NORMA INTERNACIONAL DE AUDITORÍA 265

NORMA INTERNACIONAL DE AUDITORÍA 265

COMUNICACIÓN DE DEFICIENCIAS EN EL CONTROL INTERNO

A LOS ENCARGADOS DEL GOBIERNO CORPORATIVO Y A LA

ADMINISTRACIÓN

Objetivo

El objetivo del auditor es comunicar de forma apropiada a los encargados del gobierno corporativo y a la administración las deficiencias en el control interno que el auditor haya identificado durante la auditoría y que, a juicio profesional del auditor, son de suficiente importancia para merecer sus respectivas atenciones.

Definiciones

Para fines de las NIA, los siguientes términos tienen los significados que se les atribuyen a continuación:

a) Deficiencia en el control interno. Existe cuando:

I. Un control se diseña, implementa u opera de manera tal que no tenga capacidad de prevenir o detectar y corregir, errores en los estados financieros oportunamente; o

II. Falta un control necesario para prevenir o detectar y corregir errores en los estados financieros oportunamente;

b) Deficiencia significativa en el control interno. Una deficiencia o combinación de deficiencias en el control interno que, ajuicio profesional del auditor, es de suficiente importancia para ameritar la atención de los encargados del gobierno corporativo.

Requisitos

El auditor deberá determinar si, sobre la base del trabajo de auditor desempeñado, el auditor ha identificado una o más deficiencias en el control interno.

El auditor deberá comunicar por escrito las deficiencias significativas en el control interno identificadas durante la auditoría a los encargados del gobierno corporativo oportunamente.

a) Por escrito, las deficiencias significativas en el control interno que el auditor haya comunicado o piensa comunicar a los encargados del gobierno corporativo, a menos que fuera inapropiado comunicarle directamente a la administración en las circunstancias; y (Ref. A14, A20-A21)

b) Otras deficiencias en el control interno identificadas durante la auditoría que no hayan comunicado a la administración otras partes y que a juicio profesional del auditor son de suficiente importancia para ameritar la atención de la administración.

. El auditor deberá incluir en la comunicación escrita de las deficiencias significativas en el control interno:

a) Una descripción de las deficiencias y una explicación de sus potenciales efectos; y

b) Suficiente información para permitir a los encargados del gobierno corporativo y a la administración entender el contexto de la comunicación. En particular, el auditor deberá explicar que:

i) El propósito de la auditoría es que el auditor exprese una opinión sobre los estados financieros;

ii) La auditoría incluye la consideración del control interno relevante a la preparación de los estados financieros para planear procedimientos de auditoría que sean apropiados en las circunstancias, pero no para el propósito de expresar una opinión sobre la efectividad del control interno; y

iii) Los asuntos que se reportan se limitan a las deficiencias que el auditor ha identificado durante la auditoría y que el auditor ha concluido que son de suficiente importancia para merecer reportarse a los encargados del gobierno corporativo.

Determinación de si se han identificado las deficiencias en el control interno

Al determinar si el auditor ha identificado una o más deficiencias en el control interno,  el auditor puede discutir los hechos y circunstancias relevantes de los resultados del auditor con el nivel apropiado de la administración. Esta discusión brinda una oportunidad de que el auditor alerte a la administración oportunamente sobre la existencia de deficiencias de las que puede no haberse dado cuenta previamente. El nivel de administración con quien es apropiado discutir los resultados es el que esté familiarizado con el área de control interno de que se trate y que tenga la autoridad de tomar una acción de remedio sobre cualesquier deficiencias identificadas en el control interno. En algunas circunstancias, puede no ser apropiado que el auditor discuta los resultados del auditor directamente con la administración, por ejemplo, si los resultados parecen hacer que se cuestione la integridad o competencia de la administración.

Si bien es probable que los conceptos fundamentales de las actividades de control en pequeñas entidades sean similares a los de las entidades mayores, la formalidad con la que operan variará. Más aún, las pequeñas entidades pueden encontrar que ciertos tipos de actividades de control no son necesarias debido a controles que aplica la administración. Por ejemplo, la autoridad exclusiva de la administración para conceder crédito a clientes y aprobar compras importantes puede dar un control efectivo sobre saldos de cuentas y transacciones importantes, reduciendo o eliminando la necesidad de actividades de control más detalladas.

También, las pequeñas entidades a menudo tienen menos empleados lo que puede limitar el grado en que es factible la segregación de funciones. Sin embargo, en una entidad pequeña administrada por el dueño, el gerente-dueño puede tener capacidad de ejercer una supervisión más efectiva que en una entidad mayor. Este nivel más alto de supervisión de la administración necesita equilibrarse contra el mayor potencial de que la administración sobrepase los controles.

Deficiencias importantes en el control interno

La importancia de una deficiencia o combinación de deficiencias en el control interno depende no solo de si ha ocurrido realmente en errores, sino también de la probabilidad de que pudiera ocurrir y la potencial magnitud de los mismos. Por tanto, pueden existir deficiencias significativas aun cuando el auditor no haya identificado errores durante la auditoría.

Los ejemplos de asuntos que el auditor puede considerar al determinar si una deficiencia o combinación de deficiencias en el control interno constituye una deficiencia significativa, incluyen:

• La probabilidad de que las deficiencias lleven a errores materiales en los estados financieros en el futuro.

• La susceptibilidad a pérdida o fraude del activo o pasivo relacionado.

• La subjetividad y complejidad de determinar montos estimados, como estimaciones contables del valor razonable.

• Los montos de los estados financieros expuestos a las deficiencias.

• El volumen de actividad que ha ocurrido o pudiera ocurrir en el saldo de cuenta o clase de transacciones expuestos a la deficiencia o deficiencias.

• La importancia de los controles para el proceso de información financiera; por ejemplo:

° Controles de monitoreo general (como supervisión de la administración)

° Controles sobre la prevención y detección de fraude.

° Controles sobre la selección y aplicación de políticas contables importantes.

° Controles sobre transacciones importantes con partes relacionadas. 0

 Controles sobre transacciones importantes fuera del curso normal de negocios de la entidad.

° Controles sobre el proceso de información financiera final del ejercicio.

Comunicación de deficiencias en el control interno

Comunicación de deficiencias importantes en el control interno a los encargados del gobierno corporativo

Comunicar por escrito las deficiencias significativas a los encargados del gobierno corporativo refleja la importancia de estos asuntos, y ayuda a los encargados del gobierno corporativo a cumplir sus responsabilidades de supervisión. La NIA 260 establece consideraciones relevantes respecto de la comunicación con los encargados del gobierno corporativo cuando todos ellos están involucrados en administrar la entidad.

 Al determinar cuándo emitir la comunicación escrita, el auditor puede considerar si recibir esa comunicación sería un factor importante para facilitar a los encargados del gobierno corporativo descargar sus responsabilidades de supervisión. Además, para entidades que cotizan en mercado de valores en ciertas jurisdicciones, los encargados del gobierno corporativo pueden necesitar recibir la comunicación escrita del auditor antes de la fecha de aprobación de los estados financieros para deslindar responsabilidades específicas en relación con el control interno para fines de regulación u otros fines. Para otras entidades, el auditor puede emitir la comunicación escrita en una fecha posterior.

Sin embargo, en el último caso, como la comunicación escrita del auditor de las deficiencias significativas forma parte del archivo final de auditoría, la comunicación escrita está sujeta al requisito predominante7 de que el auditor complete la compilación del archivo final de auditoría oportunamente. La NIA 230 declara que un límite apropiado de tiempo dentro del cual completar la compilación del archivo final de auditoría es ordinariamente de no más de 60 días después de la fecha del dictamen del auditor.