BOLETÍN OFICIAL DEL ESTADO
Núm. 116

Sábado 15 de mayo de 2021

Sec. III. Pág. 58299

Ejemplo:
Si los controles de procesamiento de la información dependen de los controles generales de TI, es
posible que el auditor determine comprobar la eficacia operativa de los controles generales de TI, para
lo que será necesario diseñar pruebas de controles para esos controles generales. Si, en las mismas
circunstancias, el auditor determina no comprobar la eficacia operativa de los controles generales de
TI o se espera que dichos controles generales sean ineficaces, los riesgos relacionados derivados de
la utilización de TI probablemente tengan que ser tratados mediante el diseño de procedimientos
sustantivos. No obstante, es posible que los riesgos derivados de la utilización de TI no puedan ser
tratados cuando están relacionadas con riesgos para los cuales los procedimientos sustantivos por sí
solos no proporcionan evidencia de auditoría suficiente y adecuada. En esas circunstancias, es posible
que el auditor deba considerar las implicaciones en la opinión del auditor.
Identificación de las aplicaciones sujetas a riesgos derivados de la utilización de TI
A167. Para las aplicaciones de TI relevantes para el sistema de información, el conocimiento de la naturaleza y de la
complejidad de los procesos específicos de TI y de los controles generales de TI establecidos por la entidad
puede ayudar al auditor en la determinación de cuáles son las aplicaciones de TI en las que confía la entidad
para procesar adecuadamente la información en el sistema de información de la entidad y para mantener la
integridad de esta. Es posible que esas aplicaciones estén sujetas a riesgos derivados de la utilización de TI.
A168. La identificación de las aplicaciones sujetas a riesgos derivados de la utilización de TI implica tener en cuenta
los controles identificados por el auditor puesto que tales controles pueden suponer la utilización de TI o confiar
en las TI. El auditor se puede centrar en si una aplicación de TI incluye controles automatizados en los que
confía la dirección identificados por él, incluidos los controles que responden a riesgos para los cuales los
procedimientos sustantivos por sí solos no proporcionan evidencia de auditoría suficiente y adecuada. El auditor
también puede considerar el modo en que la información relativa a los tipos de transacciones, saldos contables
e información a revelar se almacena y procesa en el sistema de información y si la dirección confía en controles
generales de TI para mantener la integridad de esta.
A169. Los controles identificados por el auditor pueden depender de informes generados por el sistema, en cuyo caso,
las aplicaciones que producen dichos informes pueden estar sujetas a riesgos derivados de la utilización de TI.
En otros casos, es posible que el auditor no tenga previsto confiar en los controles sobre los informes generados
por el sistema y prevea comprobar directamente los datos de entrada y de salida de dichos informes, en cuyo
caso, puede no identificar las correspondientes aplicaciones de TI como sujetas a riesgos por TI.
Graduación

cve: BOE-A-2021-8095
Verificable en https://www.boe.es

A170. La amplitud del conocimiento del auditor de los procesos de TI, incluido el grado en que la entidad ha
establecido controles generales de TI, variará según la naturaleza y las circunstancias de la entidad y de su
entorno de TI, así como según la naturaleza y extensión de los controles identificados por el auditor. El número
de aplicaciones de TI sujetas a riesgos derivados de la utilización de TI también variará en base a estos factores.