BOLETÍN OFICIAL DEL ESTADO
Núm. 116

Sábado 15 de mayo de 2021

Sec. III. Pág. 58293

Los apartados 20 y 21 del Anexo 3 contienen consideraciones adicionales en relación con las actividades de
control.
A147. El componente de actividades de control incluye controles diseñados para asegurar la adecuada aplicación de
las políticas (que también son controles) en todos los demás componentes del sistema de control e incluye
controles tanto directos como indirectos.
Ejemplo:
Los controles que una entidad ha establecido para asegurar que su personal cuenta y registra correctamente
el recuento físico anual de existencias se relacionan directamente con los riesgos de incorrección material
en las afirmaciones de realidad e integridad relativas al saldo contable de las existencias.
A148. La identificación y evaluación por el auditor de controles en el componente de actividades de control se centra
en controles de procesamiento de la información, que son controles aplicados durante el procesamiento de la
información en el sistema de información de la entidad y responden directamente a los riesgos para la integridad
de la información (es decir, la integridad, exactitud y validez de las transacciones y otra información). Sin
embargo, no se requiere que el auditor identifique y evalúe todos los controles de procesamiento de la
información relacionados con las políticas de la entidad que definen los flujos de transacciones y otros aspectos
de las actividades de procesamiento de la información para los tipos de transacciones, saldos contables e
información a revelar significativos.
A149. También pueden existir controles directos en el entorno de control, en el proceso de valoración del riesgo por
la entidad o en el proceso para el seguimiento del sistema de control interno de la entidad, los cuales pueden
ser identificados de conformidad con el apartado 26. No obstante, cuanto más indirecta sea la relación entre los
controles que sustentan a otros controles y el control objeto de consideración, menos eficaz será el control para
prevenir, o detectar y corregir, las correspondientes incorrecciones.
Ejemplo:
La revisión por el director de ventas de un resumen de las ventas de determinadas tiendas por región
normalmente sólo está indirectamente relacionada con los riesgos de incorrección material relevantes para
la afirmación de integridad de los ingresos por ventas. En consecuencia, puede ser menos eficaz para
responder a esos riesgos que los controles más directamente relacionados con ella, como la conciliación de
documentos de envío con documentos de facturación.

A151. Los controles que se requiere que el auditor identifique, cuyo diseño debe evaluar y cuya implementación debe
determinar, de conformidad con el apartado 26, son:


controles cuya eficacia operativa tiene previsto comprobar para determinar la naturaleza, el momento de
realización y la extensión de los procedimientos sustantivos. La evaluación de dichos controles
proporciona al auditor la base para el diseño de procedimientos de pruebas de controles de conformidad

cve: BOE-A-2021-8095
Verificable en https://www.boe.es

A150. En el apartado 26 también se requiere que el auditor identifique y evalúe controles generales de TI para
aplicaciones de TI y otros aspectos del entorno de TI que el auditor haya determinado que están sujetos a riesgos
derivados de la utilización de TI porque los controles generales de TI sustentan el funcionamiento continuo y
eficaz de los controles de procesamiento de la información. Un solo control general de TI no es habitualmente
suficiente para responder a un riesgo de incorrección material en las afirmaciones.