Lic. David Rodrigo Martínez Zamora
Gerente Asesoría – Ernst & Young México
Especialista en Reportes de Organización de Servicios
rodrigo.martinez@mx.ey.com
Aunque este tema no es nuevo entre las empresas mexicanas, los reportes de organizaciones de servicios han adquirido gran relevancia en los últimos años; sin embargo, aun así los ejecutivos mexicanos no conocen todos los usos y beneficios que este tipo de reportes puede aportar
La mayoría se lleva a cabo por iniciativa de la organización usuaria (cliente de la organización de servicios) única y exclusivamente por un tema de cumplimiento, en el ámbito comercial o corporativo, pero los reportes de organizaciones de servicios van más allá. Los cambios recientes a los nuevos estándares (ISAE 3402 e SSAE 16) han incrementado los diferentes usos de este tipo de reportes.
Los reportes de organizaciones de servicios se crearon como una herramienta de comunicación de auditor a auditor y como un medio para que el auditor de la organización de servicio, pudiera compartir los papeles de trabajo de la auditoría con el auditor usuario, quien podría basarse en este trabajo para planear y ejecutar dicha auditoría de los estados financieros.
No obstante, el panorama reglamentario ha experimentado cambios significativos y los gobiernos, reguladores, consejos de administración y usuarios de los estados financieros están enfocándose cada vez más en el control interno de la información financiera. Estas partes interesadas, así como los auditores usuarios ahora requieren un informe de las organizaciones de servicio en el que se describa su control interno, lo cual resulta en mayores beneficios y usos. El uso de este tipo de reportes se puede resumir en lo siguiente.
Uso primario
- Es la base para confiar en los controles que ejecuta la organización de servicio:
- Reduce la necesidad de pruebas por parte de los auditores usuarios directos en la organización de servicios.
- Reduce la necesidad de la organización usuaria de monitorear los controles que son ejecutados por la organización de servicio.
- Cumplimiento de la Ley Sarbanes-Oxley:
- Entender y tomar responsabilidad sobre los controles de la organización de servicio.
- Tomar como propia la evaluación de los controles en la organización de servicio.
- Documentación para su evaluación.
- Soporte para el auditor externo de la organización usuaria:
- Asistir a los auditores en el entendimiento del procesamiento de transacciones y los controles de la organización de servicio.
- Reducir/reemplazar las pruebas de auditores externos en la organización de servicios.
- Reducir las pruebas de control y procedimientos sustantivos de prueba en la organización usuaria.
Uso secundario
- Administración de proveedores:
- Entender los servicios que provee la organización de servicio, documentar los resultados en un programa integral de gestión de proveedores.
- Comparar los servicios provistos con los contratados inicialmente, evaluar el cumplimiento de acuerdos de niveles de servicio, respecto de los controles y procesamiento en transacciones.
- Auditoría interna de la organización usuaria:
- Soportar los procedimientos de auditoría interna que pudieran ser más extensos que los requeridos por la auditoría externa.
- Reducir la necesidad de realizar pruebas en la organización de servicio.
- Cumplimiento con la administración:
- Demostrar cumplimiento regulatorio, por ejemplo, boletines de la Comisión Nacional Bancaria y de Valores.
- Documentar los resultados de un programa corporativo de cumplimiento.
Un tema que es importante considerar al definir la clase de reporte a generar, es el tipo de exposición que se pretende, ya que dependiendo del reporte se definirá el nivel de restricción necesario. Un ejemplo claro es un reporte SAS 70/ISAE 3402. Supongamos que usted es un ejecutivo de la organización de servicio auditada, este tipo de reporte contendrá información sobre el control interno de su compañía —y es muy probable que no esté interesado en que esto sea un tema público—, por lo tanto, recomendamos tomar en cuenta las consideraciones presentadas en la tabla 1, la cual representa el nivel de exposición por los diferentes tipos de reportes de organizaciones de servicio.
En la actualidad, muchas organizaciones de servicio restringen sus reportes de tal forma que la única manera de tener acceso a ellos, como organización usuaria o auditor externo, es requerir una cita en las instalaciones de la organización de servicios para revisar una copia física del reporte con una persona que está capacitada para responder cualquier pregunta que pudiera surgir.
En última instancia, la organización de servicios decide el nivel de exposición que quiere darle al reporte.
En conclusión, los usos que actualmente se le dan en México a este tipo de reportes son mínimos en comparación con la extensa gama de beneficios y utilidades que ofrecen. La próxima vez que se le solicite o usted requiera este tipo de reportes, tenga en mente el uso que quiere darles y con base en ello, tome la decisión correcta.
