BOLETÍN OFICIAL DEL ESTADO
Núm. 116

Sábado 15 de mayo de 2021

Sec. III. Pág. 58313

A223. El apartado 26(a)(iii) también requiere la identificación de controles que responden a riesgos para los que los
procedimientos sustantivos por sí solos no pueden proporcionar evidencia de auditoría suficiente y adecuada
porque se requiere que el auditor, de conformidad con la NIA 33060, diseñe y realice pruebas de esos controles.
Determinación de riesgos para los que los procedimientos sustantivos por sí solos no proporcionan evidencia de
auditoría suficiente y adecuada
A224. Cuando transacciones rutinarias estén sujetas a un procesamiento muy automatizado con escasa o nula
intervención manual, puede que no resulte posible aplicar únicamente procedimientos sustantivos en relación
con el riesgo. Este puede ser el caso en aquellas circunstancias en las que una cantidad significativa de la
información de la entidad se inicia, registra, procesa o notifica solo de manera electrónica, como en un sistema
de información que implica un alto grado de integración a través de sus aplicaciones de TI. En estos casos:


Es posible que la evidencia de auditoría únicamente esté disponible en formato electrónico, y que su
suficiencia y adecuación normalmente dependan de la eficacia de los controles sobre su exactitud e
integridad.



La posibilidad de que la información se inicie o altere de manera incorrecta y de que este hecho no se
detecte puede ser mayor si los correspondientes controles no están funcionando de manera eficaz.
Ejemplo:
Por lo general, no es posible obtener evidencia de auditoría suficiente y adecuada en relación con los ingresos
de una entidad de telecomunicaciones basándose sólo en procedimientos sustantivos. Esto es así porque la
evidencia sobre llamadas o tráfico de datos no existe en un formato observable. En su lugar, por lo general,
se realizan pruebas de controles sustanciales para determinar que el origen y finalización de llamadas y el
tráfico de datos se capturan correctamente (por ejemplo, minutos de una llamada o volumen de una descarga)
y se registran correctamente en el sistema de facturación de la entidad.

A225. La NIA 540 (Revisada) proporciona orientaciones adicionales relacionadas con las estimaciones contables
acerca de riesgos para los que los procedimientos sustantivos por sí solos no proporcionan evidencia de
auditoría suficiente y adecuada61. En relación con las estimaciones contables esto puede no estar limitado al
procesamiento automatizado, sino que puede ser también aplicable a modelos complejos.

A226. Los planes del auditor de comprobar la eficacia operativa de los controles se basan en la expectativa de que los
controles funcionan eficazmente, y esto será la base de la valoración por el auditor del riesgo de control. La
expectativa inicial de la eficacia operativa de los controles se basa en la evaluación por el auditor del diseño de
los controles identificados en el componente de actividades de control y en la determinación de su
implementación. Una vez que el auditor haya comprobado la eficacia operativa de los controles de conformidad
con la NIA 330, podrá confirmar su expectativa inicial acerca de la eficacia operativa de los controles. Si los
controles no están funcionando eficazmente según lo esperado, el auditor tendrá que revisar la valoración del
riesgo de control de conformidad con el apartado 37.
A227. La valoración por el auditor del riesgo de control se puede realizar de diferentes maneras dependiendo de las
técnicas o metodologías de auditoría que prefiera, y se puede expresar de diferentes formas.
60

NIA 330, apartado 8

61

NIA 540 (Revisada), apartados A87–A89

cve: BOE-A-2021-8095
Verificable en https://www.boe.es

Valoración del riesgo de control (Ref: Apartado 34)