BOLETÍN OFICIAL DEL ESTADO
Núm. 116

Sábado 15 de mayo de 2021

Sec. III. Pág. 58345

aplicaciones de TI que intervienen en el procesamiento y en el almacenamiento de la información
probablemente estén sujetas a riesgos por la utilización de TI.
Cálculos realizados por el usuario final
14.

A pesar de que la evidencia de auditoría también puede adoptar la forma de datos generados por el sistema que
se utilizan en un cálculo realizado en una herramienta de usuario final (por ejemplo, hojas de cálculo o bases
de datos sencillas), dichas herramientas no se identifican habitualmente como aplicaciones de TI en el contexto
del apartado 26(b). El diseño y la implementación de controles sobre el acceso y los cambios a las herramientas
de cálculo realizados por el usuario final puede ser difícil y dichos controles pocas veces son equivalentes a los
controles generales de TI o tan eficaces como estos. En cambio, el auditor puede considerar una combinación
de controles de procesamiento de la información, teniendo en cuenta el propósito y la complejidad de los
cálculos realizados por el usuario final, tales como:


controles de procesamiento de la información relativos al inicio y procesamiento de los datos fuente,
incluidos los controles automatizados o los controles de comunicaciones automatizadas entre
aplicaciones hasta el punto del que se extraen los datos (es decir, el almacén de datos);



controles para comprobar que la lógica funciona según lo previsto, por ejemplo, controles que
“comprueban” la extracción de datos, tal como la conciliación del informe con los datos de los que se
obtuvo, comparando datos individuales del informe con los de la fuente y viceversa, y controles para
comprobar las fórmulas o macros; o



utilización de herramientas informáticas de validación, que comprueban sistemáticamente las fórmulas
o las macros, tales como herramientas de integridad de hojas de cálculo.

Graduación
La capacidad de la entidad para mantener la integridad de la información almacenada y procesada en el sistema
de información puede variar en función de la complejidad y del volumen de las correspondientes transacciones
y demás información. Cuanto mayor sea la complejidad y el volumen de datos que sustenta un tipo de
transacciones, saldo contable o información a revelar significativos, menos probable será que la entidad
mantenga la integridad de esa información sólo a través de controles de procesamiento de la información (por
ejemplo, controles de entradas y salidas o controles de revisión). También se vuelve menos probable que el
auditor pueda obtener evidencia de auditoría sobre la integridad y exactitud de esa información sólo a través de
procedimientos sustantivos cuando se utiliza como evidencia de auditoría. En algunas circunstancias, cuando
es menor el volumen y la complejidad de las transacciones, es posible que la dirección disponga de un control
de procesamiento de la información suficiente para verificar la exactitud e integridad de los datos (por ejemplo,
se pueden conciliar órdenes de venta individuales procesadas y facturadas con la copia impresa introducida
originariamente en la aplicación de TI). Cuando la entidad confía en controles generales de TI para mantener
la integridad de cierta información utilizada por las aplicaciones de TI, el auditor puede determinar que las
aplicaciones de TI que mantienen esa integridad están sujetas a riesgos derivados de la utilización de TI.
cve: BOE-A-2021-8095
Verificable en https://www.boe.es

15.