Cuando otro procesa tus datos, el riesgo no desaparece
La NIA 402 guía al auditor cuando la entidad utiliza un proveedor externo para procesar transacciones o mantener información relevante para los estados financieros. Esta guía explica cómo entender el servicio, evaluar controles, usar informes del auditor de servicios y obtener evidencia suficiente.
¿Qué exige la NIA 402?
La NIA 402 establece las consideraciones del auditor cuando la entidad utiliza una o más organizaciones de servicios. El auditor debe obtener una comprensión suficiente de la naturaleza y significatividad del servicio, su efecto en el control interno relevante para la auditoría y cómo se procesa, registra, informa y protege la información.
Una organización de servicios puede ser un proveedor de nómina, facturación electrónica, procesamiento de tarjetas, almacenamiento en la nube, administración de inversiones, logística con impacto en inventarios, centro compartido del grupo o plataforma que genera reportes contables. Lo importante no es que el proceso esté fuera de la oficina, sino que forme parte del sistema de información relevante para los estados financieros.
La dirección de la entidad usuaria mantiene la responsabilidad por la información financiera y por los controles que necesita. El auditor no puede asumir que un proveedor certificado elimina el riesgo. Debe evaluar si el servicio afecta afirmaciones, saldos, transacciones, revelaciones, accesos, integridad de datos o continuidad, y diseñar respuestas según la NIA 315 y la NIA 330.
La evidencia puede obtenerse mediante comprensión directa, procedimientos en la organización de servicios, uso del trabajo de otro auditor o evaluación de un informe del auditor de servicios. Un informe de controles puede ser útil, pero el auditor debe evaluar su tipo, periodo, alcance, competencia e independencia, resultados, excepciones y controles complementarios de la entidad usuaria.
Seis piezas que deben encajar en un servicio externo
Servicio relevante
Define qué procesa el proveedor, qué saldos afecta, qué datos recibe, qué reportes genera y qué controles son relevantes para la auditoría.
Interfaz y flujo
Comprende origen, transmisión, validación, transformación, conciliación y registro de datos entre entidad usuaria y proveedor.
Controles del proveedor
Identifica controles preventivos y detectivos, accesos, cambios, respaldos, continuidad, incidentes, monitoreo y gestión de subservicios.
Informe de servicios
Distingue informe tipo 1 —diseño a una fecha— de tipo 2 —diseño y operación durante un periodo— y evalúa su utilidad para el riesgo.
Controles complementarios
Identifica controles que debe ejecutar la entidad usuaria: conciliaciones, autorizaciones, revisión de reportes, accesos y validación de interfaces.
Suborganizaciones
Determina si el proveedor delega procesos a otra organización y cómo esa cadena afecta alcance, evidencia, seguridad y continuidad.
Siete pasos para auditar un proveedor de servicios
La respuesta debe seguir el dato desde la entidad hasta el proveedor y de regreso al estado financiero. Este flujo ayuda a no confundir un certificado con evidencia suficiente.
Inventariar
Lista proveedores, procesos, ubicaciones, contratos, reportes, saldos y afirmaciones afectadas.
Comprender
Describe cómo se origina, procesa, almacena, transforma y devuelve la información.
Valorar
Evalúa riesgo inherente, tecnología, accesos, subservicios, continuidad, errores e impacto en estados financieros.
Obtener
Solicita contrato, descripción del servicio, informe tipo 1 o 2, controles complementarios y reportes de incidentes.
Evaluar
Revisa alcance, fecha, periodo, pruebas, excepciones, opinión del auditor de servicios y competencia.
Corroborar
Prueba conciliaciones, reportes, controles de usuario, interfaces, datos y transacciones con evidencia adicional.
07 · Concluir
Determina si la evidencia cubre el riesgo; si no, visita el proveedor, utiliza otro auditor, diseña procedimientos alternativos o evalúa una limitación al alcance. Usar checklist.
Leer el informe del servicio con criterio
Un informe tipo 1 describe el sistema y la idoneidad del diseño de controles en una fecha determinada. Puede ayudar a comprender el servicio y el diseño, pero normalmente no demuestra que los controles operaron durante todo el periodo de auditoría. Un informe tipo 2 incluye descripción, diseño y pruebas de operación durante un periodo, con resultados y excepciones.
El auditor evalúa si el periodo cubierto coincide con el periodo de estados financieros. Si existe una brecha, puede necesitar procedimientos de puente, evidencia complementaria o pruebas sobre el intervalo. También verifica que los objetivos de control relevantes estén incluidos y que los controles complementarios asignados a la entidad usuaria se hayan ejecutado.
La opinión del auditor de servicios no se copia automáticamente al informe del auditor de la entidad usuaria. Se evalúa competencia e independencia, adecuación de estándares, alcance, materialidad, resultados, excepciones y efecto en riesgos. Si el informe está modificado o no cubre un control crítico, la respuesta debe cambiar.
Control complementario
El proveedor puede conciliar una interfaz, pero la entidad usuaria debe revisar el reporte y aprobar las excepciones. El proveedor puede proteger servidores, pero la entidad usuaria debe controlar quién solicita accesos y cómo revisa usuarios.
Pregunta de auditoría
¿Qué control sigue siendo responsabilidad del cliente aunque el proveedor entregue un informe limpio?
Clasificador de dependencia de servicios
Selecciona el tipo de servicio, la relevancia y la evidencia disponible. Obtendrás una orientación sobre profundidad de trabajo y escalamiento.
Evaluador de informe del auditor de servicios
Valora si el informe tipo 1 o tipo 2 puede aportar evidencia para tu riesgo. El resultado no reemplaza la lectura completa ni el juicio profesional.
Nómina Cloud: cuando el informe no cubre lo que necesitas
Un proveedor externo procesa salarios y accesos
Servicios Andinos S.A. utiliza Nómina Cloud para calcular salarios, beneficios y retenciones. El proveedor entrega un informe tipo 2 de enero a septiembre. El cierre financiero es diciembre. El informe excluye el control de revisión de altas y bajas de empleados, que la entidad usuaria debe realizar.
Hechos y preguntas
- El informe tiene una brecha de tres meses hasta el cierre.
- El control de altas y bajas es un control complementario del cliente.
- Un subcontratista aloja la base de datos y no está claramente descrito.
- La nómina afecta gastos, pasivos laborales, impuestos y revelaciones.
Pregunta: ¿basta con archivar el informe tipo 2?
Respuesta metodológica
- Comprender servicio, flujo de datos, subservicio, contratos, reportes y afirmaciones afectadas.
- Evaluar periodo del informe y diseñar procedimientos puente para octubre-diciembre.
- Probar el control complementario de altas y bajas y reconciliar reportes con libro mayor.
- Investigar accesos del subcontratista, incidentes y continuidad; solicitar evidencia adicional.
- Concluir sobre suficiencia, ampliar trabajo o evaluar una limitación si no se obtiene evidencia.
Checklist de una auditoría con organización de servicios
Diez fallas al auditar servicios externalizados
Un informe no cubre automáticamente todos los riesgos, periodos ni controles.
El proceso o control relevante puede estar excluido del informe.
Un informe tipo 2 no siempre cubre el periodo completo de estados financieros.
Conciliaciones, revisiones y autorizaciones pueden seguir siendo responsabilidad del cliente.
La cadena de proveedores puede trasladar datos, accesos y riesgos críticos.
Los resultados de pruebas deben conectarse con riesgos, fechas y controles compensatorios.
Un reporte generado por un proveedor puede requerir pruebas de integridad y exactitud.
Una salvedad del auditor de servicios puede cambiar la respuesta de la entidad usuaria.
Las diferencias entre sistemas pueden afectar integridad, corte y clasificación.
Si no hay informe o acceso, debe definirse otra fuente de evidencia o evaluar limitación.
Externalizar no significa perder supervisión
La dirección debe gobernar la relación con el proveedor: definir servicios, niveles de atención, controles, seguridad, acceso a información, incidentes, continuidad, subcontratación y derecho de auditoría. Un contrato que solo establece precio no protege la calidad de la información financiera.
El auditor revisa si el proveedor puede afectar integridad, disponibilidad y confidencialidad de datos relevantes. En un entorno cloud, considera usuarios privilegiados, cambios, respaldos, recuperación, jurisdicciones, cifrado, interfaces, registros de actividad y dependencia de subcontratistas. La NIA 315 aporta la comprensión tecnológica; la NIA 330 orienta respuestas.
La comunicación con el gobierno debe explicar dependencia, limitaciones, controles complementarios, incidentes, brechas y efecto en la opinión. Si el proveedor limita el acceso a evidencia, el asunto puede convertirse en una limitación al alcance y no solo en un problema operativo.
Pregunta de gobierno
¿La entidad sabe qué pasaría con sus estados financieros si el proveedor deja de operar mañana?
Respuesta que debe existir
Plan de continuidad, acceso a datos, respaldo independiente, responsable de transición, derechos contractuales, evidencia de controles y procedimiento para comunicar incidentes.
Comprueba tu criterio sobre la NIA 402
Preguntas frecuentes sobre la NIA 402
¿Qué es una organización de servicios?
Es una organización externa que presta servicios que forman parte del sistema de información relevante para la información financiera de la entidad usuaria, como nómina, facturación, procesamiento de pagos o nube.
¿La NIA 402 aplica a cualquier proveedor?
Aplica cuando el servicio es relevante para la auditoría y puede afectar transacciones, saldos, revelaciones, controles o riesgos de incorrección material. No todo proveedor comercial es relevante.
¿Qué diferencia hay entre informe tipo 1 y tipo 2?
El tipo 1 informa sobre diseño y descripción en una fecha. El tipo 2 añade pruebas de operación durante un periodo y resultados de esas pruebas.
¿El auditor puede confiar automáticamente en un informe tipo 2?
No. Debe evaluar alcance, periodo, objetivos, controles, excepciones, competencia e independencia del auditor de servicios y controles complementarios del usuario.
¿Qué son los controles complementarios de la entidad usuaria?
Son controles que el proveedor supone que la entidad usuaria ejecutará para alcanzar los objetivos de control, como revisar reportes, conciliar interfaces o aprobar accesos.
¿Qué ocurre si el proveedor usa un subcontratista?
El auditor comprende la cadena, evalúa cómo afecta el alcance y obtiene evidencia sobre controles, accesos, datos y continuidad del subservicio.
¿Qué hacer si no hay informe de controles?
El auditor puede obtener comprensión directa, realizar procedimientos en el proveedor, utilizar el trabajo de otro auditor o diseñar procedimientos alternativos. Si no logra evidencia, evalúa una limitación.
¿La NIA 402 cubre ciberseguridad?
Considera controles tecnológicos relevantes para la información financiera, como accesos, cambios, respaldos, continuidad e incidentes. El alcance depende del riesgo y del servicio.
¿Cómo se relaciona con la NIA 315?
La NIA 315 ayuda a identificar y valorar riesgos asociados con el servicio y la tecnología; la NIA 402 orienta la comprensión y evidencia específica del proveedor.
¿Esta guía sustituye la norma oficial?
No. Es material educativo. La NIA oficial, regulación local, contrato y circunstancias del encargo son la base del trabajo profesional.
¿Tu proveedor forma parte de tu sistema de información?
Alxaz Consulting puede ayudarte a mapear dependencias, evaluar informes tipo 1 y 2, probar controles complementarios y preparar respuestas de auditoría.
Fuentes oficiales y alcance
La estructura de esta guía se contrastó con el proyecto oficial del IAASB sobre organizaciones de servicios, la base de conclusiones de ISA 402 y el Handbook 2025 del IAASB. El contenido de Alxaz tiene finalidad educativa y no reemplaza el texto oficial.
En Ecuador se debe verificar la adopción local, los requerimientos del regulador, el contrato con el proveedor, la legislación de datos, el código de ética y las circunstancias del encargo antes de concluir.