Documentación de auditoría — PCAOB AS 1215 (auditorías de emisores) y AICPA AU-C 230 (auditorías de no emisores)
Esta página se genera a partir de la tabla de requisitos que el motor de AiSSAY incluye para este marco. Cuando el motor produce un paquete de evidencias, cada fila de abajo recibe un estado calculado a partir de los propios registros del operador en ese momento. Esta página muestra la tabla, no los resultados de nadie.
Correspondencia informativa preparada con las propias herramientas del operador. No es un dictamen jurídico, ni una certificación, ni sustituye el asesoramiento de un abogado. Organiza los registros del operador en relación con los requisitos citados; determinar si esos registros cumplen los requisitos corresponde al operador, a su asesor jurídico y al examinador.
AS 1215 modificada por AS 1000: la fecha de finalización de la documentación es 14 días después de la fecha de emisión del informe, con aplicación progresiva a los ejercicios fiscales que comiencen el 15 de diciembre de 2024 o de 2025, o después, según el tamaño de la firma (antes eran 45 días). QC 1000 entra en vigor el 15 de diciembre de 2026; las modificaciones adoptadas el 9 de septiembre de 2026 están pendientes de aprobación por la SEC. Las modificaciones de AS 1105 y AS 2301 sobre el análisis asistido por tecnología se aplican a los ejercicios fiscales que comiencen el 15 de diciembre de 2025 o después.
La tabla de requisitos
8 filas: 6 de mecanismo, 1 organizativa, 1 carencia señalada
| Requisito | Mecanismo, obligación o carencia | Tipo |
|---|---|---|
| AS 1215.06 — la documentación muestra quién realizó el trabajo y quién lo revisó, y cuándo | cada ejecución registra sus pasos con marcas de tiempo; el refrendo de un revisor designado se sella junto a ella con su propia hora; las lecturas se firman cuando el lector aporta una clave de identidad | mecanismo |
| AS 1215.14 — conservar la documentación de auditoría durante siete años desde la fecha de emisión del informe | fechas de conservación por registro, fijadas cuando se sella un registro (siete años por defecto); la eliminación antes de esa fecha se rechaza salvo que conste una autorización excepcional registrada; la retención legal bloquea la eliminación por completo | mecanismo |
| AS 1215.15 — reunir el expediente completo antes de la fecha de finalización de la documentación | cada registro queda fechado en la cadena en el momento en que se sella, y una exportación completa ofrece el conjunto completo de un periodo en cualquier momento. Cumplir el plazo corresponde a la firma. | mecanismo |
| AS 1215.16 — después de la finalización no se elimina ni se descarta nada; todo lo que se añada registra cuándo, quién y por qué | cadena de hashes de solo anexión: una corrección es un registro nuevo que hace referencia al original, cada adición lleva su hora y su actor, y una eliminación deja una marca de borrado; una eliminación anticipada registra su autorización excepcional y su motivo | mecanismo |
| AS 1105 y AS 2301 — evaluar la fiabilidad de la información electrónica y hacer el seguimiento de los elementos que el análisis señala | las cifras de cada ejecución se recalculan con exactitud y se cotejan con las fuentes que citan; las discrepancias se plantean como hallazgos y se marcan para revisión. El seguimiento corresponde al auditor. | mecanismo |
| AU-C 230 — conservar la documentación al menos cinco años, y registrar quién cambió qué después de reunirla, cuándo y por qué | los mismos mecanismos de conservación y de solo anexión; los siete años por defecto superan el mínimo de cinco años | mecanismo |
| QC 1000 — el sistema de control de calidad de la firma y su documentación | organizativo: el sistema de control de calidad corresponde a la firma. Los registros son evidencias que puede citar, no el sistema en sí. | organizativo |
| Uso de los registros de esta herramienta como evidencia de auditoría — evaluación independiente de sus controles | NO IMPLEMENTADO. Todavía no existe ninguna prueba de penetración, ninguna revisión de la criptografía por terceros ni ningún informe independiente sobre los controles de este software. Quien utilice estos registros como evidencia debe evaluar la herramienta por sí mismo, y esta fila lo dice en primer lugar. | carencia señalada |
Cómo se obtiene un estado
- Acreditado
- se ejecutó una comprobación determinista sobre sus registros y los recuentos respaldan la fila. Un almacén que no contiene registros pertinentes figura como no acreditado: una afirmación verdadera, no un aprobado. Vacío nunca cuenta como limpio.
- Delegado
- el mecanismo lo hace cumplir un sistema en el que usted ya confía: un almacén sellado por su propio gestor de claves le delega a este el control de acceso, y el paquete indica que el registro que lo hace cumplir es el de su gestor de claves, no el nuestro. El paquete nombra el endpoint en el que se contactó con el gestor de claves. Un endpoint de AWS distinto del predeterminado de AWS para la región figura como delegado a ese endpoint, con una solicitud para que usted confirme que es su servicio de gestión de claves. Un backend —AWS KMS— se ha ejecutado contra el servicio real de AWS KMS; ningún otro backend lo ha hecho.
- Punto de integración de prueba
- sellado por un backend de prueba dentro del proceso —un stub, o un sustituto del cliente de AWS— y el estado indica cuál. Ningún gestor de claves controla el acceso. El punto de integración está construido y probado, y el paquete se niega a llamar a eso delegación.
- Parcialmente acreditado
- el mecanismo está construido y algunas de sus ejecuciones llevan su evidencia, pero no todas, normalmente porque se sellaron antes de que existiera el mecanismo. El paquete indica cuántas ejecuciones hay en cada grupo y nunca cuenta como aprobadas las que faltan.
- Organizativo
- el requisito es un procedimiento que solo pueden llevar a cabo personas. El paquete lo señala como responsabilidad suya en lugar de disfrazar una política de mecanismo.
- Carencia señalada
- el paquete no puede acreditarlo —o bien el mecanismo no está construido, o bien ningún software puede aportarlo— y dice cuál de los dos casos es. La carencia se imprime, porque un revisor debería leerla aquí y no descubrirla después.
Ningún estado se introduce a mano: cada estado se recalcula a partir del almacén cada vez que se produce un paquete, el texto de los requisitos y de los mecanismos se redacta y revisa como parte del motor, y la evidencia sobre dependencias procede de nuestro análisis de cada versión. Un mecanismo que falla nunca puede interpretarse como evidencia de que el control funciona.