Documentación sobre sas 70

El nuevo SAS 70
Entendiendo los nuevos reportes de control para las organizaciones de servicio

Para los períodos de reporte posteriores al 15 de junio 2011, el informe sobre los controles de una organización de servicios basado en SAS 70 ya no aplicará. Ha sido reemplazado por SSAE 16 en EE.UU. y a nivel internacional por el ISAE 3402.
Antecedentes:
1. El propósito de SAS 70
Ladeclaración sobre normas de auditoría No. 70 (SAS 70 – por sus siglas en inglés), que se desarrolló en 1992, es una norma de EE.UU. emitida por el Instituto Americano de Contadores Públicos (AICPA). El principal objetivo de este estándar es el de proporcionar, al auditor financiero, la evidencia suficiente acerca del estado que guarda el control interno dentro de una organización de servicio, que ha sidosubcontratada por el cliente; limitando su alcance de revisión a los controles del cliente auditado: (i)que dependen del servicio subcontratado, (ii)que son relevantes para la producción de información financiera y (iii)que tienen un impacto significativo sobre los estados financieros del cliente. Con el fin de planificar una auditoría sobre los estados financieros del cliente, los auditores, puedenrealizar los procedimientos de revisión del control interno en la organización de servicio o basarse en el informe de otro auditor; en dicho informe se incluye la descripción de los controles que han sido implementados por la organización de servicio para salvaguardar la información procesada del cliente. Para las organizaciones de servicio (outsourcing), constituye en muchas ocasiones una cargaadicional el hecho de atender diferentes requerimientos de múltiples auditores; sin embargo, un informe del auditor de servicio asegura que todas las organizaciones a las que prestan servicio y sus auditores tengan acceso a la misma información y, en muchos casos, esto puede satisfacer las necesidades del auditor externo de los clientes de la organización de servicios. Además, un informe deauditoría, con una opinión favorable, emitido por una firma independiente de contabilidad, es un diferenciador de la organización de servicio ante sus competidores, al demostrar que ha establecido objetivos de control y opera bajo ellos. Un informe del auditor de servicio también ayuda a una organización de servicio a construir la confianza con sus usuarios (es decir, clientes).

2. Los nuevosestándares (SSAE 16 e ISAE 3402)
En reconocimiento de la necesidad de un estándar internacional de un nivel similar al SAS 70, el Comité Internacional de Normas y Estándares de Auditoría (IAASB) emitió la Norma Internacional sobre Aseguramiento No. 3402 (ISAE 3402), titulada Informes de Aseguramiento sobre

los Controles en una Organización de Servicio, en diciembre de 2009. En abril de
2010, AICPArefleja esta norma mediante la emisión de la Declaración sobre Normas de Atestiguamiento No. 16 (SSAE 16), titulado

Informe sobre los Controles en una Organización de Servicio. Ambos son
efectivos para los períodos de reporte en el 15 de junio de 2011 o posteriormente y el, ampliamente utilizado, informe SAS 70 sobre los controles en una organización de servicio dejará de ser relevante después deesa fecha.

Los nuevos estándares son muy parecidos al ya conocido SAS 70. Ambos permiten al auditor de una organización de servicio realizar dos tipos diferentes de intervenciones:  Tipo 2. El auditor de la organización de servicio informa acerca de la objetividad en la descripción del sistema de control interno, hecha por la administración de la organización de servicio; así como sobre lasuficiencia en el diseño y la eficacia en la operación de los controles, para alcanzar los objetivos de control descritos, durante un período de tiempo específico. Tipo 1. El auditor de la organización de servicio informa acerca de la objetividad en la descripción del sistema de control interno, hecha por la administración de la organización de servicio; así como sobre la suficiencia sólo en el...