciones
pertinentes no están representadas incorrectamente en forma significativa
incluyen los siguientes:

 Una entidad que realiza sus negocios utilizando TI para iniciar órde-
nes para la compra y entrega de bienes basada en reglas predetermi-
nadas de qué ordenar y de qué cantidades y también para pagar las
cuentas por pagar relacionadas, a base de decisiones generadas por el
sistema, iniciadas en la recepción confirmada de bienes y las condi-
ciones de pago. Ningún otro tipo de documentación de órdenes colo-
cadas o de bienes recibidos es producido o mantenido a través de
otro sistema que no sea el de TI.

104
  Una entidad que presta servicios a los clientes por medios electróni-
cos (por ejemplo, un proveedor de servicios de Internet o una com-
pañía de telecomunicaciones) y utiliza TI para crear un registro de
los servicios prestados a sus clientes, para iniciar y procesar sus fac-
turaciones y automáticamente registrar tales montos en registros con-
tables electrónicos que son parte del sistema utilizado para producir
los estados financieros de la entidad.

Revisión de la evaluación de riesgos

121. La evaluación del auditor de los riesgos de representaciones incorrectas sig-

nificativas a nivel de la afirmación pertinente se basa en la evidencia de au-
ditoría disponible y puede cambiar durante el transcurso de la auditoría al
obtener evidencia de auditoría adicional. Particularmente, la evaluación del
riesgo se puede basar en una expectativa que los controles están operando
efectivamente para prevenir o detectar y corregir representaciones incorrec-
tas significativas a nivel de la afirmación pertinente. Al efectuar pruebas de
los controles para obtener evidencia de auditoría sobre la efectividad de la
operación, el auditor puede obtener evidencia de auditoría que los controles
no están operando efectivamente en momentos pertinentes durante la audi-
toría. De igual manera, al efectuar procedimientos sustantivos, el auditor
puede detectar representaciones incorrectas por montos o por frecuencias
que son mayores que aquellas contempladas en la evaluación de riesgos del
auditor. Cuando el auditor obtiene evidencia de auditoría después de efec-
tuar procedimientos de auditoría adicionales que tiende a contradecir la evi-
dencia de auditoría sobre la cual el auditor basó originalmente la evaluación,
el auditor debiera modificar la evaluación y consecuentemente debiera
además modificar los procedimientos de auditoría planificados. Ver los
párrafos 70 y 74 de la Sección AU 318 para guías adicionales.

Documentación de auditoría

122. El auditor debiera documentar:

a. El análisis producto de la reunión entre los miembros del equipo de

auditoría respecto a la susceptibilidad de los estados financieros de la
entidad a representaciones incorrectas significativas debido a errores
o fraude, incluyendo cómo y cuándo se efectúo el análisis, el tema
analizado, los miembros del equipo de auditoría que participaron y
las decisiones importantes alcanzadas en cuanto a las respuestas pla-
nificadas a nivel de los estados financieros y de las afirmaciones per-
tinentes.

b. Los elementos claves del entendimiento obtenido respecto a cada

uno de los aspectos de la entidad y de su entorno identificados en el
párrafo 21, incluyendo cada uno de los componentes de control in-

105
 terno identificados en el párrafo 41, para evaluar los riesgos de re-
presentaciones incorrectas significativas de los estados financieros,
las fuentes de información de las cuales se obtuvo el entendimiento y
los procedimientos de evaluación de riesgos.

c. La evaluación de los riesgos de representaciones incorrectas signifi-

cativas a nivel de los estados financieros y a nivel de las afirmacio-
nes pertinentes según lo requerido por el párrafo 102 y la base para
la evaluación.

d. Los riesgos identificados y los controles relacionados evaluados pro-

ducto de los requerimientos en los párrafos 110 y 117.

123. La manera en la cual estos temas son documentados es para que el auditor lo
determine utilizando su juicio profesional. La Sección AU 339, Documenta-
ción de Auditoría, proporciona una guía general respecto al propósito, con-
tenido, propiedad y confidencialidad de la documentación de auditoría. Los
ejemplos de técnicas comunes utilizadas individualmente o en conjunto in-
cluyen descripciones narrativas, cuestionarios, listados de verificación y
diagramas de flujos. Dichas técnicas también pueden ser útiles al documen-
tar la evaluación del auditor de los riesgos de representaciones incorrectas
significativas a nivel general de los estados financieros y de las afirmaciones
pertinentes. La forma y alcance de esta documentación está influenciada por
la naturaleza, tamaño y complejidad de la entidad y de su entorno, incluyen-
do su control interno y la disponibilidad de información de la entidad y de la
metodología de auditoría específica y la tecnología utilizada en el curso de
la auditoría. Por ejemplo, la documentación del entendimiento de un sistema
de información complejo, en el cual un gran volumen de transacciones es
electrónicamente iniciado, autorizado, registrado, procesado o informado,
puede incluir diagramas de flujo, cuestionarios o diagramas de decisión. Pa-
ra un sistema de información que hace uso limitado o nulo de TI o para el
cual se procesan pocas transacciones (por ejemplo, deuda a largo plazo), do-
cumentación en la forma de un memorándum puede ser suficiente. Gene-
ralmente, mientras más compleja sea la entidad y su entorno, incluyendo su
control interno y mientras más extensivos sean los procedimientos de audi-
toría efectuados por el auditor, más extensiva debiera ser la documentación
de su trabajo. La metodología de auditoría específica y la tecnología utiliza-
da en el curso de la auditoría también afectará la forma y alcance de la do-
cumentación.

106
Anexo A

Entendimiento de la entidad y de su entorno

A1. Este Anexo proporciona guías adicionales sobre temas que el auditor puede
considerar al obtener un entendimiento de la industria y de los factores regu-
latorios y otros factores externos que afectan a la entidad, la naturaleza de
ella, objetivos, estrategias de la entidad, los riesgos del negocio relaciona-
dos, la medición y revisión del desempeño financiero de la entidad. Los
ejemplos que se proporcionan cubren una amplia gama de temas aplicables a
muchos trabajos, sin embargo, no todos los temas son pertinentes para cada
trabajo y la lista de ejemplos no está necesariamente completa. Guías adi-
cionales sobre el control interno se encuentra en el Anexo B.

Factores de la industria, de las regulaciones y de otros

A2. Ejemplos de temas que un auditor puede considerar incluyen lo siguiente:

 Condiciones de la industria
— El mercado y la competencia, incluyendo la demanda, capa-
cidad y competencia de precios
— Actividad cíclica o de temporada
— Tecnología relacionada con los productos de la entidad
— Disponibilidad de abastecimiento y costo

 Entorno regulatorio
— Principios de contabilidad y prácticas específicas de la indus-
tria
— Estructura regulatoria que afecta a la industria
— Legislación y regulación que afectan significativamente las
operaciones de la entidad
 Requerimientos regulatorios
 Actividades de supervisión directa
— Impuestos (a la empresa y otros)
— Políticas gubernamentales que afectan la conducta de los ne-
gocios de la entidad
 Monetaria, incluyendo controles de cambio sobre la
moneda extranjera
 Fiscal
 Incentivos financieros (por ejemplo, programas de
ayuda gubernamental)
 Aranceles y restricciones al comercio
— Requerimientos ambientales que afectan a la industria y a los
negocios de la entidad

 Otros factores externos que afectan los negocios de la entidad

107
 — Nivel general de actividad económica (por ejemplo, recesión,
crecimiento)
— Tasas de interés y disponibilidad de financiamiento
— Inflación y revaluación de la moneda

Naturaleza de la entidad

A3. Ejemplos de temas que un auditor puede considerar incluyen lo siguiente:

 Operaciones del negocio

— Naturaleza de las fuentes de ingresos (por ejemplo, fabrican-
te, mayorista, banca, seguros u otros servicios financieros,
comercio de importación y exportación, servicios públicos,
transporte, productos y servicios tecnológicos)
— Productos o servicios y mercados (por ejemplo, importantes
clientes y contratos, condiciones de pago, márgenes de utili-
dad, participación en el mercado, competidores, exportacio-
nes, políticas de fijación de precios, reputación de los produc-
tos, garantías, atrasos de entrega, tendencias, estrategia de
marketing, objetivos y procesos de fabricación)
— Conducta de las operaciones (por ejemplo, etapas y métodos
de producción, afiliadas o divisiones, entrega de productos y
servicios y detalles de operaciones a la baja o en aumento)
— Alianzas, entidades en control conjunto y actividades encar-
gadas a terceros
— Participación en comercio electrónico, incluyendo activida-
des de venta y de marketing por Internet
— Dispersión geográfica y segmentación de la industria
— Ubicación de las instalaciones de producción, bodegas y ofi-
cinas
— Clientes claves
— Importantes proveedores de bienes y servicios (por ejemplo,
contratos de largo plazo, estabilidad de suministro, condicio-
nes de pago, importaciones y métodos de entrega como el
“justo a tiempo”)
— Empleo (por ejemplo, por localidad, disponibilidad de recur-
sos humanos, niveles de salario, acuerdos sindicales, pensio-
nes y otros beneficios post-empleo, acciones o acuerdos por
bonos de incentivos y regulación gubernamental respecto a
temas de empleo)
— Actividades y gastos de investigación y desarrollo
— Transacciones con partes relacionadas

 Inversiones
— Adquisiciones, fusiones o enajenaciones de negocios (plani-
ficadas o recientemente efectuadas)

108
 — Inversiones y acuerdos por garantías y préstamos
— Actividades de inversión, incluyendo inversiones en plantas y
equipos y en tecnología y cualquier cambio reciente o plani-
ficado
— Inversiones en entidades que no consolidan sus estados fi-
nancieros, incluyendo, sociedades de personas, de capital de
riesgo y entidades de cometido especial
— Etapa del ciclo de vida de la empresa (inicio, crecimiento,
madurez, declinación)

 Financiamiento
— Estructura del grupo, esto es, afiliadas importantes y entida-
des coligadas, incluyendo estructuras consolidadas y no con-
solidadas
— Estructura de deudas, incluyendo “covenants”, restricciones,
garantías y acuerdos financieros que no se incluyen en el ba-
lance general
— Arriendo de propiedades, plantas o equipos para su uso en el
negocio
— Dueños de la entidad (reputación y experiencia de negocios
local y extranjera)
— Partes relacionadas
— Uso de instrumentos financieros derivados

 Proceso de preparación y entrega de información financiera

— Principios de contabilidad y prácticas específicas de industria
— Prácticas de reconocimiento de los ingresos
— Contabilización a valor justo
— Existencias (por ejemplo, localidades y cantidades)
— Activos, pasivos y transacciones en moneda extranjera
— Aspectos importantes específicas a la industria (por ejemplo,
préstamos e inversiones en el caso de bancos, cuentas por co-
brar y existencias para fabricantes, investigación y desarrollo
para industria farmacéutica)
— Contabilización de transacciones complejas e inusuales, in-
cluyendo aquellas en áreas controversiales o emergentes (por
ejemplo, contabilización para las compensaciones basadas en
pagos con acciones)
— Presentación y revelación en los estados financieros

Objetivos, estrategias y riesgos relacionados al negocio

A4. Ejemplos de temas que un auditor puede considerar incluyen lo siguiente:

109
  Existencia de objetivos (o sea, cómo la entidad enfrenta factores de
la industria, de la regulación y de otros de carácter externo) por
ejemplo, en relación a lo siguiente:
— Desarrollos industriales (un potencial riesgo relacionado con
los negocios puede ser por ejemplo, que la entidad no cuenta
con personal o experiencia para enfrentar los cambios en la
industria)
— Nuevos productos y servicios (un potencial riesgo relaciona-
do con los negocios puede ser por ejemplo, que exista una
mayor obligación de responder por el producto)
— Expansión del negocio (un potencial riesgo relacionado con
los negocios puede ser por ejemplo, que la demanda no ha si-
do estimada de manera precisa)
— Nuevos requerimientos de contabilidad (un potencial riesgo
relacionado con los negocios puede ser por ejemplo, la im-
plementación incompleta o inadecuada o mayores costos)
— Requerimientos regulatorios (un potencial riesgo relacionado
con los negocios puede ser por ejemplo, que exista una ma-
yor exposición al riesgo legal)
— Requerimientos financieros actuales y prospectivos (un po-
tencial riesgo relacionado con los negocios puede ser por
ejemplo, la pérdida de financiamiento debido a la incapaci-
dad de la entidad para cumplir con sus obligaciones)
— Uso de tecnología de información (TI) (un potencial riesgo
relacionado con los negocios puede ser por ejemplo, que los
sistemas y procesos no sean compatibles)
— Tendencia a tomar riesgos por parte de los gerentes y otros en
el negocio de la entidad

 Los efectos de la implementación de una estrategia, particularmente

cualquier efecto que lleve a nuevos requerimientos de contabilidad
(un potencial riesgo relacionado con los negocios puede ser por
ejemplo, su implementación incompleta o indebida)

Medición y revisión del desempeño financiero de la entidad

A5. Ejemplos de temas que un auditor puede considerar, incluyen:

 Ratios claves y estadísticas de las operaciones

 Indicadores claves de desempeño

 Medición del desempeño de empleados y de las políticas de incenti-

vos y compensación

 Tendencias

110
 Utilización de pronósticos, presupuestos y análisis de variaciones

 Informes de los analistas e informes de empresas clasificadoras de

riesgo

 Análisis de la competencia

 Desempeño financiero por período (crecimiento de ingresos, rentabi-

lidad y apalancamiento financiero)

111
Anexo B

Componentes del control interno

B1. Según lo expuesto en el párrafo 41 y descrito en los párrafos 67 al 101, el

control interno se compone de la siguiente manera:

a. Ambiente de control

b. Evaluación de riesgos

c. Sistemas de información y de comunicaciones

d. Actividades de control

e. Monitoreo

Este Anexo explica en mayor detalle estos componentes y en que forma se

relacionan con la auditoría de estados financieros.

Ambiente de control

B2. El ambiente de control establece el tono de una organización, influenciando

la conciencia de control de su gente. Es la base para un control interno efec-
tivo, proporcionando disciplina y estructura.

B3. El ambiente de control abarca los siguientes elementos:

a. Comunicación y cumplimiento de los valores de integridad y éticos.

La efectividad de los controles no puede ser mayor que la integridad
y los valores éticos de las personas que los crean, administran y mo-
nitorean. La integridad y los valores éticos son elementos esenciales
del ambiente de control que influencian la efectividad del diseño, la
administración y el monitoreo de otros componentes del control in-
terno. La integridad y el comportamiento ético son el resultado de las
normas éticas y de comportamiento de la entidad, como éstas se co-
munican y como se refuerzan en la práctica. Incluyen las acciones de
la Administración para remover o reducir los incentivos y tentacio-
nes que puedan incitar al personal a involucrarse en actos deshones-
tos, ilegales o no éticos. También incluyen la comunicación de los
valores de la entidad y las normas de comportamiento al personal a
través de declaraciones de políticas, códigos de conducta y por el ac-
tuar específico.

b. Compromiso con la competencia. La competencia es el conocimien-

to y las habilidades necesarias para cumplir con tareas que definen el

112
 trabajo de cada persona. El compromiso con la competencia incluye
la consideración por la Administración de los niveles de competencia
para trabajos en particular y cómo aquellos niveles se traducen en
habilidades y conocimiento requeridos.

c. Participación de los encargados del Gobierno Corporativo. La con-

ciencia de control de una entidad está significativamente influencia-
da por quienes están encargados del Gobierno Corporativo. Los atri-
butos incluyen la independencia que tienen los integrantes del Go-
bierno Corporativo de la Administración, la experiencia y la categor-
ía de sus integrantes, el alcance de su participación y el examen rigu-
roso de las actividades de la entidad, lo apropiado de sus actuacio-
nes, la información que recibe, el tipo de preguntas complejas que
ellos plantean y por las cuales se les exige una respuesta a la Admi-
nistración, como asimismo su interacción con los auditores internos
y externos. La importancia de las responsabilidades de los encarga-
dos del Gobierno Corporativo está reconocida en los códigos de
buenas prácticas y otras normas y guías preparadas para facilitar el
trabajo de los encargados del Gobierno Corporativo. Otras responsa-
bilidades de ellos incluyen la supervisión del diseño y la operación
efectiva de los procedimientos de denuncia de irregularidades y del
proceso de revisión de la efectividad del control interno de la enti-
dad.

d. Filosofía y estilo operativo de la Administración. La filosofía y el es-

tilo operativo abarcan una amplia gama de características. Tales ca-
racterísticas pueden incluir lo siguiente: el enfoque de la Administra-
ción para tomar y monitorear los riesgos de negocio. Como asimis-
mo, actitudes y actuaciones de la Administración hacia el proceso de
preparación y entrega de información financiera (selección conser-
vadora o agresiva de los principios de contabilidad alternativos dis-
ponibles y la debida conciencia y actitud conservadora con la cual se
efectúan las estimaciones contables) y las actitudes de la Adminis-
tración hacia el procesamiento de información y las funciones de
contabilidad y el personal.

e. Estructura organizacional. La estructura organizacional de una enti-

dad proporciona la estructura dentro de la cual sus actividades son
planificadas para lograr que todos los objetivos de la entidad, sean
realizados, controlados y revisados. Establecer una estructura orga-
nizacional pertinente implica considerar áreas clave de autoridad y
responsabilidad y líneas apropiadas de comunicación. Una entidad
desarrolla una estructura organizacional a la medida de sus necesida-
des. Lo apropiado de una estructura organizacional de una entidad,
depende en parte de su tamaño y de la naturaleza de sus actividades.

113
 f. Asignación de autoridad y responsabilidad. Este factor incluye como
se asigna la autoridad y la responsabilidad para las actividades de las
operaciones y como se establecen las relaciones de comunicación y
las jerarquías de autorización. También incluye políticas relaciona-
das a prácticas de negocios apropiadas, conocimiento y experiencia
del personal clave y los recursos proporcionados para realizar sus
deberes. Además, incluye políticas y comunicaciones dirigidas a
asegurar que todo el personal entienda los objetivos de la entidad,
sepan cómo sus acciones individuales se interrelacionan y contribu-
yen a aquellos objetivos y reconozcan cómo y por qué ellos serán
responsables de rendir cuenta.

g. Políticas y prácticas de Recursos Humanos. Las políticas y prácticas

de recursos humanos se relacionan con la contratación, orientación,
capacitación, evaluación, consejería, compensación y las relaciona-
das con medidas correctivas. Por ejemplo, las normas para la contra-
tación de las personas más calificadas con énfasis en los anteceden-
tes educacionales, la experiencia laboral anterior, logros alcanzados
anteriormente y evidencia de integridad y comportamiento ético,
demuestran el compromiso de una entidad con personas competentes
y fiables. Las políticas de capacitación que comunican los roles
prospectivos y responsabilidades que incluyen prácticas tales como
las escuelas de capacitación y seminarios ilustran los niveles espera-
dos de desempeño y comportamiento. Los ascensos basados en eva-
luaciones de desempeño periódicas, demuestran el compromiso de la
entidad con el avance del personal calificado a niveles de responsa-
bilidad más altos.

Aplicación a pequeñas y medianas entidades

B4. Las pequeñas y medianas entidades pueden implementar los elementos del
ambiente de control de manera diferente que las entidades más grandes. Por
ejemplo, las entidades más pequeñas pueden no tener un código de conducta
escrito, en vez de eso, desarrollan una cultura que enfatiza la importancia de
la integridad y el comportamiento ético a través de la comunicación verbal o
por el ejemplo dado por la Administración. De igual manera, los encargados
del Gobierno Corporativo en las entidades más pequeñas pueden no incluir
miembros independientes o externos.

Proceso de evaluación de riesgos de la entidad

B5. El proceso de evaluación de riesgos de una entidad para identificar y res-

ponder a los riesgos del negocio y a sus resultados. Para propósitos del pro-
ceso de preparación y entrega de información financiera, el proceso de eva-
luación de riesgos de una entidad incluye cómo la Administración identifica
los riesgos pertinentes para la preparación de estados financieros presenta-

114
 dos razonablemente de acuerdo con principios de contabilidad generalmente
aceptados, estima su importancia, evalúa la probabilidad que ocurra y decide
las acciones para administrarlos. Por ejemplo, el proceso de evaluación de
riesgos de una entidad puede abordar cómo la entidad considera la posibili-
dad de transacciones no registradas o identifica y analiza las estimaciones
importantes registradas en los estados financieros. Los riesgos pertinentes al
proceso de preparación y entrega de información financiera fiable también
se relacionan con hechos o transacciones específicos.

B6. Los riesgos pertinentes al proceso de preparación y entrega de información

financiera incluyen hechos externos e internos y circunstancias que pueden
ocurrir y afectar de manera adversa la capacidad de una entidad para iniciar,
autorizar, registrar, procesar e informar antecedentes financieros consecuen-
tes con las afirmaciones de la Administración en los estados financieros.
Una vez que los riesgos son identificados, la Administración considera su
importancia, la probabilidad de que ocurran y cómo debieran ser adminis-
trados. La Administración puede iniciar planes, programas o acciones para
abordar riesgos específicos o puede decidir aceptar un riesgo debido al costo
u otras consideraciones. Los riesgos pueden surgir o cambiar debido a cir-
cunstancias como las siguientes:

 Cambios en el entorno de la operación. Los cambios en el entorno

regulatorio o de la operación pueden resultar en cambios en las pre-
siones competitivas y en riesgos significativamente diferentes.

 Personal nuevo. El personal nuevo puede tener un enfoque o enten-

dimiento diferente del control interno.

 Sistemas de información nuevos o mejorados. Los importantes y

rápidos cambios en los sistemas de información pueden cambiar los
riesgos relacionados con el control interno.

 Crecimiento rápido. La importante y rápida expansión de las opera-

ciones pueden forzar los controles y aumentar el riesgo de un colap-
so de éstos.

 Nueva tecnología. Incorporar nuevas tecnologías a los procesos de

producción o en los sistemas de información puede cambiar el riesgo
asociado con el control interno.

 Nuevos modelos de negocios, productos o actividades. Ingresar a

áreas de negocios o transacciones con las cuales una entidad tiene
poca experiencia puede presentar nuevos riesgos asociados con el
control interno.

115
  Reestructuraciones corporativas. Las reestructuraciones pueden es-
tar acompañadas por reducciones de personal y cambios en la super-
visión y segregación de funciones que pueden cambiar el riesgo aso-
ciado con el control interno.

 Expansión de operaciones en el extranjero. La expansión o adquisi-

ción de operaciones en el extranjero trae consigo nuevos riesgos y a
menudo únicos que pueden afectar el control interno, por ejemplo,
riesgos adicionales o cambios respecto de transacciones en moneda
extranjera.

 Nuevos pronunciamientos de contabilidad. La adopción de nuevos

principios de contabilidad o cambios en éstos pueden afectar los
riesgos al preparar estados financieros.

Aplicación a pequeñas y medianas entidades

B7. Los conceptos básicos del proceso de evaluación de riesgos de la entidad

son pertinentes para cada entidad, sin importar su tamaño, pero es probable
que el proceso de evaluación de riesgos sea menos formal y estructurado en
las entidades pequeñas y medianas que en las más grandes. Todas las enti-
dades debieran tener establecido objetivos del proceso de preparación y en-
trega de información financiera, pero pueden estar reconocidos implícita-
mente más que explícitamente en las entidades más pequeñas. La Adminis-
tración puede enterarse de riesgos relacionados a estos objetivos a través de
una participación personal directa con los empleados y terceros.

El sistema de información, el cual incluye los procesos de negocios pertinentes

relacionados con la preparación y entrega de información financiera, como
asimismo de las comunicaciones

B8. Un sistema de información comprende infraestructura (hardware y otros

componentes físicos), software, personas, procedimientos (manuales y de
tecnología de información) y datos. La infraestructura y el software no exis-
tirán o tendrán menor importancia en los sistemas que son principal y exclu-
sivamente manuales. Muchos sistemas de información descansan sustan-
cialmente en TI.

B9. El sistema de información pertinente para los objetivos del proceso de pre-
paración y entrega de información financiera, el cual incluye el sistema de
contabilidad, consiste en procedimientos, sean de TI o manuales y registros
establecidos para iniciar, autorizar, registrar, procesar e informar las tran-
sacciones (así como también los hechos y condiciones) y mantener una res-
ponsabilidad de rendir cuenta por los activos, pasivos y patrimonio relacio-
nados. Las transacciones se pueden iniciar manualmente o de manera au-
tomática por procedimientos programados. La autorización incluye el proce-

116
 so de aprobación de transacciones por el nivel apropiado de la Administra-
ción. El registro incluye identificar y capturar la información pertinente para
las transacciones o hechos. El procesamiento incluye funciones tales como
la verificación y la validación, el cálculo, la medición, la valorización, el re-
sumen y la conciliación ya sean realizados por procedimientos de TI o ma-
nuales. Informar se relaciona con la preparación de información financiera
así como otra información, en formato electrónico o impreso, que la entidad
utiliza para medir y revisar su desempeño financiero y otras funciones. La
calidad de la información generada por el sistema afecta la capacidad de la
Administración para tomar decisiones apropiadas para administrar y contro-
lar las actividades de la entidad y preparar información financiera fiable.

B10. En consecuencia, un sistema de información comprende métodos y registros

que:

 Identifican y registran todas las transacciones válidas.

 Describen oportunamente las transacciones en detalle suficiente para

permitir la clasificación adecuada de transacciones para el proceso
de preparación y entrega de información financiera.

 Medir los valores de las transacciones de una manera que permita

registrar su apropiado valor monetario en los estados financieros.

 Determinar el período de tiempo en el cual las transacciones ocurrie-

ron para permitir el registro de transacciones en el apropiado período
contable.

 Presentar apropiadamente las transacciones y las respectivas revela-

ciones en los estados financieros.

B11. La comunicación implica proporcionar un entendimiento de los roles indivi-

duales y de las responsabilidades relacionadas con el control interno sobre el
proceso de preparación y entrega de información financiera y pueden tomar
formas como manuales de políticas y manuales para el proceso de prepara-
ción y entrega de información financiera. Además, incluye el grado en que
el personal entiende cómo sus actividades en el sistema de proceso de prepa-
ración y entrega de la información financiera, se relacionan con el trabajo de
otros y los medios para informar excepciones a un apropiado nivel superior
dentro de la entidad. Los canales de comunicación abiertos ayudan a asegu-
rar que las excepciones sean informadas y se actúe de acuerdo a éstas.

B12. La comunicación toma la forma de manuales de políticas, de manuales del

proceso de preparación y entrega de información contable y financiera y de
memorándums. La comunicación también se puede realizar por medios
electrónicos, verbal o a través de actuaciones de la Administración.

117
Aplicación a pequeñas y medianas entidades

B13. Es probable que los sistemas de información y los procesos de negocios re-
lacionados pertinentes al proceso de preparación y entrega de información
financiera en organizaciones pequeñas o medianas sean menos formales que
en las organizaciones más grandes, pero su rol es igual de importante. Las
entidades pequeñas con una participación activa de la Administración puede
que no necesite descripciones extensivas de los procedimientos contables,
registros contables sofisticados o políticas escritas. La comunicación puede
ser menos formal y más fácil de alcanzar en una compañía pequeña o me-
diana que en una empresa más grande debido al menor tamaño y a los me-
nores niveles de la organización así como la mayor visibilidad y disponibili-
dad de la Administración.

Actividades de control

B14. Las actividades de control son las políticas y los procedimientos que ayudan
a asegurar que las directrices de la Administración se están llevando a cabo,
por ejemplo, que las acciones necesarias se están efectuando para abordar
los riesgos que amenazan el logro de los objetivos de la entidad. Las activi-
dades de control, sean automatizadas o manuales, tienen varios objetivos y
son aplicadas a varios niveles funcionales y organizacionales.

B15. Generalmente, las actividades de control que pueden ser pertinentes para
una auditoría se pueden categorizar como políticas y procedimientos que in-
cluyen a las siguientes:

 Revisiones de desempeño. Estas actividades de control incluyen la

revisión y el análisis del desempeño con presupuestos, pronósticos y
desempeño de períodos anteriores, relacionados con distintos tipos
de información, operacionales o financieras de cada una de ellas,
junto con los análisis de las relaciones y de las actividades investiga-
tivas y correctivas, comparando información interna con fuentes de
información externa y revisando el desempeño funcional o de la ac-
tividad, tales como la revisión de la Administración de un banco, de
los informes de los préstamos de consumo por región y tipos de
préstamos aprobados y cobrados.

 Procesamiento de la información. Una serie de controles se realizan

para revisar la precisión, integridad y las autorizaciones de transac-
ciones. Los dos grandes grupos de actividades de control de sistemas
de información son los controles de aplicación y los controles gene-
rales. Los controles de aplicación se utilizan para el procesamiento
de aplicaciones individuales. Estos controles ayudan a asegurar que
las transacciones ocurrieron, están autorizadas y están precisa y

118
 completamente registradas y procesadas. Ejemplos de controles de
aplicación incluyen la revisión de la precisión aritmética de los regis-
tros, la mantención y revisión de saldos de cuentas y del balance ge-
neral, los controles automatizados tales como las pruebas de verifi-
cación de la entrada de datos, pruebas de secuencia numérica y un
seguimiento manual de informes de excepción. Los controles genera-
les son políticas y procedimientos que se relacionan a muchas apli-
caciones y respaldan el efectivo funcionamiento de los controles de
aplicación ayudando a asegurar la adecuada operación continua de
los sistemas de información. Los controles generales incluyen
comúnmente controles sobre centros de datos y operaciones de red,
adquisición de sistemas de software, cambio y mantención, seguri-
dad de acceso y adquisición de sistema de aplicación, desarrollo y
mantención. Estos controles se aplican para los sistemas centrales,
mini sistemas y los entornos de usuarios finales. Ejemplos de dichos
controles generales son los controles de cambios de programa, con-
troles que restringen el acceso a programas o información, controles
sobre la implementación de nuevas actualizaciones de paquetes de
aplicaciones de software y controles sobre sistemas de software que
restringen el acceso o monitorean el uso de aplicaciones de sistemas
que pudieran cambiar la información financiera o los registros sin
dejar rastro de auditoría.

 Controles físicos. Estas actividades abarcan la seguridad física de los

activos, incluyendo protecciones adecuadas tales como vigilar insta-
laciones y limitar acceso a activos y registros, autorización de acce-
sos a programas computacionales y archivos de datos, conteo y com-
paración periódica con los montos anotados en los registros de con-
trol (por ejemplo, comparando arqueos de caja, valores y conteos de
inventario con los registros contables). El grado al cual los controles
físicos pretendían prevenir el hurto o robo de activos es pertinente
para la fiabilidad de la preparación de estados financieros y por ende
de la auditoría, pero depende de las circunstancias tales como si los
activos son altamente susceptibles a una apropiación indebida. Por
ejemplo, estos controles comúnmente no serían pertinentes cuando
se detectara cualquier pérdida de existencias gracias a una inspección
física periódica y fuera registrada en los estados financieros. Sin em-
bargo, si para efectos del proceso de preparación y entrega de infor-
mación financiera la Administración se apoya exclusivamente en los
registros de inventarios perpetuos, los controles de seguridad física
serían pertinentes para la auditoría.

 Segregación de funciones. El asignar a diferentes personas las res-

ponsabilidades de autorización de transacciones, registro de transac-
ciones y mantener la custodia de los activos pretende reducir las
oportunidades de permitirle a cualquier persona que esté en una po-

119
 sición de perpetrar y ocultar errores o fraudes en el curso normal de
sus funciones. Ejemplos de segregación de funciones incluyen la
preparación de información financiera, revisión y aprobación de
conciliaciones y la aprobación y control de documentos.

B16. Ciertas actividades de control pueden depender de la existencia de políticas

apropiadas de alto nivel establecidas por la Administración o los encargados
del Gobierno Corporativo. Por ejemplo, los controles de autorización pue-
den estar delegados bajo guías establecidas tales como los criterios de inver-
sión establecidos por los encargados del Gobierno Corporativo, de manera
alternativa, las transacciones no rutinarias tales como las adquisiciones o
enajenaciones de importancia pueden requerir aprobación específica de alto
nivel, incluyendo en algunos casos la de los accionistas.

Aplicación a pequeñas y medianas entidades

B17. Es probable que los conceptos que subyacen a las actividades de control en
las organizaciones pequeñas y medianas sean similares a las de las entidades
más grandes, pero la formalidad con la cual operan varía. Además, las enti-
dades más pequeñas pueden encontrar que ciertos tipos de actividades de
control no son pertinentes debido a los controles aplicados por la Adminis-
tración. Por ejemplo, cuando la Administración no delega la autoridad para
aprobar las ventas al crédito, compras importantes y la utilización de las
líneas de crédito puede proporcionar un fuerte control sobre aquellas activi-
dades disminuyendo o eliminando la necesidad de actividades de control
más detalladas. Una apropiada segregación de funciones presenta a menudo
dificultades en las organizaciones más pequeñas. Sin embargo, incluso las
compañías que tienen sólo unos pocos empleados pueden ser capaces de
asignar responsabilidades para lograr una segregación apropiada o, si eso no
es posible, utilizar la supervisión de la Administración en las actividades in-
compatibles para lograr los objetivos de control.

Monitoreo de los controles

B18. Una importante responsabilidad de la Administración es establecer y mante-

ner el control interno de manera continua. El monitoreo de los controles por
parte de la Administración incluye considerar si están operando como se es-
peraba y si son modificados apropiadamente a los cambios en las condicio-
nes. El monitoreo de los controles puede incluir actividades como la revi-
sión de la Administración respecto a si las conciliaciones bancarias están
siendo preparadas oportunamente, la evaluación de los auditores internos del
cumplimiento del personal de ventas con las políticas de la entidad en cuan-
to a contratos de venta y una supervisión del departamento legal respecto al
cumplimiento de las políticas de prácticas éticas y de negocios de la entidad.

120
B19. El monitoreo de controles es un proceso para evaluar la calidad de desem-
peño de control interno en el tiempo. Implica evaluar el diseño y la opera-
ción de controles oportunamente y tomar las acciones correctivas necesarias.
El monitoreo es realizado para asegurar que los controles sigan operando
efectivamente. Por ejemplo, si la puntualidad y precisión de las conciliacio-
nes bancarias no son monitoreadas, es probable que el personal deje de pre-
pararlas. El monitoreo de controles es alcanzado a través de actividades de
monitoreo continuas, evaluaciones separadas o una combinación de ambas.

B20. Las actividades de monitoreo constantes son incorporadas en las actividades

normales recurrentes de una entidad e incluyen actividades regulares de ad-
ministración y supervisión. Los gerentes de ventas, de adquisiciones y de
producción a niveles de producto, divisionales y corporativos están en con-
tacto con las operaciones y pueden cuestionar los informes que difieran sig-
nificativamente de su conocimiento de ellas.

B21. En muchas entidades, los auditores internos o el personal que realiza fun-
ciones similares contribuyen al monitoreo de los controles de una entidad a
través de evaluaciones independientes. Ellos regularmente proporcionan in-
formación sobre el funcionamiento del control interno, dando considerable
atención a evaluar el diseño y operación del control interno. Ellos comuni-
can la información sobre las fortalezas y debilidades y entregan recomenda-
ciones para mejorarlo.

B22. Las actividades de monitoreo pueden incluir utilizar información de comu-

nicaciones de terceros que pueden indicar problemas o destacar áreas con
necesidad de mejoramiento. Los clientes corroboran implícitamente la in-
formación de facturación pagando sus facturas o reclamando respecto a sus
cobros. Además, los organismos reguladores se pueden comunicar con la
entidad respecto a temas que afectan el funcionamiento del control interno,
por ejemplo enviando comunicaciones sobre exámenes realizados por orga-
nismos reguladores bancarios. La Administración también puede considerar
comunicaciones en relación al control interno de auditores externos al des-
arrollar actividades de monitoreo.

Aplicación a pequeñas y medianas entidades

B23. Es probable que las constantes actividades de monitoreo de entidades pe-

queñas y medianas sean informales y típicamente realizadas como parte de
una administración general de las operaciones de la entidad. La cercana par-
ticipación de la Administración en las operaciones identificará a menudo va-
riaciones significativas de las expectativas y de las imprecisiones en la in-
formación financiera.

121
Anexo C

Condiciones y hechos que podrían indicar riesgos de representaciones inco-

rrectas significativas

C1. Los siguientes son ejemplos de condiciones y hechos que pueden indicar la
existencia de riesgos de representaciones incorrectas significativas. Los
ejemplos cubren un amplio rango de condiciones y hechos. Sin embargo, no
todas las condiciones y hechos son pertinentes para cada trabajo de auditoría
y la lista de ejemplos no está necesariamente completa.

 Operaciones en regiones que son económicamente inestables, por

ejemplo, países con una devaluación monetaria considerable o eco-
nomías altamente inflacionarias.

 Operaciones expuestas a mercados volátiles, por ejemplo el comer-

cio de futuros.

 Alto grado de regulación compleja.

 Empresa en marcha y temas de liquidez, incluyendo la pérdida de

importantes clientes.

 Logro marginal de los objetivos estratégicos explícitamente estable-

cidos.

 Restricciones sobre la disponibilidad de capital y financiamiento.

 Cambios en la industria en la cual opera la entidad.

 Cambios en la cadena de proveedores.

 Desarrollo u oferta de nuevos productos o servicios, o cambiarse a

nuevos giros de negocios.

 Expansión a nuevas localidades.

 Cambios en la entidad, tales como adquisiciones importantes, reor-

ganizaciones u otros hechos inusuales.

 Entidades o divisiones de ésta con probabilidad de venta.

 Alianzas complejas y entidades con control conjunto.

122
 Uso de financiamiento que no se registra en el balance general, enti-
dades de cometido especial y otros acuerdos financieros complejos.

 Importantes transacciones con partes relacionadas.

 Falta de personal con las habilidades apropiadas para el proceso de

preparación y entrega de información financiera y contable.

 Cambios en el personal clave, incluyendo la salida de ejecutivos cla-

ve.

 Debilidades en el control interno, especialmente aquellos no aborda-

dos por la Administración.

 Inconsecuencias entre la estrategia de tecnología de información de

la entidad (TI) y sus estrategias de negocios.

 Cambios en el entorno de TI.

 Instalación de importantes y nuevos sistemas de TI relacionados con

el proceso de preparación y entrega de información financiera.

 Indagaciones acerca de las operaciones o resultados financieros de la

entidad por parte de organismos reguladores u otra entidad guberna-
mental.

 Representaciones incorrectas anteriores, historial de errores o un

monto significativo de ajustes al fin del período.

 Importante cantidad de transacciones no rutinarias o no sistemáticas,

incluyendo transacciones íntercompañías y transacciones de ingresos
significativos al fin del período.

 Transacciones que son registradas en base a intenciones de la Admi-

nistración, por ejemplo, refinanciamientos de deuda, activos a ser
vendidos y clasificación de instrumentos de deuda y mobiliarios.

 Aplicación de nuevos pronunciamientos contables.

 Procesos complejos relacionados con mediciones contables.

 Hechos o transacciones que resultan en una incertidumbre significa-

tiva de medición incluyendo estimaciones contables.

123
 Litigios pendientes y pasivos contingentes, por ejemplo, garantías de
venta, garantías financieras y obligaciones por reparación medioam-
biental.

124