Artículo A170. NIA-ES 315 — Párrafo A170

La amplitud del conocimiento del auditor de los procesos de TI, incluido el grado en que
la entidad ha establecido controles generales de TI, variará según la naturaleza y las
circunstancias de la entidad y de su entorno de TI, así como según la naturaleza y
extensión de los controles identificados por el auditor. El número de aplicaciones de TI
sujetas a riesgos derivados de la utilización de TI también variará en base a estos factores.

57 NIA-ES 315 (REVISADA 2019)
 IDENTIFICACIÓN Y VALORACIÓN DEL RIESGO DE INCORRECCIÓN MATERIAL

Ejemplos:
• Es poco probable que una entidad que utiliza un software comercial y no tiene
acceso al código fuente para realizar ningún cambio en los programas tenga un
proceso relativo a cambios en los programas, pero sí puede tener un proceso o
procedimientos para configurar el software (por ejemplo, el cuadro de cuentas,
parámetros o niveles). Además, es posible que la entidad tenga un proceso o
procedimientos para gestionar el acceso a la aplicación (por ejemplo, haber
nombrado una persona para que tenga acceso al software comercial). En esas
circunstancias, es poco probable que la entidad tenga o necesite controles
generales de TI formales.
• Por el contrario, es posible que una entidad de gran dimensión confíe en mayor
grado en las TI y el entorno de TI puede involucrar múltiples aplicaciones de TI y
los procesos de TI para la gestión del entorno de TI pueden ser complejos (por
ejemplo, existe un departamento separado de TI que desarrolla e implementa los
cambios en los programas y gestiona los derechos de acceso), incluido el que la
entidad haya implementado controles generales de TI formales sobre sus
procesos de TI.
• Cuando la dirección no confíe en controles automatizados o en controles
generales de TI para el procesamiento de transacciones o el mantenimiento de
los datos, y el auditor no haya identificado ningún control automatizado u otros
controles de procesamiento de la información (o ninguno que dependa de los
controles generales de TI), el auditor puede planificar comprobar directamente
cualquier información generada por la entidad que implique TI y puede no
identificar ninguna aplicación de TI sujeta a riesgos por la utilización de TI.
• Cuando la dirección confíe en una aplicación de TI para el procesamiento o el
mantenimiento de los datos y el volumen de datos sea significativo, y la dirección
confíe en la aplicación de TI para ejecutar controles automatizados que el auditor
también ha identificado, es probable que la aplicación de TI esté sujeta a riesgos
por la utilización de TI.