¿Qué nos dice la NIA 402?

La NIA 402 es una norma internacional que define cómo debe actuar el auditor cuando la entidad auditada utiliza organizaciones de servicios. Su propósito es asegurar que los procesos externos no afecten la fiabilidad de la información financiera.

¿Qué es la NIA 402 y cuál es su propósito?

La NIA 402 representa una de las piedras angulares cuando se trata de la auditoría de entidades que utilizan servicios de terceros. Su enfoque responde a un desafío: cómo garantizar que la información financiera no pierda fiabilidad incluso cuando parte de los procesos se delegan externamente. Es decir, marca el estándar que regula la participación del auditor en esas situaciones tan comunes en la actualidad, donde las empresas subcontratan desde la nómina hasta la tecnología, quedando ciertos controles fuera de su entorno directo.

El propósito central de la NIA 402 es proporcionar orientación específica sobre las responsabilidades y procedimientos que debe aplicar el auditor ante la intervención de organizaciones externas de servicios. Está diseñada para cerrar cualquier “brecha de auditoría” que pudiera surgir por confiar en procesos ejecutados por terceros y asegura una cobertura completa y consistente en la revisión de los riesgos asociados a estos servicios. Este enfoque es crucial para que la seguridad, integridad y transparencia de los estados financieros no se vean comprometidos.

Contexto de la Norma Internacional de Auditoría 402

Esta norma surge en un contexto de creciente terciarización y externalización de procesos empresariales. En los últimos años, cada vez más organizaciones han optado por utilizar servicios especializados de compañías externas, buscando eficiencia y conocimientos expertos. Esta tendencia ha transformado la forma en que las auditorías deben desenvolverse, ya que dependencias de terceros complican la transparencia y el control directo que tradicionalmente solía tener una empresa sobre sus procesos clave.

Frente a este escenario dinámico, la NIA 402 establece requisitos y recomendaciones claros para los auditores sobre cómo abordar el trabajo cuando la entidad a auditar ha confiado procesos críticos a terceros. Así, la norma se convierte en una herramienta fundamental para entender, evaluar y, si es necesario, cuestionar la fiabilidad de la información financiera producida bajo este tipo de esquemas organizacionales.

Objetivo principal de la NIA 402

El objetivo primordial de la NIA 402 es asegurar que el auditor obtenga una comprensión suficiente sobre el sistema de control interno de la entidad auditada en relación con los servicios proporcionados por terceros. Esto implica que no basta con revisar los controles internos de la empresa; también es esencial verificar cómo se implementan y funcionan los controles dentro de la organización de servicios utilizada por la entidad.

Por esta razón, la NIA 402 obliga al auditor a identificar y evaluar los riesgos potenciales que puedan derivarse de la interacción entre los controles internos de la entidad y los de la organización de servicios. El cumplimiento de esta obligación contribuye de manera directa a fortalecer la confianza en la información presentada en los estados financieros, incluso en entornos donde existe una compleja red de relaciones comerciales con terceros.

Importancia de la norma en la auditoría externa

La importancia de la NIA 402 radica en que establece reglas precisas para que el auditor pueda abordar eficientemente los riesgos vinculados a la utilización de servicios externos. Permite definir criterios para depender de procedimientos o resultados de auditorías realizadas sobre los controles internos de proveedores, garantizando que la información financiera conserve su integridad ante cualquier delegación de actividades clave.

“La NIA 402 representa la seguridad necesaria para que el proceso de auditoría no pierda rigor, incluso cuando la cadena operativa de la entidad se apoya en actores externos.”

Además, la aplicación adecuada de esta norma favorece la estandarización de prácticas y previene vulnerabilidades legales o técnicas vinculadas a la supervisión insuficiente de procesos externalizados. Esto es esencial cuando la entidad auditada forma parte de grupos empresariales o multinacionales con estructuras complejas y servicios compartidos.

Alcance de la NIA 402 en entidades que usan organizaciones de servicios

El alcance de la NIA 402 es especialmente amplio para cualquier organización que se apoya en empresas externas para constituir parte de su sistema de información financiero. La norma protege la cadena de valor financiera completa, desde los controles internos de la entidad usuaria hasta aquellos procedimientos críticos que ejecutan terceros. Esto abarca tanto a pequeñas empresas que externalizan procesos como a grandes corporativos con plataformas de outsourcing a nivel global.

El auditor está obligado a examinar cómo los controles implementados en el proveedor de servicios pueden impactar los registros y estados financieros de la entidad usuaria. Cualquier debilidad en esos controles se traduce en un potencial riesgo que debe ser identificado, evaluado y, de ser necesario, mitigado a través de procedimientos específicos de auditoría.

Definición de “organización de servicios” según la norma

La NIA 402 ofrece una definición precisa de lo que considera una organización de servicios: “toda entidad que presta servicios a la entidad auditada y cuyos servicios son relevantes para la información financiera”. Es decir, se trata de empresas o proveedores externos que desarrollan actividades que van desde el procesamiento de nóminas y sistemas informáticos, hasta la administración de datos o la gestión de cuentas por cobrar y pagar.

Estas operaciones pueden afectar de forma directa el flujo, la veracidad y la integridad de los datos que utiliza la entidad auditada para preparar sus estados financieros. Por ello, comprender de manera exhaustiva el rol de cada organización de servicios es imprescindible para identificar posibles puntos de vulnerabilidad y definir el alcance de la auditoría.

Tipos de servicios cubiertos por la NIA 402

Procesamiento de transacciones: Incluye servicios externos de facturación, cuentas por cobrar y pagar, contabilidad y gestión de inventarios.
Servicios informáticos y de TI: Por ejemplo, hosting, gestión de servidores, copias de seguridad, procesamiento de datos y recuperación ante desastres.

Nómina y recursos humanos: Tercerización de la administración y procesamiento de pagos a empleados.
Administración financiera: Custodia de valores, administración de inversiones y servicios bancarios.
Gestión documental y archivo: Organización y almacenamiento seguro de información financiera clave.

Cada uno de estos servicios puede incidir de manera relevante en la obtención y verificación de la información financiera, por lo cual la labor del auditor se vuelve crítica durante el proceso de revisión.

Responsabilidad del auditor frente a las organizaciones de servicios

El auditor no puede delegar su responsabilidad bajo ninguna circunstancia. Está obligado a obtener una comprensión detallada del sistema de control interno, tanto de la entidad usuaria como de la organización de servicios. No basta con confiar ciegamente en los informes suministrados por el proveedor externo. En caso de identificar deficiencias, el auditor debe ampliar los procedimientos, incluso llegando a requerir información directa de la organización de servicios.

El cumplimiento de la NIA 402 demanda que el auditor evalúe minuciosamente el impacto de los servicios tercerizados en la información financiera, asegurando que las conclusiones y opiniones expresadas estén debidamente sustentadas. Por este motivo, la función del auditor no solo se limita a la entidad principal, sino que se extiende hasta los controles y políticas de los proveedores de servicios fundamentales.

Evaluación del control interno en organizaciones de servicios

El análisis de los controles internos en las organizaciones de servicios toma un papel relevante cuando se trata de auditar a una entidad usuaria. El auditor debe advertir posibles debilidades en los servicios tercerizados que puedan comprometer los estados financieros. Para ello, debe examinar tanto los controles internos de la entidad usuaria como los controles implementados en la organización de servicios.

Además, se requiere analizar cómo interactúan ambos sistemas de control y si la entidad usuaria tiene prácticas adecuadas para evaluar la efectividad de los controles del proveedor. El auditor también puede recurrir a informes independientes, como los informes ISAE 3402 emitidos por otros auditores sobre el proveedor de servicios, con el fin de sustentar su opinión.

Información necesaria del informe del auditor del servicio (ISAE 3402)

El informe de un auditor del servicio según ISAE 3402 debe proporcionar evidencia suficiente y relevante de la efectividad de los controles implementados en la organización de servicios. Debe detallar el diseño, implementación y funcionamiento de dichos controles durante un período de tiempo específico, así como cualquier deficiencia relevante detectada.

Además, el informe debe describir la naturaleza de los servicios prestados, el alcance de la revisión, los objetivos de control alineados con el cliente y el nivel de pruebas realizadas por el auditor externo. Esta información es fundamental para que el auditor de la entidad usuaria pueda emitir una opinión informada respecto a la efectividad de los controles de los terceros involucrados.

Tipos de informes del auditor del servicio

Informe Tipo 1: Evalúa el diseño y la implementación de los controles de la organización de servicios en una fecha específica.
Informe Tipo 2: Además de lo anterior, evalúa la efectividad operativa de dichos controles durante un período determinado.

Informes de cumplimiento: Verifican la adhesión a políticas, leyes o regulaciones específicas aplicadas por la organización de servicios.

Estos informes son herramientas valiosas en la auditoría, ya que pueden ahorrar tiempo y recursos si proporcionan evidencia objetiva sobre el nivel de control y cumplimiento de los proveedores.

¿Cómo determinar la fiabilidad de los controles implementados?

Para evaluar si los controles en la organización de servicios son fiables, el auditor debe considerar la evidencia presentada en los informes emitidos por los auditores del servicio, la experiencia previa de la entidad usuaria con el proveedor y la existencia de auditorías o revisiones independientes. Si surgen dudas o vacíos de información, el auditor puede realizar procedimientos adicionales, tales como solicitudes de información directa o visitas en sitio.

También es recomendable contrastar los hallazgos con los incidentes ocurridos durante el período auditado, así como analizar las respuestas de la entidad usuaria ante posibles fallos de los servicios tercerizados. De esta manera, se asegura que la información financiera no dependa de sistemas vulnerables ni de proveedores poco confiables.

Procedimientos de auditoría bajo la NIA 402

A continuación se muestra de manera estructurada los principales procedimientos que el auditor debe considerar:

Procedimiento	Descripción	Relevancia
Comprensión de la relación contractual	Análisis detallado del contrato entre la entidad usuaria y el proveedor de servicios.	Permite identificar los servicios y controles relevantes.
Evaluación del informe del proveedor	Examen de los informes de control interno (tipo ISAE 3402) emitidos sobre la organización de servicios.	Facilita el entendimiento de las debilidades y fortalezas.
Indagación con la entidad usuaria	Entrevistas con responsables de la entidad usuaria para conocer la experiencia y el seguimiento realizado sobre el proveedor.	Ayuda a detectar incidentes o áreas de mejora no reportadas formalmente.
Procedimientos sustantivos adicionales	Pruebas específicas sobre transacciones procesadas por el proveedor de servicios.	Corrobora la fiabilidad de la información financiera.

Obtención de evidencia suficiente y adecuada

El auditor debe asegurarse de reunir evidencia suficiente y adecuada para emitir una opinión sobre los controles relevantes en los servicios recibidos por la entidad. Esto implica realizar procedimientos de validación cruzada entre los informes suministrados por los proveedores, las evidencias propias de la entidad usuaria y las pruebas independientes llevadas a cabo directamente por el auditor.

Cuando la evidencia es insuficiente, el auditor debe intensificar sus procedimientos o requerir información adicional. El objetivo es que la conclusión expresada se respalde tanto en la evidencia directa del proveedor como en la información recabada y evaluada durante la auditoría.

Técnicas de confirmación e indagación con la entidad usuaria

Entrevistas dirigidas
- Permiten conocer la experiencia real de la entidad con el proveedor.

Revisión documental interna
- Contratos y reportes internos sobre la relación, incidencias y evaluaciones de servicio.
Solicitudes de confirmación externa
- Requieren la participación directa del proveedor para validar información o aclarar dudas específicas.
Tests específicos sobre muestras de transacciones
- Revisión de documentos y registros procesados por el proveedor para validar su exactitud y completitud.

Uso de informes de auditores de servicios en la planificación

Al incluir los informes emitidos por auditores independientes de servicios tercerizados, el auditor puede planificar procedimientos sustantivos y de control enfocados en áreas identificadas como críticas. El contenido y los hallazgos de estos informes ayudan a delimitar el trabajo, priorizando recursos en los procesos que exhiben mayores riesgos o debilidades.

Esta integración permite anticipar posibles problemas y establecer procedimientos de seguimiento para mitigar cualquier impacto en la calidad de la información financiera de la entidad usuaria.

Informes y comunicación del auditor según la NIA 402

En el informe final: El auditor tiene la obligación de incluir una descripción detallada de la evaluación de los controles relevantes sobre los servicios tercerizados, precisando el alcance y las limitaciones detectadas.

Comunicación intermedia: Si durante la ejecución de la auditoría se identifican riesgos graves o deficiencias en los controles de la organización de servicios, el auditor debe informar de inmediato a los responsables correspondientes dentro de la entidad usuaria.

Consideraciones sobre la opinión del auditor

Limitaciones en el alcance del trabajo: Si el auditor no puede obtener evidencia adecuada sobre los controles de la organización de servicios.
Riesgos de error material: Cuando existe una alta probabilidad de errores comprometidos por deficiencias en servicios tercerizados.

Relevancia de los servicios tercerizados: Cuando estos afectan directamente la información financiera básica.
Dependencia de informes de otros auditores: En el caso de referencia a informes de auditores de servicios externos.

Comunicación con los responsables del gobierno de la entidad

El auditor debe mantener una comunicación clara y frecuente con quienes están encargados del gobierno de la entidad. Debe compartir hallazgos críticos relacionados con los controles de la organización de servicios, posibles implicaciones y acciones recomendadas. Esto permite fortalecer los procesos internos, prepararse para auditorías futuras y garantizar la transparencia en la gestión de riesgos asociados a los servicios tercerizados.

Además, la NIA 402 exige que cualquier deficiencia significativa identificada en la organización de servicios sea comunicada de forma directa, para que los responsables puedan reaccionar oportunamente y corregir situaciones que afecten la preparación de los estados financieros.

Implicaciones en auditorías de estados financieros consolidados

Cuando la entidad auditada es parte de un grupo empresarial que presenta estados financieros consolidados, el auditor debe asegurar que se evalúen conjuntamente los controles internos en todas las entidades y organizaciones de servicio relevantes. Este enfoque integral permite identificar riesgos comunes, así como problemas que podrían no ser evidentes al analizar cada entidad de manera individual.

En estos casos, la coordinación entre auditores de diferentes entidades y la referencia cruzada de informes se vuelven cruciales para asegurar la calidad y la exactitud de la consolidación financiera.

Diferencias y relación entre NIA 402 y otras NIA relevantes

Norma	Relación con NIA 402	Enfoque principal
NIA 315	Proporciona las bases para la identificación y valoración de riesgos relevantes, ampliadas por los riesgos de servicios externos en la NIA 402.	Conocimiento del negocio y valoración de riesgos
NIA 330	Establece respuestas a los riesgos identificados, que en la NIA 402 incluyen acciones específicas sobre servicios tercerizados.	Procedimientos ante riesgos valorados
NIA 500	Aporta directrices sobre cómo obtener evidencia de auditoría, complementarías a los procedimientos para servicios de terceros de la NIA 402.	Obtención de evidencia de auditoría

Relación con la NIA 315 (Identificación y valoración de riesgos)

La NIA 402 se apoya en la NIA 315 para identificar y valorar los riesgos relevantes relacionados con los servicios de terceros. Así, mientras la NIA 315 establece el marco general para la comprensión del negocio y la detección de amenazas, la NIA 402 especifica cómo integrar los controles y riesgos provenientes de organizaciones de servicios en ese análisis global.

La combinación de ambas normas permite al auditor tener un panorama completo sobre las fuentes de riesgo, asegurando que ningún eslabón quede fuera del proceso de valoración y respuesta ante amenazas a la integridad financiera.

Relación con la NIA 330 (Respuestas a los riesgos valorados)

La función de la NIA 330 es detallar las acciones y procedimientos específicos que el auditor debe implementar para responder a los riesgos previamente identificados. Cuando se trata de riesgos derivados de servicios tercerizados, la NIA 330 y la NIA 402 se complementan para determinar la naturaleza, oportunidad y extensión de las pruebas que el auditor debe aplicar en estos casos.

De esta forma, la estrategia de auditoría se construye sobre dos pilares: la identificación exhaustiva de amenazas, y la respuesta dinámica y adaptada a los riesgos específicos detectados en procesos delegados a terceros.

Enlace con la NIA 500 (Evidencia de auditoría)

Dentro del marco de la evidencia de auditoría según la NIA 500, la NIA 402 otorga directrices puntuales para determinar la validez y suficiencia de las pruebas recogidas sobre los servicios de terceros. La convergencia entre ambas normas ayuda al auditor a discriminar cuándo confiar en informes aportados por la organización de servicios y cuándo es necesario complementar, sustituir o ampliar las pruebas recogidas.

Este enfoque colaborativo garantiza que no existan vacíos de información, y que todas las fuentes de evidencia sean valoradas correctamente antes de emitir una opinión final.

Beneficios de aplicar correctamente la norma

Reducción de riesgos de error material: Favorece la detección temprana de posibles errores antes de que se conviertan en problemas significativos.
Mayor transparencia en la información financiera: Permite a las partes interesadas confiar en que los estados financieros reflejan la realidad de la entidad.
Identificación oportuna de deficiencias: Ayuda a mejorar los controles antes de un posible impacto negativo en la entidad.

Cumplimiento regulatorio: Facilita la adopción de estándares internacionales, algo cada vez más exigido a nivel global.
Mejor toma de decisiones: Proporciona información precisa y confiable para la dirección y los responsables del gobierno de la entidad.

Desafíos comunes en auditorías con servicios tercerizados

Dificultad para obtener evidencia suficiente: Limitaciones en la información proporcionada por el proveedor de servicios.

Interrupciones o cambios en el proveedor: El cambio de proveedor durante el período auditado puede dificultar la comparación de controles.
Falta de procedimientos estandarizados: Ausencia de políticas o metodologías claras en la selección y seguimiento de servicios tercerizados.
Desconocimiento de los riesgos inherentes: La entidad usuaria puede subestimar los riesgos asociados a los servicios externos.

Dependencia excesiva del informe de otros auditores: Riesgo de confiar en trabajos realizados por terceros sin un análisis exhaustivo propio.

Buenas prácticas para auditores y entidades usuarias

Revisión periódica de los contratos: Asegura que los acuerdos reflejen expectativas claras y establecen responsabilidades específicas sobre los controles.
Evaluación regular del desempeño del proveedor: Brinda transparencia sobre la calidad y fiabilidad de los servicios.

Documentación exhaustiva de cada etapa del proceso de auditoría: Facilita el seguimiento, la revisión y la identificación de mejoras continuas.
Capacitación constante para el personal: Incrementa el conocimiento sobre riesgos y controles asociados a los servicios tercerizados.
Integración de buenas prácticas globales y normas internacionales: Promueve una auditoría más robusta y alineada a estándares reconocidos.

Preguntas frecuentes

¿Cuándo se aplica obligatoriamente la NIA 402?

La NIA 402 se aplica de forma obligatoria cuando la entidad auditada depende de organizaciones de servicios para procesos relevantes que tienen impacto directo o indirecto en la información financiera. Es decir, cualquier situación donde un tercero tenga un rol importante en la generación, procesamiento o custodia de información financiera clave exige la aplicación rigurosa de esta norma.

¿Qué documentación debe conservar el auditor?

El auditor debe conservar todos los informes, contratos, evidencias de entrevistas, comunicaciones y pruebas realizadas sobre la organización de servicios y la entidad usuaria. Esto incluye informes ISAE 3402, cartas de confirmación y cualquier documento relevante que respalde las conclusiones y opiniones emitidas en el informe de auditoría, garantizando trazabilidad y verificabilidad del trabajo realizado.

¿Cuál es la diferencia entre informe Tipo 1 y Tipo 2?

La diferencia principal radica en el alcance temporal y la naturaleza de la evaluación. El informe Tipo 1 se enfoca exclusivamente en el diseño y la implementación de los controles en una fecha específica, mientras que el informe Tipo 2, además de ese análisis, valora el funcionamiento efectivo de estos controles durante un período prolongado de tiempo, lo que brinda mayor confiabilidad al auditor.

¿Cómo puede el auditor obtener evidencia si el proveedor de servicios está fuera del país?

Cuando el proveedor de servicios está en el extranjero, el auditor puede recurrir a informes de auditores independientes locales, solicitar documentación digitalizada o realizar entrevistas virtuales con responsables del proveedor. También es posible solicitar cartas de confirmación y, si es necesario, coordinar visitas presenciales en colaboración con auditores afiliados o con experiencia internacional.

¿Qué sucede si el proveedor de servicios se niega a facilitar información?

Si el proveedor se niega a colaborar, el auditor debe incrementar los procedimientos realizados sobre la entidad usuaria, buscar evidencia alternativa o considerar emitir una limitación de alcance en el informe de auditoría. La transparencia y la colaboración por parte del proveedor son imprescindibles para cumplir con los requisitos de la NIA 402.

¿Los informes de auditoría del servicio siempre deben ser ISAE 3402?

No necesariamente. Si bien ISAE 3402 se considera el estándar internacional, pueden existir otros informes válidos siempre que cumplan con requisitos similares en cuanto a alcance, objetividad y detalle sobre los controles implementados, aunque es recomendable priorizar ISAE 3402 cuando esté disponible.

¿Qué rol tiene la entidad usuaria en la supervisión de los servicios tercerizados?

La entidad usuaria debe monitorear de manera continua los servicios y los controles implementados por el proveedor. Tiene la responsabilidad de establecer mecanismos para evaluar la calidad y confiabilidad del servicio, identificar incidentes o deficiencias y actuar en consecuencia para proteger su información financiera.

¿Puede el auditor delegar el trabajo sobre la organización de servicios a otro auditor?

El auditor principal puede apoyarse en el trabajo de otros auditores, pero siempre conserva la responsabilidad final sobre la calidad y suficiencia de la evidencia recopilada. Debe evaluar la experiencia, objetividad e independencia del auditor del servicio antes de confiar plenamente en sus conclusiones.

¿Qué relación existe entre la NIA 402 y las auditorías internas?

La NIA 402 es aplicable en auditorías externas, pero su enfoque en el control de los servicios tercerizados puede servir de referencia para el departamento de auditoría interna, ayudando a identificar áreas de riesgo y a fortalecer los procesos internos de supervisión y control de proveedores externos.

¿Cómo afecta la NIA 402 a la planificación de la auditoría?

La NIA 402 influye en la planificación al requerir que el auditor identifique anticipadamente los procesos externalizados, sus riesgos y los controles aplicables. Esto impacta los procedimientos de auditoría, los tiempos y los recursos necesarios, exigiendo un enfoque preventivo para evitar sorpresas o limitaciones de alcance en las fases finales.

¿Qué debe considerar el auditor en una empresa que terceriza funciones críticas?

Debe considerar los riesgos inherentes, la experiencia previa con el proveedor, la calidad y disponibilidad de la evidencia, los controles internos de seguimiento y la posibilidad de solicitar información o realizar procedimientos adicionales cuando se detecten deficiencias o vacíos de información relevantes.

Conclusión

Como estudiante o profesional que explora la auditoría, comprender la NIA 402 no solo te permite analizar con detalle la interacción entre entidades y proveedores externos, sino que también fortalece tu visión crítica sobre los controles internos. No es solo una cuestión de cumplimiento, sino una herramienta indispensable en el contexto actual de tercerización masiva.

Aplicar lo aprendido sobre esta norma te permitirá identificar riesgos que, en otros tiempos, podrían haber pasado inadvertidos. Además, dominar su aplicación te abre puertas en un entorno empresarial cada vez más complejo, donde los servicios especializados suelen ser el día a día de cientos de compañías.

Afortunadamente, en nuestro sitio puedes profundizar en contenidos relacionados, como la NIA 540 y las estimaciones contables, para seguir enriqueciendo tu experiencia y tu formación en el mundo de la auditoría de primer nivel.