La norma SAE 3402 trata del encargo de aseguramiento realizado por un contable profesional para informar sobre los controles en una organización de servicios. Entendamos la norma SAE 3402 en detalle.
Alcance
SAE 3402 trata del encargo de aseguramiento que proporciona un servicio relevante para el control interno de las entidades usuarias en relación con la información financiera. Esta norma sólo se aplica cuando las organizaciones de servicios son responsables de los diseños adecuados de control o hacen una afirmación al respecto. La norma SAE 3402 entra en vigor para los informes de garantía de los auditores de servicios que cubren los períodos que terminan el 1 de abril de 2011 o después de esa fecha.
No aplicable
La norma SAE 3402 no se ocupa de lo siguiente
i. El encargo de aseguramiento de informar sólo sobre si los controles de la organización de servicios funcionan como se describe
ii. Auditor de servicios contratado para proporcionar el informe sobre el balance de la entidad usuaria o de la organización de servicios y un informe de procedimientos acordados sobre los controles
Objetivo
A continuación se expone el objetivo del auditor de servicios:
1. Obtener una seguridad razonable en todos los aspectos materiales de la descripción de la organización de servicios-
- Los sistemas están diseñados e implementados durante el periodo especificado
- Los objetivos de control del sistema están adecuadamente diseñados durante el periodo especificado
- Los controles han funcionado eficazmente de acuerdo con los objetivos de control
2. Informe sobre las cuestiones anteriores de acuerdo con las conclusiones del auditor de servicios
Definición
Método de exclusión – «Método de tratamiento de los servicios prestados por una organización de subservicios, por el que la descripción de la organización de servicios de su sistema incluye la naturaleza del servicio prestado por una organización de subservicios, pero los objetivos de control relevantes de esa organización de subservicios y el control relacionado se excluyen de la descripción de la organización de servicios de su sistema y del alcance del encargo del auditor de servicios».» Controles complementarios de la entidad usuaria – «Controles que la organización de servicios asume, en el diseño de su servicio, que serán implementados por las entidades usuarias, y que, si son necesarios para alcanzar los objetivos de control establecidos en la descripción de su sistema por parte de la organización de servicios, se identifican en dicha descripción.»
Requisitos
El auditor del servicio debe:
Aceptación y continuidad
Antes de aceptar o continuar con un encargo, el auditor de servicios debe
1. Determinar si:
- Capacidades y competencia del auditor del servicio para realizar el encargo
- Los criterios utilizados para preparar la descripción del sistema de la organización de servicios serán adecuados y estarán disponibles para las entidades usuarias y sus auditores
- El alcance del encargo y la descripción de la organización de servicios de su sistema serán útiles para las entidades usuarias y sus auditores
2. La organización de servicios reconoce y comprende su responsabilidad:
- Para la preparación de la descripción de su sistema, incluyendo la integridad, la precisión y el método de presentación
- Una base razonable para la afirmación de la organización de servicios
- Objetivos de control indicados en la descripción
- Descripción de su sistema – cuando están especificados por la ley o la regulación u otra parte, la parte que los especificó
- Identificar el riesgo que amenaza la consecución de los objetivos de control
3. Proporcionar al auditor del servicio:
- Acceso a toda la información, como los registros y la documentación, y otros, incluido el acuerdo de servicio
- Cualquier información adicional necesaria para el encargo de garantía
- Acceso sin restricciones a las personas de la organización de servicios para obtener pruebas
Evaluación de la idoneidad de los criterios
Al valorar la idoneidad de los criterios para evaluar la descripción del sistema de la organización de servicios, el auditor de servicios debe determinar lo siguiente:
1. Diseño e implementación de un sistema incluyendo:
- Tipos de servicios prestados y clases de transacciones procesadas
- Procedimientos dentro del sistema informático y manual
- Registros e información de apoyo relacionados
- Cómo se tratan los eventos y condiciones significativos
- Proceso de preparación del informe
- Los objetivos de control especificados y el diseño del control para alcanzarlos
- Controles complementarios de la entidad usuaria
- Otros aspectos, como el proceso de evaluación de riesgos, la comunicación, etc
2. En el caso del tipo 2 informar si la descripción incluye detalles relevantes de los cambios en el sistema de la organización de servicios 3. Si la descripción omite o distorsiona cualquier información relevante para el alcance del sistema de la organización de servicios.
Comprensión del sistema de la organización de servicios
| Sl.No | Particularidades | Detalles |
| 1 | Obtención de pruebas relativas a la descripción | Obtener y leer la descripción del sistema de la organización de servicios se presentan de manera justa y si: i. Los objetivos de control son razonables en las circunstanciasii. Los controles identificados se han implantado- Descripción adecuada de los controles complementarios de la entidad usuaria iii. El auditor del servicio debe determinar si el sistema de la organización de servicios ha sido implementado y operado a través de la realización de investigaciones, inspecciones y otra documentación |
| 2 | Obtención de pruebas sobre el diseño de los controles | Determine qué controles son necesarios para alcanzar los objetivos de control y si están adecuadamente diseñados, incluyendo: i. Identificar el riesgo que amenaza la consecución de la descripción del controlii. Evaluar la relación de los controles identificados con el riesgo |
| 3 | La obtención de pruebas sobre la eficacia operativa de los controles | Al proporcionar un informe de tipo 2, el auditor del servicio debe probar los controles necesarios para alcanzar los objetivos de control. Al diseñar y realizar la prueba de los controles: i. Realizar procedimientos para obtener pruebas sobre la aplicación del control, su coherencia y quién lo aplicó ii. Si los controles probados dependen de otros controles, obtener pruebas que respalden su eficacia operativa iii. Determinar los medios de selección de elementos para la prueba Considerar las características de la población probada, incluyendo la naturaleza de los controles, la frecuencia de aplicación, la desviación, etc |
Muestreo
Al utilizar el muestreo, el auditor de servicios debería:
w.r.Si se identifican desviaciones, el auditor de servicios debe determinar si están dentro de la tasa de desviación esperada, si es necesario realizar pruebas adicionales para proporcionar una base adecuada para concluir si el objetivo de control está funcionando eficazmente.
Trabajo de la función de auditoría interna
Si la organización del servicio tiene una función de auditoría interna, el auditor del servicio debe entender la naturaleza de sus responsabilidades, las actividades realizadas para determinar si es relevante para el encargo:
Representación escrita
El auditor del servicio debe obtener una declaración por escrito de la organización del servicio sobre:
1. Reafirmar la afirmación que acompaña a la descripción del sistema
2. Proporcionar al auditor de servicios toda la información pertinente y el acceso acordado
3. Revelado al auditor del servicio cualquiera de los siguientes elementos de los que tiene conocimiento:
- Deficiencia en el diseño del control
- Un caso en el que los controles no hayan funcionado según lo descrito
- Incumplimiento de la ley y la normativa, fraude o desviación no corregida
- Cualquier acontecimiento posterior que pueda tener un signo en el informe de garantía
Si la organización de servicios no proporciona la declaración por escrito de alguno de los puntos anteriores, el auditor de servicios deberá renunciar a emitir una opinión.
Documentación
A continuación se exponen los requisitos de documentación para que cualquier auditor de servicios comprenda el encargo:
1. Naturaleza, calendario y alcance de los procedimientos realizados
- Características identificativas de los elementos específicos comprobados
- Quién realizó el trabajo y la fecha de finalización
- Quién revisó el trabajo y la fecha en que se realizó
2. Resultado del procedimiento y pruebas obtenidas
3. Asuntos significativos, juicios y conclusiones alcanzadas
4. Si se recurre a un trabajo específico de los auditores internos, documentar la conclusión alcanzada sobre la idoneidad de dicho trabajo y los procedimientos realizados por el auditor de servicios sobre el mismo
5. Si hay alguna incoherencia con las conclusiones finales del auditor de servicios, debe documentarse cómo se ha resuelto la incoherencia
6. El auditor del servicio debe mantener la documentación hasta su período de conservación, etc