NIA-ES 402: entidades que usan una organización de servicios
La NIA-ES 402 es la norma que indica qué debe hacer el auditor cuando su cliente externaliza parte del procesamiento de su información financiera con un tercero, como una asesoría contable, una gestoría de nóminas o un proveedor de software en la nube. Exige entender esos servicios y los controles del cliente sobre ellos, usar con criterio los informes tipo 1 y tipo 2, responder a los riesgos y, si falta evidencia, modificar la opinión.
Título oficial: «Consideraciones de auditoría relativas a una entidad que utiliza una organización de servicios». Es la adaptación española, publicada por el ICAC, de la norma internacional de auditoría 402 del IAASB. Todas las normas, con su fecha, están en el índice de normas NIA-ES.
- Norma
- NIA-ES 402
- Texto vigente
- 11/04/2024
- Fase del encargo
- Planificación y riesgos
- Contenido revisado
- 29 de octubre de 2026
Objetivo de la NIA-ES 402
El auditor de la entidad que externaliza parte de su procesamiento debe, primero, entender qué hace el proveedor y cómo afecta al control interno de su cliente, lo bastante para valorar los riesgos de incorrección material. Después tiene que diseñar y aplicar los procedimientos que respondan a esos riesgos.
Texto vigente y fecha de aplicación
Rige la Resolución del ICAC de 11 de abril de 2024 (BOE-A-2024-8358), que actualizó esta norma. Obliga en las auditorías de cuentas anuales o de otros estados financieros de ejercicios iniciados desde el 1 de enero de 2024 y, en todo caso, en los trabajos contratados o encargados desde el 1 de enero de 2025.
Requisitos clave de la NIA-ES 402
Cuándo es relevante una organización de servicios y cuándo no se aplica la norma
La norma entra en juego cuando la entidad auditada, llamada usuaria, utiliza una organización externa cuyos servicios forman parte de su sistema de información financiera. Eso ocurre si afectan a cómo se inician, registran, procesan y presentan las transacciones, a los registros contables, al proceso de elaboración de las cuentas o al entorno de TI. No todo servicio externalizado interesa a la auditoría. Quedan fuera los bancos que solo procesan operaciones autorizadas por la entidad y las participaciones que un tercero contabiliza.
apartados 2-5 y 8(e)Conocer cómo usa la entidad los servicios del proveedor
El auditor entiende cómo la entidad utiliza el servicio con cuatro datos: la naturaleza y significatividad del servicio, incluido su efecto en el control interno; la naturaleza e importancia de las transacciones, cuentas o procesos afectados; el grado de interacción entre proveedor y entidad; y la relación contractual. La guía enumera las fuentes: manuales, descripciones de sistemas, el contrato y los informes del auditor del prestador.
apartado 9 y A1-A2Identificar y evaluar los controles de la entidad sobre esos servicios
Dentro de la actividad de control, el auditor identifica los controles de la entidad usuaria relacionados con los servicios, también los aplicados a las transacciones que procesa el proveedor. Evalúa su diseño y comprueba si están implementados. La guía recuerda que la entidad puede tener controles propios, como comparar lo que envía con lo que le devuelve el proveedor, con independencia de los que tenga este.
apartado 10 y A12-A14Conocimiento suficiente y vías para obtenerlo
El auditor decide si su conocimiento basta para identificar y valorar los riesgos de incorrección material. Si no lo consigue a través de la propia entidad, tiene cuatro vías, solas o combinadas: un informe de tipo 1 o de tipo 2, cuando exista; contactar con el proveedor por medio de la entidad; visitarlo; o recurrir a otro auditor. Para elegir pesan el tamaño de ambas organizaciones, la complejidad, la ubicación y la eficacia esperada del procedimiento.
apartados 11-12 y A15-A20Leer un informe de tipo 1 o de tipo 2 para entender los controles
Antes de apoyarse en un informe, el auditor se satisface de la competencia y la independencia del auditor del prestador y de la adecuación de las normas con que se emitió. Después evalúa si se refiere a una fecha o periodo útil, si su evidencia basta y si los controles complementarios que el proveedor espera de la entidad usuaria son relevantes y están diseñados e implementados.
apartados 13-14 y A21-A23Responder a los riesgos: registros de la entidad y procedimientos posteriores
Para responder a los riesgos valorados, el auditor determina si los registros que conserva la entidad dan evidencia suficiente y adecuada sobre las afirmaciones relevantes. Si no la dan, aplica procedimientos posteriores o pide a otro auditor que los aplique en el proveedor por su cuenta. La guía explica que puede hacer falta acceso directo a los registros del proveedor y que recurrir a otro auditor no traslada la responsabilidad.
apartado 15 y A24-A28Probar la eficacia de los controles del proveedor
Si espera que los controles del proveedor funcionen y quiere apoyarse en ellos, el auditor necesita evidencia de su eficacia operativa: un informe tipo 2, pruebas propias en el proveedor o pruebas de otro auditor. Con un informe tipo 2 evalúa el periodo cubierto, los controles complementarios, el tiempo transcurrido desde las pruebas y la relevancia de lo probado para las afirmaciones de la entidad. Un informe tipo 1 no sirve para esto.
apartados 16-17 y A29-A39Proveedor subcontratado que el informe deja fuera
Si el auditor prevé usar un informe, de tipo 1 o de tipo 2, que no incluye a una organización subcontratada por el proveedor y sus servicios son relevantes para la auditoría, aplica esta misma norma a la subcontratada: conocimiento, controles y respuesta. La guía distingue el método inclusivo, que cubre a la subcontratada, del excluyente, que la deja fuera.
apartado 18 y A40Indagar sobre fraude, incumplimientos e incorrecciones
El auditor pregunta a la dirección de la entidad usuaria si el proveedor le ha comunicado, o ella conoce por otra vía, algún fraude, incumplimiento legal o incorrección no corregida que afecte a sus cuentas. Después valora cómo influye en la naturaleza, el momento y la extensión de los procedimientos posteriores, y en sus conclusiones y su informe.
apartado 19 y A41Opinión modificada y silencio sobre el auditor del prestador
Si no obtiene evidencia suficiente y adecuada sobre servicios del proveedor relevantes para la auditoría, el auditor expresa una opinión modificada conforme a la NIA-ES 705. Con opinión no modificada no menciona el trabajo del auditor del prestador, salvo que lo exija la ley, y entonces aclara que no reduce su responsabilidad. Si la mención ayuda a entender una opinión modificada, también precisa que no la reduce.
apartados 20-22 y A42-A44
Lo que añade la versión española
La asesoría externa no traslada la responsabilidad de las cuentas
La guía, en su apartado sobre entidades pequeñas (A5), recuerda que el servicio externo no exime a la dirección ni, en su caso, a los responsables del gobierno. El criterio 15 de la Resolución de 11/04/2024 añade que los administradores siguen siendo responsables de las cuentas anuales, incluido su control interno, aunque un tercero haya intervenido con su autorización o aquiescencia.
apartado A5; criterio 15 de la Resolución del ICAC de 11/04/2024La norma ISAE 3402 no está adaptada en España
La guía admite que los informes tipo 1 y tipo 2 se emitan según la norma internacional ISAE 3402 o según las de otro organismo emisor reconocido. El texto español añade una nota: la ISAE 3402 no está adaptada al marco español de auditoría de cuentas. El apartado 13 se aplica a cualquier informe, también al emitido con ella: el auditor se satisface de la competencia y la independencia de quien lo firmó y de la adecuación de las normas usadas, y A21 permite informarse de cuáles utilizó.
apartado A16, nota al pieSin consideraciones para entidades del sector público
El texto español elimina las consideraciones específicas para entidades del sector público que traía la norma internacional, porque el ICAC suprime todo lo que se refiere a la auditoría en ese ámbito. El resto de la norma se aplica sin esas consideraciones.
criterio 4 de la Resolución del ICAC de 11/04/2024Citar al auditor del prestador, con opinión no modificada, solo si la ley lo exige
Con opinión no modificada, la norma solo permite citar el trabajo del auditor del prestador si lo exige una disposición legal o reglamentaria. El texto español mantiene la regla y suprime el ejemplo que ilustraba esa exigencia. Si la mención llegara a hacerse, el auditor puede necesitar antes el consentimiento del auditor del prestador (A43). Con opinión modificada, A44 deja citarlo si ayuda a explicar el motivo.
apartados 21-22, A43 y A44
Cómo se aplica en un encargo en España
La gestoría de nóminas: ¿organización de servicios relevante?
Una SL con 40 empleados encarga las nóminas a una gestoría, que calcula la 640 Sueldos y salarios, la 642 Seguridad Social a cargo de la empresa y las retenciones de la 4751. Esos servicios afectan al registro de transacciones, así que forman parte del sistema de información y la norma se aplica. Aunque el gasto de personal no sea la mayor partida, puede interesar por la naturaleza de las transacciones (A6). Que la misma SL use un banco para pagos que ella autoriza queda fuera, por el apartado 5.
Toda la contabilidad en una asesoría y sin informe tipo 1 ni tipo 2
Una SL de 15 empleados tiene su contabilidad completa en una asesoría externa y no hay informe sobre controles. El auditor repasa las vías del apartado 12. Como la externalización es total, la visita a la asesoría puede ser lo que mejor funcione, porque probablemente exista interacción directa entre las dos direcciones (A18). En la visita prueba cómo se registran las ventas (700, 430) y los cobros (572) y quién autoriza los asientos manuales de cierre.
Informe tipo 2 que no cubre todo el ejercicio
El proveedor del ERP en la nube de una SL entrega un informe tipo 2 del 1 de octubre de 2024 al 30 de septiembre de 2025. El ejercicio de la SL es el año natural 2025, de modo que quedan tres meses sin cubrir (A33). El auditor pregunta por cambios significativos en el proveedor desde el 1 de octubre de 2025 y decide, según el riesgo, si extiende las pruebas al periodo que falta o prueba el seguimiento que la propia SL hace de su control interno (A34). Comprueba también si el informe presupone controles complementarios, como que la SL autorice las facturas antes de enviarlas (A36).
Probar los controles de la propia SL sobre las nóminas
Con la gestoría de nóminas, la SL compara cada mes la lista de altas y bajas que envía con el listado que le devuelve la gestoría y recalcula una muestra de nóminas (A12). El auditor prueba esos controles en la propia SL y, si funcionan, apoya en ellos su trabajo sobre las afirmaciones de la 640 (A13). Si juzga que para algún riesgo los procedimientos sustantivos solos no darían evidencia suficiente y adecuada, algo que puede ocurrir con un procesamiento muy automatizado y casi sin intervención manual, los controles de la usuaria son relevantes y hay que evaluarlos (A14).
Cartera en una gestora: cuándo la confirmación basta
Una SL tiene 2.000.000 € en una cartera a largo plazo (250) gestionada por una gestora y custodiada en un depositario. El auditor confirma saldos con ambos. Si la SL lleva registros independientes de la cartera, la confirmación del depositario puede ser evidencia fiable de existencia. Si no los lleva, la confirmación solo repite lo que dice el proveedor y por sí sola no basta (A26): busca otra fuente independiente o recurre a otro auditor.
La asesoría no da acceso a los registros: limitación al alcance
La evidencia de una SL consta solo en los registros que lleva la asesoría y esta no permite el acceso directo. Es una limitación al alcance (A42). Si los posibles efectos fueran materiales en una partida, como 1.200.000 € de gastos de personal (640), pero no generalizados, procede salvedad. Si afectaran a toda la contabilidad, procede denegar la opinión, con arreglo a la NIA-ES 705 a la que remite el apartado 20 de la 402.
Papeles de trabajo que genera
Ficha de la organización de servicios
Naturaleza y significatividad de cada servicio, transacciones, cuentas y procesos afectados, grado de interacción con la entidad, términos del contrato y fuentes consultadas.
apartado 9Matriz de controles de la entidad usuaria sobre el servicio
Controles de la entidad relacionados con el servicio, evaluación de su diseño y comprobación de que están implementados, con las pruebas realizadas y sus resultados.
apartado 10Decisión sobre la vía de obtención de conocimiento
Si el conocimiento obtenido a través de la entidad es suficiente y, si no lo es, cuál de las cuatro vías se aplica (informe, contacto, visita u otro auditor) y por qué, con los factores de la guía.
apartado 12Evaluación del informe tipo 1 o tipo 2
Competencia e independencia del auditor del prestador, normas aplicadas, fecha o periodo cubierto, controles complementarios, excepciones o salvedades del informe y su efecto en la valoración del riesgo.
apartados 13, 14 y 17Análisis de cobertura del periodo
El periodo del informe tipo 2 frente al ejercicio de la entidad, el tiempo transcurrido desde las pruebas, los cambios significativos fuera de ese periodo y la evidencia adicional obtenida.
apartado 17Constancia de las indagaciones sobre fraude e incumplimientos
Buena práctica: dejar constancia de las preguntas a la dirección sobre comunicaciones del proveedor, de sus respuestas y de la evaluación de cómo afectan a los procedimientos posteriores y al informe (apartado 19).
apartado 19
Errores frecuentes
Usar un informe tipo 1 como prueba de que los controles funcionan
El informe tipo 1 describe y valora el diseño de los controles en una fecha, pero no da evidencia alguna de su eficacia operativa. Para apoyarse en esa eficacia hace falta un informe tipo 2 u otras pruebas.
apartados 16 y A22Fiarse de una confirmación del proveedor sin registros propios de la entidad
Cuando la entidad no lleva registros independientes de lo que gestiona el proveedor, la confirmación de este es solo una declaración de lo que sus propios registros reflejan. Por sí sola no es evidencia fiable.
apartado A26Olvidar los controles complementarios de la entidad usuaria
El servicio puede estar pensado para que la entidad aplique controles, por ejemplo autorizar las operaciones antes de enviarlas. El auditor debe determinar si son relevantes y, en tal caso, comprobar que se diseñaron e implementaron.
apartado 14No comparar el periodo del informe con el ejercicio de la entidad
Un informe tipo 2 con poco solapamiento, o con pruebas lejanas, ofrece menos evidencia. Si el periodo queda completamente fuera, el auditor no puede basarse en él, por sí solo, para concluir que los controles funcionan en el periodo auditado.
apartado 17Citar al auditor del prestador como fundamento de una opinión no modificada
La utilización de una organización de servicios no cambia la responsabilidad del auditor de la usuaria. Con opinión no modificada, el informe no menciona el trabajo del auditor del prestador, salvo que lo requiera una norma legal.
apartado 21Dar por cubierto al proveedor subcontratado cuando el informe lo excluye
Si el auditor prevé usar un informe que sigue el método excluyente y los servicios de la subcontratada son relevantes, debe aplicar la norma también a ella. Dejarla sin tratar deja un tramo del sistema de información sin entender.
apartado 18
Relación con otras NIA-ES
- NIA-ES 315 (Revisada 2019): identificación de riesgos
La 402 desarrolla cómo se aplica la 315 (Revisada 2019) para entender la entidad y su control interno cuando hay una organización de servicios: los apartados 9 y 10 citan sus apartados 19 y 26.
- NIA-ES 330: respuestas a riesgos
La 402 desarrolla cómo aplicar la 330 para responder a los riesgos. Cuando se confía en los controles del proveedor, la guía A29 explica que se aplica el requerimiento de pruebas de controles de la 330 (apartado 8).
- NIA-ES 220 (Revisada): gestión de la calidad del encargo
Si el auditor recurre a otro auditor, A19 remite a la 220 (Revisada) para valorar su competencia e independencia, dirigirlo, supervisarlo y evaluar la evidencia que obtenga.
- NIA-ES 265: deficiencias del control interno
La guía A39 recuerda que el auditor comunica por escrito las deficiencias significativas a la dirección y a los responsables del gobierno, según los apartados 9 y 10 de la 265, también las detectadas en controles con proveedores.
- NIA-ES 705 (Revisada): opinión modificada
Si no se consigue evidencia suficiente sobre los servicios relevantes del proveedor, el apartado 20 remite a la 705 (Revisada); la guía A42 distingue salvedad y denegación según el efecto sea o no generalizado.
Preguntas frecuentes sobre la NIA-ES 402
¿Qué es la NIA-ES 402?
Es la norma española de auditoría que dice cómo obtiene evidencia el auditor de una entidad que externaliza servicios relevantes para su información financiera. Obliga a entender esos servicios y sus controles, a usar con criterio informes tipo 1 y tipo 2 y a responder a los riesgos.
¿Qué es una organización de servicios y una gestoría de nóminas lo es?
Es una organización externa que presta servicios que se integran en el sistema de información financiera de la entidad usuaria (apartado 8). Una gestoría que calcula nóminas lo es, y la guía A12 usa ese caso. Una asesoría que lleva la contabilidad completa también (A5 y A18).
¿Qué diferencia hay entre un informe tipo 1 y uno tipo 2?
El tipo 1 describe los controles del proveedor y su diseño en una fecha. El tipo 2 añade su eficacia operativa durante un periodo y las pruebas realizadas. Solo el tipo 2 sirve para apoyarse en la eficacia de los controles; el tipo 1 no da evidencia sobre ella (A22).
¿Qué hace el auditor si el proveedor no tiene informe tipo 1 ni tipo 2?
Si no logra conocimiento suficiente por medio de la entidad, aplica una de estas vías, o varias: contactar con el proveedor a través de la entidad, visitarlo o recurrir a otro auditor (apartado 12). Si se ha externalizado una función significativa, como la contabilidad, y no hay informe, la visita puede resultar lo más útil (A18).
¿Puede el auditor citar en su informe el trabajo del auditor del proveedor?
Con opinión no modificada, no, salvo que lo exija una disposición legal o reglamentaria; y entonces aclara que la mención no reduce su responsabilidad (apartado 21). Con opinión modificada, puede hacerlo si ayuda a explicar el motivo, con la misma aclaración (apartado 22 y A44).
¿Se aplica a un banco que procesa los pagos de la cuenta corriente?
No, si el banco solo procesa transacciones de la cuenta que la entidad ha autorizado expresamente, y tampoco a un intermediario bursátil que procese operaciones con valores en las mismas condiciones. Así lo establece el apartado 5, que excluye esos servicios financieros limitados.
¿Desde cuándo es obligatoria la versión vigente de la NIA-ES 402?
La versión vigente es la de la Resolución del ICAC de 11 de abril de 2024. Es obligatoria para cuentas de ejercicios iniciados desde el 1 de enero de 2024 y, en todo caso, para los trabajos contratados o encargados desde el 1 de enero de 2025.
¿Un informe SOC 1 o tipo 2 sustituye los procedimientos del auditor?
No lo sustituye de forma universal. Un informe tipo 2, sea un SOC 1 o un ISAE 3402, es evidencia que el auditor evalúa: la norma cita la ISAE 3402 (A16) pero no menciona el SOC 1, y exige valorar la adecuación de las normas con que se emitió (apartado 13(b), A16, A21), la competencia e independencia de quien lo emite, el periodo que cubre, los controles complementarios y su relevancia para las afirmaciones. Si no basta, el auditor aplica procedimientos adicionales o los pide a otro auditor (apartados 13-17).
Referencia normativa
- Estado
- Vigente en España
- Denominación oficial
- Consideraciones de auditoría relativas a una entidad que utiliza una organización de servicios
- Resolución base
- Resolución de 11/04/2024 (BOE 25/04/2024)
- Resoluciones anteriores y modificaciones
- Sin otras resoluciones de este texto
- Condiciones de aplicación
- Ejercicios iniciados a partir del 1 de enero de 2024.
- En todo caso, encargos contratados a partir del 1 de enero de 2025.
Verificada el 27 de octubre de 2026.
Fuentes oficiales
- Texto vigente de la NIA-ES 402 (PDF del ICAC)
- Resolución del ICAC de 11 de abril de 2024, con el texto de todas las NIA-ES (BOE-A-2024-8358)
- ICAC: normas técnicas de auditoría y control de calidad vigentes
Los apartados citados remiten al texto vigente de la NIA-ES 402 publicado por el ICAC. Esta ficha resume y explica la norma; no la sustituye. Referencia normativa verificada el 27 de octubre de 2026.
Acceso prioritario
Cómo aplicar la NIA-ES 402 a tu cartera de encargos
Solicita acceso prioritario y te avisaremos cuando habilitemos el acceso a la plataforma.
Registro gratuito y sin compromiso.