Deficiencias de accesos, proveedor en la nube y analítica de 4.6 millones de CFDI
Grupo Retail del Pacífico, S.A. de C.V. opera 210 tiendas y emite 4.6 millones de CFDI al año; la materialidad global es $12 millones. En la auditoría de 20X5 se detectó: (i) el ERP permite que el usuario genérico «admin» cree proveedores en el maestro y apruebe pagos, sin segregación de funciones; (ii) 37 empleados dados de baja en recursos humanos conservan accesos activos al módulo financiero; (iii) el proveedor en la nube que procesa la nómina no entregó un informe SOC 1 Tipo 2 vigente, solo una carta de su dirección; (iv) el módulo de ingresos reconoce automáticamente ingresos por tarjetas de regalo y bonos de lealtad, y su configuración nunca ha sido probada; (v) para probar los 4.6 millones de CFDI el auditor planea análisis de datos, pero la información se entrega en tres formatos distintos, sin diccionario de datos ni totales de control. La gerencia de TI afirma que «el sistema es seguro porque está en la nube».
1. ¿Cómo evalúa las deficiencias de los puntos (i) y (ii)? ¿Son deficiencias significativas y cómo modifican el enfoque de auditoría?
Read the worked answer
Calificación. Ambas son deficiencias en controles generales de TI, específicamente en gestión de accesos y segregación de funciones. El usuario «admin» que crea proveedores y aprueba pagos concentra la capacidad de introducir un proveedor ficticio y pagarle: es simultáneamente una deficiencia de control y un factor de riesgo de fraude (oportunidad, NIA 240). Las 37 cuentas activas de exempleados constituyen accesos no autorizados; su gravedad dependerá de los permisos que conserven, por lo que debe revisarse el detalle de roles.
¿Significativas? Conforme a NIA 265 se evalúa la probabilidad y la magnitud de una posible incorrección. Dado el volumen de compras y que la deficiencia no está compensada por una revisión independiente del maestro de proveedores, existe una probabilidad razonable de incorrección material: debe clasificarse como deficiencia significativa y comunicarse por escrito al gobierno corporativo.
Efecto en el enfoque.
- No pueden utilizarse los controles de TI ni los controles automatizados que dependen de esos accesos.
- Enfoque sustantivo ampliado: análisis de altas de proveedores cercanas al cierre, proveedores con cuentas bancarias duplicadas o sin historial, pagos a cuentas de empleados, revisión de asientos manuales y de la bitácora de cambios.
- Pruebas específicas de accesos: listado de usuarios con privilegios, revisión de la configuración, verificación de bajas contra recursos humanos, evaluación de contraseñas compartidas.
- Involucrar especialista de TI y considerar procedimientos forenses si aparecen indicios.
2. El proveedor en la nube que procesa la nómina no entregó un SOC 1 Tipo 2. ¿Qué evidencia puede obtener el auditor sobre los controles de ese proveedor?
Read the worked answer
Marco. La NIA 402 aplica cuando una organización de servicios procesa transacciones significativas para la entidad. La nómina es significativa (sueldos, IMSS, ISR retenido, CFDI de nómina), por lo que el auditor necesita entender los controles del proveedor y los controles de la entidad usuaria sobre esa actividad.
Jerarquía de evidencia.
- SOC 1 Tipo 2: es el informe diseñado para este propósito; cubre diseño y eficacia operativa durante un periodo. Debe solicitarse junto con una carta puente que cubra el lapso entre el fin del periodo del informe y el cierre.
- SOC 2: aporta información sobre seguridad y disponibilidad, pero no está diseñado para evaluar el control interno sobre información financiera; su utilidad es limitada y no sustituye al SOC 1.
- Carta de la dirección del proveedor: no es evidencia independiente y es insuficiente por sí sola.
- Alternativas: procedimientos acordados en las instalaciones del proveedor, contratación de otro auditor para ese fin, inspección del contrato y niveles de servicio, y pruebas sobre los controles de la entidad usuaria (revisión de reportes del proveedor, conciliaciones).
Enfoque sustantivo complementario. Verificar la integridad y exactitud de los reportes de nómina, recalcular una muestra, conciliar los CFDI de nómina con el registro contable y con los pagos, y probar altas y bajas de personal.
Conclusión. La evidencia disponible es insuficiente. Si no se obtiene el informe o no pueden aplicarse procedimientos alternativos, existe una limitación al alcance que debe evaluarse conforme a la NIA 705 y comunicarse al gobierno corporativo.
3. Diseñe el enfoque para probar el reconocimiento automático de ingresos por tarjetas de regalo y el análisis de los 4.6 millones de CFDI.
Read the worked answer
Control automatizado de ingresos por tarjetas de regalo y lealtad.
- Obtener y documentar la regla configurada: reconocimiento del pasivo por tarjetas emitidas, patrón de redención y política de importes no canjeados.
- Probar la configuración mediante re-ejecución en un ambiente de prueba o simulación de entradas conocidas, e inspeccionar la regla en el código o parametrización.
- Evaluar los controles generales de TI asociados al cambio de programa: si la gestión de cambios es deficiente, la prueba puntual no permite confiar en el control para todo el periodo.
- Ante un entorno de TI débil, no confiar en el control y recalcular de forma independiente el pasivo y los ingresos reconocidos, apoyándose en la analítica de redenciones.
Analítica de los 4.6 millones de CFDI.
- Integridad y exactitud de la información (NIA 500): obtener conteos de registros, totales de control y huellas digitales; conciliar el universo contra el registro contable y contra los resúmenes de la autoridad fiscal; conservar los archivos originales sin alteración.
- Estandarización: exigir el diccionario de datos, documentar el mapeo de los tres formatos a una estructura única y validar el mapeo contra una muestra revisada manualmente.
- Pruebas analíticas: duplicados de folios y UUID, CFDI sin contrapartida contable, importes atípicos, fechas fuera de periodo, emisores con RFC inconsistente y concentración por proveedor.
- Validación de los scripts: comparar los resultados del programa contra una muestra procesada manualmente y documentar la lógica.
- Especialista: considerar la participación de un especialista en datos conforme a NIA 620, sin reducir por ello la responsabilidad del auditor.
Si la entidad no entrega información completa y exacta, el análisis no es evidencia válida: debe documentarse la limitación y su efecto en el informe.