Control interno y evaluación del riesgo de incorrección material
Qué evalúa el dominio
El examen mide si el candidato comprende el control interno y lo usa para evaluar el riesgo de incorrección material. Se aplican NIA 315, NIA 330 y NIA 265, con referencia al marco COSO.
Reglas y conceptos
- Los cinco componentes son ambiente de control, evaluación de riesgos, actividades de control, información y comunicación, y monitoreo.
- El auditor no audita el control interno para emitir una opinión sobre él, salvo encargo especial; lo entiende y evalúa su diseño e implementación.
- Si planea confiar en controles, debe probar su eficacia operativa con NIA 330; si no, aumenta los procedimientos sustantivos.
- Los controles generales de TI -acceso, cambios, operaciones- condicionan los controles automatizados.
- La NIA 265 exige comunicar deficiencias significativas a los responsables del gobierno.
Ejemplo razonado
Una empresa paga proveedores mediante un sistema que exige orden de compra, recepción y factura. El auditor verifica la configuración de la triple coincidencia y prueba que usuarios no puedan modificar parámetros ni pagar sin recepción. Si el control automatizado funciona y el control general de cambios es eficaz, puede reducir pruebas sustantivas de pagos. Si el administrador puede alterar la tolerancia, el control no es confiable y debe ampliar pruebas de pagos y proveedores.
Errores que cuestan puntos
Asumir que un control existe porque está documentado; confiar en controles sin probar su eficacia; calificar toda deficiencia como debilidad material; y omitir los controles de TI.