NISA 3402 (ISAE 3402): Informes de aseguramiento sobre los controles en una organización de servicios

¿Qué es la NISA 3402 (ISAE 3402)?

La NISA 3402 (ISAE 3402), “Informes de aseguramiento sobre los controles en una organización de servicios”, es una norma internacional emitida por el IAASB que regula los trabajos de aseguramiento realizados por un auditor independiente sobre la descripción, diseño y, en determinados casos, la eficacia operativa de los controles de una organización de servicios.

En términos simples, esta norma permite que una empresa que presta servicios a terceros demuestre, mediante un informe independiente, que sus controles internos están adecuadamente diseñados y funcionan de manera consistente. Esto es especialmente relevante cuando dichos servicios impactan los procesos contables, financieros, tecnológicos o de cumplimiento de sus clientes.

En el mercado peruano, este tipo de informes resulta cada vez más importante para empresas que brindan outsourcing contable, procesamiento de planillas, data centers, servicios cloud, recaudación, custodia de información, BPO, plataformas de pagos y soporte tecnológico.

¿Por qué es importante la NISA 3402 para una organización de servicios?

Muchas empresas tercerizan procesos críticos. Cuando ello ocurre, los clientes necesitan tener confianza en que el proveedor cuenta con controles adecuados para proteger la información, procesar operaciones correctamente y reducir riesgos de error o fraude.

La NISA 3402 responde precisamente a esa necesidad. Su valor principal es que ofrece una evaluación independiente sobre los controles implementados por la organización de servicios, lo que reduce la necesidad de que cada cliente realice auditorías individuales al proveedor.

Esto genera beneficios concretos:

• Mayor confianza comercial frente a clientes actuales y potenciales.
• Reducción de visitas de auditoría por parte de múltiples usuarios del servicio.
• Mejora del gobierno corporativo y de la gestión de riesgos.
• Ventaja competitiva en licitaciones y procesos de homologación.
• Soporte para auditorías financieras de los clientes usuarios.

Ejemplo práctico

Una empresa peruana que procesa planillas para 80 clientes maneja información sensible: remuneraciones, descuentos judiciales, AFP, Essalud y retenciones de quinta categoría. Si ocurre un error en los controles de acceso o en la parametrización del sistema, el impacto puede ser significativo para todos sus clientes. Un informe bajo NISA 3402 permite demostrar que los controles sobre autorización, procesamiento, respaldo y seguridad lógica han sido evaluados por un auditor independiente.

Objetivo de la NISA 3402

El objetivo de esta norma es que el auditor del servicio emita un informe que brinde seguridad razonable sobre:

• Si la descripción del sistema de la organización de servicios presenta razonablemente dicho sistema.
• Si los controles relacionados con los objetivos de control estaban adecuadamente diseñados.
• En un informe Tipo 2, si esos controles operaron eficazmente durante un período determinado.

Es importante precisar que la NISA 3402 no certifica a la empresa ni garantiza ausencia total de errores o fraude. Lo que hace es emitir una conclusión profesional sobre controles específicos relacionados con el servicio prestado.

Alcance de la NISA 3402

La norma aplica cuando una organización presta servicios a entidades usuarias y esos servicios son relevantes para el control interno de dichas entidades, especialmente en relación con la información financiera.

Algunos servicios típicos que suelen estar dentro de su alcance son:

• Procesamiento de transacciones contables.
• Administración de nóminas y planillas.
• Servicios de hosting y data center.
• Plataformas de cobranzas y pagos.
• Back office financiero.
• Servicios de custodia documental o digital.
• Procesamiento de operaciones de microfinanzas o cooperativas.

No obstante, su aplicación exige una definición precisa del sistema, los límites del servicio, los riesgos relevantes y los controles que responden a esos riesgos.

Diferencia entre NISA 3402 y NIA 402

Un punto que suele generar confusión es la diferencia entre la NIA 402, “Consideraciones de auditoría relativas a una entidad que utiliza una organización de servicios”, y la NISA 3402.

La NIA 402 está dirigida al auditor de la entidad usuaria, es decir, al auditor de los estados financieros del cliente que utiliza a la organización de servicios. En cambio, la NISA 3402 está dirigida al auditor del servicio, quien emite un informe sobre los controles de la propia organización de servicios.

Ejemplo práctico

Una ONG en Perú terceriza su contabilidad y tesorería. El auditor financiero de la ONG deberá aplicar la NIA 402 para evaluar cómo ese tercero afecta el control interno y la auditoría de los estados financieros. Por otro lado, si la firma que presta el servicio desea demostrar formalmente a todos sus clientes la solidez de sus controles, podría contratar un trabajo bajo NISA 3402.

Tipos de informe bajo NISA 3402

La norma contempla principalmente dos tipos de informe:

Informe Tipo 1

El informe Tipo 1 evalúa:

• La razonabilidad de la descripción del sistema.
• La idoneidad del diseño de los controles a una fecha específica.

Este tipo de informe no concluye sobre si los controles funcionaron eficazmente durante un período. Es útil cuando la organización de servicios desea demostrar que ha diseñado adecuadamente su estructura de control.

Informe Tipo 2

El informe Tipo 2 evalúa:

• La razonabilidad de la descripción del sistema.
• La idoneidad del diseño de los controles.
• La eficacia operativa de los controles durante un período determinado.

Por ello, el Tipo 2 suele tener mayor valor para clientes, auditores externos, reguladores y comités de auditoría, ya que ofrece evidencia sobre el funcionamiento real de los controles en el tiempo.

Elementos clave de un informe NISA 3402

Un informe elaborado bajo esta norma suele incluir los siguientes componentes:

• Descripción del sistema preparada por la gerencia de la organización de servicios.
• Objetivos de control vinculados a riesgos específicos.
• Controles implementados para alcanzar dichos objetivos.
• Afirmación de la gerencia sobre la presentación del sistema y la efectividad del diseño, y en Tipo 2, de la operación de los controles.
• Opinión del auditor del servicio.
• Pruebas de controles y resultados, en el caso de informes Tipo 2.
• Restricciones de uso, dado que el informe está dirigido a usuarios específicos.

Controles que suelen evaluarse en una organización de servicios

Dependiendo del servicio prestado, los controles evaluados pueden abarcar distintas áreas. Entre las más frecuentes encontramos:

• Seguridad lógica: accesos, contraseñas, perfiles y segregación de funciones.
• Gestión de cambios: modificaciones en sistemas, parametrizaciones y aprobaciones.
• Continuidad del negocio: respaldos, recuperación ante desastres y contingencias.
• Procesamiento de transacciones: integridad, exactitud y oportunidad.
• Controles manuales de supervisión: revisiones, conciliaciones y autorizaciones.
• Seguridad física: acceso a instalaciones, servidores y archivos sensibles.
• Cumplimiento normativo: obligaciones laborales, tributarias y contractuales aplicables al servicio.

Ejemplo práctico

Una empresa que brinda facturación electrónica a clientes en Lima, Arequipa y Trujillo podría tener controles sobre: validación de RUC, correlatividad de comprobantes, respaldo de XML, monitoreo de caídas del sistema y acceso restringido a la base de datos. Si estos controles son críticos para la emisión correcta de comprobantes, podrían formar parte del alcance del informe NISA 3402.

Relación con suborganizaciones de servicios

En la práctica, muchas organizaciones de servicios dependen a su vez de terceros. Por ejemplo, una empresa de BPO puede alojar su plataforma en un proveedor cloud internacional, o una procesadora de pagos puede tercerizar parte de su infraestructura tecnológica.

La NISA 3402 exige evaluar cómo se tratarán esas suborganizaciones de servicios. Generalmente se utilizan dos enfoques:

• Método de inclusión: los controles de la suborganización se incluyen dentro de la descripción del sistema y del alcance del informe.
• Método de exclusión: se excluyen del alcance, pero se revelan y se explica su impacto.

Este punto es crítico porque un informe puede parecer robusto, pero si los controles tecnológicos más sensibles están en un tercero excluido, los usuarios deben entender claramente esa limitación.

Beneficios de implementar un encargo bajo NISA 3402 en Perú

En el contexto peruano, donde muchas empresas buscan profesionalizar su control interno y responder a exigencias de clientes corporativos, bancos, cooperantes o matrices internacionales, la NISA 3402 aporta ventajas concretas:

• Fortalece la reputación de la empresa de servicios.
• Facilita la captación de clientes que exigen evidencia independiente de control.
• Reduce observaciones en due diligence y procesos de contratación.
• Apoya el cumplimiento contractual cuando existen cláusulas de auditoría o niveles de servicio.
• Ordena la documentación de procesos, riesgos y controles.

Además, para empresas que administran información financiera o personal, un informe de este tipo puede complementar otras iniciativas de control y seguridad, aunque no las sustituye.

Aspectos legales y regulatorios a considerar en Perú

Aunque la NISA 3402 es una norma internacional de aseguramiento y no una ley peruana, su aplicación se relaciona con obligaciones legales locales, especialmente cuando el servicio involucra información personal, documentación contable o procesos con impacto tributario.

Por ejemplo:

• La Ley N.° 29733, Ley de Protección de Datos Personales, establece en su artículo 28 la obligación de adoptar medidas de seguridad para proteger datos personales.
• El Reglamento de la Ley N.° 29733, aprobado por Decreto Supremo N.° 003-2013-JUS, desarrolla exigencias sobre tratamiento y seguridad de la información.
• La Ley General de Sociedades, Ley N.° 26887, en su artículo 223, regula la preparación de estados financieros, lo que refuerza la importancia de controles confiables cuando procesos relevantes son tercerizados.
• El Código Tributario, aprobado por Decreto Supremo N.° 133-2013-EF, contiene deberes de conservación y exhibición documental, relevantes cuando servicios contables o de procesamiento son prestados por terceros.

En consecuencia, una organización de servicios en Perú debe alinear sus controles no solo con buenas prácticas internacionales, sino también con las exigencias legales nacionales aplicables a su actividad.

Retos frecuentes al prepararse para un informe NISA 3402

No todas las organizaciones están listas para someterse de inmediato a este tipo de encargo. Entre los problemas más comunes encontramos:

• Procesos no documentados formalmente.
• Controles ejecutados, pero sin evidencia suficiente.
• Falta de matriz de riesgos y objetivos de control.
• Deficiencias en segregación de funciones.
• Dependencia excesiva de controles manuales.
• Ausencia de monitoreo sobre proveedores críticos.

Por ello, antes del trabajo formal, suele ser recomendable realizar un diagnóstico de brechas para identificar mejoras necesarias en políticas, procedimientos, evidencias y gobierno de control.

Ejemplo práctico

Una empresa peruana de outsourcing contable afirma que revisa mensualmente las conciliaciones bancarias de sus clientes. Sin embargo, al solicitar evidencia, se observa que no existen firmas de revisión, marcas de control ni trazabilidad de la fecha de validación. En ese caso, el control podría estar diseñado adecuadamente, pero sería difícil demostrar su operación efectiva en un informe Tipo 2.

Proceso general para obtener un informe NISA 3402

Aunque cada encargo tiene particularidades, el proceso normalmente comprende las siguientes etapas:

1. Definición del alcance: servicios, procesos, ubicaciones, sistemas y periodo.
2. Levantamiento del sistema: descripción narrativa, flujogramas y matriz de controles.
3. Identificación de objetivos de control y riesgos relevantes.
4. Evaluación preliminar de diseño e implementación.
5. Remediación de brechas detectadas.
6. Ejecución de pruebas por el auditor del servicio.
7. Emisión del informe con opinión y, de ser Tipo 2, resultados de pruebas.

El tiempo puede variar según la complejidad del servicio, la madurez del control interno y la disponibilidad de evidencia.

¿Quiénes deberían considerar una NISA 3402?

Este tipo de informe resulta especialmente útil para:

• Empresas de BPO contable y financiero.
• Proveedores de planillas y recursos humanos.
• Empresas de tecnología con servicios críticos.
• Procesadores de cobranzas y pagos.
• Centros de datos y proveedores cloud.
• Organizaciones que atienden a clientes corporativos, ONGs internacionales, bancos o grupos multinacionales.

Si sus clientes dependen de sus controles para respaldar sus propios procesos financieros o de cumplimiento, es muy probable que la NISA 3402 sea relevante.

Conclusión

La NISA 3402 (ISAE 3402), “Informes de aseguramiento sobre los controles en una organización de servicios”, es una herramienta clave para demostrar, de manera independiente y estructurada, la confiabilidad de los controles internos en empresas que prestan servicios críticos a terceros. Su utilidad va más allá del cumplimiento: fortalece la confianza del mercado, mejora procesos internos y facilita la relación con clientes, auditores y reguladores.

En Perú, donde la tercerización de procesos sigue creciendo, contar con un informe Tipo 1 o Tipo 2 puede marcar una diferencia importante en competitividad, gestión de riesgos y transparencia. No obstante, su éxito depende de una adecuada preparación, documentación y evidencia de los controles implementados.

Si su empresa desea evaluar su preparación para un encargo bajo NISA 3402 o necesita asesoría especializada en auditoría y control interno, puede escribirnos a auditor@carloslingan.pe.