NIA 265
"COMUNICACIÓN DE LAS DEFICIENCIAS EN EL CONTROL INTERNO A LOS RESPONSABLES DEL GOBIERNO Y A LA
DIRECCIÓN DE LA ENTIDAD"

Esta Norma Internacional de Auditoría (NIA) trata de la responsabilidad que tiene el auditor de comunicar adecuadamente, a los responsables del gobierno de la entidad y a la dirección, las deficiencias en el control interno que haya identificado durante la realización de la auditoría de los estados financieros.

Esta NIA no impide que el auditor comunique a los responsables del gobierno de la entidad y a la dirección cualquier otra cuestión sobre
el control interno que el auditor haya identificado durante la realización de la auditoría.

El objetivo del auditor es comunicar adecuadamente a los responsables del gobierno de la entidad y a la dirección las deficiencias en el control interno identificadas durante la realización de la auditoría y que, según el juicio profesional del auditor, tengan la importancia
suficiente para merecer la atención de ambos.

Requerimentos

El auditor determinará si, sobre la base del trabajo de auditoría realizado, ha identificado una o más deficiencias en el control interno.

Si el auditor ha identificado una o más deficiencias en el control interno, determinará, sobre la base del trabajo de auditoría realizado, si, individualmente o de manera agregada, constituyen deficiencias significativas.

El auditor comunicará a los responsables del gobierno de la entidad, por escrito y oportunamente, las deficiencias significativas en el control interno identificadas durante la realización de la auditoría.

El auditor también comunicará oportunamente y al nivel adecuado de responsabilidad de la dirección

(a) por escrito, las deficiencias significativas en el control interno que el auditor haya comunicado o tenga intención de comunicar a los responsables del gobierno de la entidad, salvo que, teniendo en cuenta las circunstancias, su comunicación directa a la dirección resulte inadecuada; y

(b) otras deficiencias en el control interno identificadas durante la realización de la auditoría que no hayan sido comunicadas a la dirección por otras partes y que, según el juicio profesional del auditor, tengan la importancia suficiente para merecer la atención de la dirección.

El auditor incluirá en la comunicación escrita sobre las deficiencias significativas en el control interno:

(a) una descripción de las deficiencias y una explicación de sus posibles efectos; y

(b) información suficiente para permitir a los responsables del gobierno de la entidad y a la dirección comprender el contexto de la
comunicación. En especial, el auditor explicará que:

(i) el propósito de la auditoría era que el auditor expresara una opinión sobre los estados financieros;
(ii) la auditoría tuvo en cuenta el control interno relevante para la preparación de los estados financieros con el fin de diseñar los procedimientos de auditoría adecuados a las circunstancias, y no con la finalidad de expresar una opinión sobre la eficacia del control interno; y
(iii) las cuestiones sobre las que se informa se limitan a las deficiencias que el auditor ha identificado durante la realización de la
auditoría y sobre las que el auditor ha llegado a la conclusión de que tienen importancia suficiente para merecer ser
comunicadas a los responsables del gobierno de la entidad.

Comunicación de deficiencias en el control interno

La comunicación por escrito de las deficiencias significativas a los responsables del gobierno de la entidad refleja la importancia de estas cuestiones y facilita a los responsables del gobierno de la entidad el cumplimiento de sus responsabilidades de supervisión. La NIA 260
contiene consideraciones pertinentes sobre la comunicación con los responsables del gobierno de la entidad cuando todos ellos participan en su dirección.

El auditor, para determinar el momento en que emitirá la comunicación escrita, puede tener en cuenta si la recepción de dicha comunicación sería un factor importante para permitir a los responsables del gobierno de la entidad cumplir sus responsabilidades de supervisión. Además, para las entidades cotizadas de determinadas jurisdicciones, puede ser necesario que los responsables del gobierno
de la entidad reciban la comunicación escrita del auditor antes de la fecha de aprobación de los estados financieros, con el fin de cumplir responsabilidades específicas relativas al control interno a efectos normativos o de otro tipo. Para otras entidades, el auditor puede emitir la comunicación escrita en una fecha posterior. Sin embargo, en este último caso, como la comunicación escrita del auditor sobre deficiencias significativas forma parte del archivo final de auditoría, dicha comunicación escrita está sujeta al requerimiento fundamental de que el auditor finalice la compilación del archivo final de auditoría oportunamente. La NIA 230 establece que un plazo adecuado para
completar la compilación del archivo final de auditoría normalmente no excede de 60 días desde la fecha del informe de auditoría

Deficiencias significativas en el control interno

La significatividad de una deficiencia o de un conjunto de deficiencias en el control interno depende no sólo de si se ha producido realmente alguna incorrección, sino también de la probabilidad de que se pueda producir y de la posible magnitud de la incorrección. En consecuencia, pueden existir deficiencias significativas aunque el auditor no haya identificado incorrecciones durante la realización de la
auditoría

A la hora de determinar si una deficiencia o un conjunto de deficiencias en el control interno constituye una deficiencia significativa, el auditor puede tener en cuenta cuestiones como las siguientes:

• La probabilidad de que las deficiencias den lugar en el futuro a incorrecciones materiales en los estados financieros.
• La exposición del activo o pasivo correspondiente a pérdida o fraude.
• La subjetividad y complejidad a la hora de determinar cantidades estimadas, como, por ejemplo, las estimaciones contables a valor razonable.
• Las cantidades en los estados financieros que podrían estar afectadas por las deficiencias
• El movimiento que se ha producido o podría producirse en el saldo de las cuentas o los tipos de transacciones que podrían estar afectados por la deficiencia o deficiencias.
• La importancia de los controles en relación con el proceso de información financiera
• La causa y frecuencia de las excepciones detectadas como consecuencia de las deficiencias de los controles.
• La interacción de la deficiencia con otras deficiencias en el control interno.

Guía de aplicación

Para determinar si el auditor ha identificado una o más deficiencias en el control interno, él puede discutir los hechos y circunstancias relevantes relativas a sus hallazgos con el nivel adecuado de la dirección. Esta discusión proporciona al auditor la oportunidad de poner en conocimiento de la dirección, oportunamente, la existencia de deficiencias que es posible que la dirección no conociera con anterioridad.
El nivel dentro de la dirección al que procede comentar los hallazgos es aquél que esté familiarizado con el área de control interno afectada, además de autorizado para adoptar medidas para la corrección de cualquier deficiencia identificada en el control interno. En
algunas circunstancias, es posible que no resulte adecuado que el auditor comente sus hallazgos directamente con la dirección, por ejemplo si los hallazgos parecen poner en duda la integridad o la competencia de la dirección

El auditor, al discutir con la dirección los hechos y circunstancias relativas a sus hallazgos, puede obtener otra información relevante que
tendrá en cuenta posteriormente, como:

El conocimiento que tiene la dirección sobre las causas reales o supuestas de las deficiencias.
• Las excepciones por deficiencias en las que pueda haber reparado la dirección; por ejemplo, incorrecciones que no fueron evitadas por los controles relevantes de las tecnologías de la información (TI).
• Una indicación preliminar por parte de la dirección de su respuesta ante los hallazgos.