NIA-ES 402: organizaciones de servicios

La NIA-ES 402 regula la actuación del auditor cuando la entidad auditada utiliza una organización de servicios para procesos relevantes (nómina externalizada, gestor de inversiones, plataforma cloud que procesa transacciones). La norma exige comprender los servicios prestados, su efecto sobre el control interno de la entidad usuaria y los riesgos asociados. Para obtener evidencia sobre los controles del servicio el auditor puede utilizar informes específicos emitidos por el auditor del proveedor (ISAE 3402 tipo 1 o tipo 2), realizar procedimientos directamente sobre el proveedor con su consentimiento, o aplicar procedimientos sustantivos completos sin apoyarse en sus controles. La elección depende del nivel de control externalizado y del riesgo asociado al servicio.

La NIA-ES 402 forma parte de las NIA-ES adaptadas a España por el ICAC. Toda auditoría de cuentas anuales en territorio español debe aplicarla cuando concurren los supuestos previstos por la norma. Su correcta aplicación es objeto de revisión en las inspecciones del ICAC y en los procesos de control de calidad de las firmas.

Ignorar los procesos externalizados materiales (nómina, gestión de inversiones, sistemas críticos). Aceptar informes ISAE 3402 sin evaluar competencia del auditor emisor y alcance del trabajo. Asumir que el proveedor tiene controles efectivos sin evidencia documental sobre su operatividad. No considerar el tipo (1 o 2) del informe ISAE 3402 al evaluar la evidencia que aporta.