SOX 404 y control interno
Realizamos auditorías integradas del control interno sobre la información financiera bajo la norma AS 2201 del PCAOB y explicamos a las emisoras más pequeñas qué exige la Sección 404 y desde cuándo. Para empresas que no son nuestros clientes de auditoría, ofrecemos diagnósticos de preparación sujetos a un análisis de independencia.
La Sección 404 de la Ley Sarbanes-Oxley tiene dos partes y cada una aplica según la categoría de filer de la empresa. Clasificarse correctamente es el primer paso: de eso depende si usted necesita una opinión del auditor sobre el control interno sobre la información financiera (ICFR) o solo la evaluación de la propia administración.
| Categoría (Exchange Act Rule 12b-2) | 404(a) informe de la administración | 404(b) atestación del auditor |
|---|---|---|
| Large accelerated filer: public float de USD 700 millones o más | Obligatorio | Obligatoria (salvo EGC) |
| Accelerated filer: public float de USD 75 millones a menos de 700 millones, sin calificar como SRC por la prueba de ingresos | Obligatorio | Obligatoria (salvo EGC) |
| Non-accelerated filer, incluidas las SRC que califican por la prueba de ingresos | Obligatorio | No obligatoria (Sección 404(c) de SOX) |
| Emerging growth company (EGC) | Obligatorio | No obligatoria mientras conserve la condición de EGC |
| Empresa recién listada, primer informe anual | Aún no exigible | Aún no exigible |
Puntos que suelen malinterpretarse:
Atendemos, entre otras, a emisoras OTC que superan el umbral de USD 75 millones de public float, a empresas latinoamericanas que preparan un uplisting a Nasdaq o NYSE American y a EGC cercanas al fin de su exención.
El alcance depende de una pregunta: ¿somos, o seremos, su auditor?
El diagnóstico compara sus controles actuales con COSO 2013, identifica brechas y entrega a la administración observaciones priorizadas para que ella actúe. Lo ofrecemos solo después de un análisis de independencia, que incluye el efecto sobre una eventual relación de auditoría futura.
Nota de independencia: el auditor no puede diseñar ni implementar los controles internos de su cliente ni desempeñar funciones de la administración. La SEC ha señalado que diseñar e implementar controles contables internos compromete la independencia, y la Rule 2-01 de Regulation S-X prohíbe las funciones de administración. Para cualquier servicio distinto de la auditoría relacionado con el control interno y permitido para una emisora cliente, la Rule 3525 del PCAOB exige describir por escrito el alcance al comité de auditoría, discutir sus efectos sobre la independencia y documentar esa discusión. En clientes de auditoría, la remediación es responsabilidad de la administración; nosotros auditamos e informamos.
La administración no puede concluir que el control interno es efectivo si existe una o más debilidades materiales, y debe revelarlas en su informe conforme al Item 308(a). El Item 308(c) exige además revelar los cambios materiales en el control interno ocurridos en el último trimestre, que es donde suele reflejarse la remediación. Un plan creíble identifica la causa raíz, asigna responsables, rediseña o agrega controles y deja que operen el tiempo suficiente para ser probados. Si el trabajo de su auditor anterior se vio afectado por hallazgos de inspección del PCAOB, consulte nuestra página de remediación tras inspecciones del PCAOB (en inglés).
Solo ilustrativo. El cronograma real depende del cierre fiscal, el tamaño de la empresa y la madurez de sus controles, y se confirma en su propuesta escrita.
Verificaciones de independencia, carta compromiso, confirmación de su categoría de filer y definición de cuentas significativas, ubicaciones y sistemas de TI.
Recorremos los procesos clave y evaluamos si los controles están diseñados para cubrir los riesgos. Las deficiencias de diseño se comunican temprano.
Pruebas de efectividad operativa de los controles vigentes durante el ejercicio, incluidos los controles generales de TI.
Actualización de las pruebas al cierre, pruebas del cierre contable y auditoría sustantiva de los estados financieros.
Evaluación de severidad, comunicaciones escritas al comité de auditoría y emisión del informe de auditoría integrada para su Form 10-K.
Acordamos un honorario fijo por escrito antes de iniciar el trabajo de campo. Los principales factores son:
Vea cómo fijamos nuestros honorarios (en inglés) o escríbanos desde contacto. No publicamos rangos de honorarios: agende una reunión para evaluar su empresa y presentarle una propuesta formal.
Asesoria Global, Sociedad Anónima está registrada en el PCAOB (Firm ID 7184). Usted puede verificar el registro de cualquier firma; le explicamos cómo (en inglés).
El socio firmante participa desde la definición del alcance hasta la evaluación de cada deficiencia; los juicios de severidad los toma quien firma.
Trabajamos en español e inglés directamente con contralores y responsables de procesos en sus operaciones en América Latina.
Alcance escrito y cronograma semana a semana en la propuesta, verificaciones de independencia antes de aceptar y respuesta a solicitudes de propuesta en un día hábil. Sede en Ciudad de Guatemala.
Preguntas frecuentes
Por lo general, no. Una instrucción del Item 308 de Regulation S-K permite omitir tanto el informe de la administración sobre control interno como la atestación del auditor hasta que la empresa haya presentado, o haya estado obligada a presentar, un informe anual del ejercicio anterior. El primer 10-K debe incluir una declaración que explique que aplica este período de transición. Las certificaciones del CEO y del CFO siguen siendo obligatorias.
No automáticamente. La atestación 404(b) aplica a accelerated filers y large accelerated filers. Desde las enmiendas de 2020, una empresa que califica como SRC por la prueba de ingresos (ingresos anuales menores a USD 100 millones) queda fuera de la categoría de accelerated filer, aunque su public float esté entre USD 75 y 700 millones. Si califica como SRC solo por public float, podría seguir siendo accelerated filer.
Ambas están definidas en la Rule 1-02 de Regulation S-X y en AS 2201. Una debilidad material es una deficiencia, o combinación de deficiencias, que genera una posibilidad razonable de que un error material en los estados financieros anuales o intermedios no se prevenga o detecte oportunamente. Una deficiencia significativa es menos grave, pero merece la atención de quienes supervisan la información financiera. Solo las debilidades materiales deben revelarse públicamente.
No. Las reglas de independencia de la SEC consideran que diseñar e implementar controles internos es una función de la administración que compromete la independencia. El auditor puede identificar y comunicar deficiencias y comentarlas con la administración y el comité de auditoría, pero el diseño, la documentación y la remediación corresponden a la empresa, con su personal o con un asesor distinto.
La administración debe usar un marco reconocido e idóneo; la mayoría de las emisoras en Estados Unidos utiliza COSO Internal Control - Integrated Framework (2013). El marco debe identificarse en el informe de la administración. Cuando se requiere atestación, AS 2201 exige que el auditor utilice el mismo marco que utilizó la administración.
Depende de la causa raíz. Un control de revisión faltante puede corregirse en un trimestre; las debilidades ligadas a personal, controles generales de TI o al cierre contable suelen tomar más tiempo. Los controles remediados normalmente deben operar durante un período suficiente, y ser probados, antes de que la administración concluya que la debilidad ya no existe al cierre del ejercicio.
En mayo de 2026 la SEC propuso reducir las categorías de filer a large accelerated filers y non-accelerated filers y elevar el umbral de large accelerated filer (Release No. 33-11419). Si se adopta, menos empresas necesitarían la atestación 404(b). En nuestra última revisión seguía siendo una propuesta, por lo que aplican las definiciones vigentes de la Rule 12b-2.
Siga leyendo
A registration number is the starting point, not the answer. This guide shows CFOs and audit committees how to use the PCAOB's own public databases and SEC EDGAR to check a prospective audit firm before signing an engagement letter.
There is no single price for a PCAOB audit. This guide explains what actually moves the fee, what a fixed-fee proposal should include, and how to benchmark what comparable companies pay using their own SEC filings.
