Informe complementari d'auditoria

1/11

Comunicat núm. 9/EP Informe complementari d’auditoria

Abans del 31 de maig de l’exercici N, s’ha de trametre a l’AFA anyalment, l’informe complementari d’auditoria relatiu a l’exercici N-1.

Aquest comunicat no és d’aplicació a les entitats sota el règim d’exempcions establert a l’apartat 2 de l’article 6 de la Llei 27/2018, del 25 d’octubre, de modificació de la Llei 8/2018, del 17 de maig, dels serveis de pagament i el diner electrònic.

El model a seguir s’adjunta al present comunicat.

Andorra la Vella, 31 de juliol del 2019

2/11

Informe complementari d’auditoria

Entitats de pagament

Objectius

Els objectius principals de l’informe complementari són descriure i analitzar els aspectes financers i organitzatius de l’entitat mitjançant els controls que realitza l’auditor i, a més, donar indicacions sobre la gestió i l’estructura dels riscos. Consegüentment, és necessari que sigui exhaustiu i transparent, que proporcioni descripcions i apreciacions detallades de cada aspecte essencial, que realitzi una avaluació constructiva per a cada àrea i de cada aspecte i que, a la vegada, indiqui el seu mètode de treball (recursos de la tècnica de mostreig, mètode de selecció de la mostra,...) i, si escau, el detall de les irregularitats i de les deficiències identificades, amb la finalitat de facilitar a l’òrgan supervisor la comprensió i la valoració dels problemes constatats. Per dur a terme aquestes tasques, comptarà amb la col·laboració de la Direcció de l’entitat però, en qualsevol cas, és responsabilitat de l’auditor garantir el caràcter adequat d’aquestes avaluacions.

Un altre dels objectius perseguits per aquest informe consisteix en el fet que l’AFA pugui disposar d’altres mecanismes de control per contrastar les conclusions obtingudes en les seves tasques de supervisió. L’auditor extern haurà de comunicar-li detalladament els punts febles i aquells susceptibles d’ésser millorats, constatats mitjançant la seva revisió. Aquesta comunicació es pot realitzar en l’àmbit de l’informe complementari d’auditoria o mitjançant una carta de recomanacions adreçada a la Direcció de l’entitat i adjuntada a l’informe complementari com a annex.

D’altra banda, a l’efecte del compliment de les seves funcions, els auditors hauran de tenir en compte les disposicions següents:

a) El control dels comptes anyals haurà d’ésser efectuat seguint els criteris establerts en la normativa comptable i en els comunicats tècnics vigents.

b) El control s’haurà d’entendre en totes les àrees d’activitat de l’entitat, tant de balanç, com de fora balanç. No es podrà excloure del camp de control un tipus d’activitat, una categoria d’operacions o una operació específica. Pel contrari, el control haurà de cobrir conjuntament tots els riscos així com tots els aspectes financers, d’organització i de control intern de l’entitat. El control haurà de permetre proporcionar totes les informacions requerides en l’informe complementari d’auditoria definit en la present nota.

L’informe complementari d’auditoria haurà de seguir l’índex que es mostra a continuació, i s’hi afegirà, per a cada apartat, els comentaris escaients. En aquest sentit, els auditors hi hauran de fer constar tots els treballs duts a terme per tal de donar compliment al que es preveu en els punts següents. Quan un apartat determinat de l’esquema no es pugui aplicar a una entitat en concret, l’auditor haurà d’esmentar- ho explícitament.

3/11

Índex

1. Compliment de les normes d’elaboració dels estats financers

2. Fets significatius

3. Consolidació 3.1. Àmbit de consolidació 3.2. Comprovació del procés de consolidació

4. Organització i administració 4.1. Organització general de l’entitat 4.1.1. Descripció de l’accionariat directe i indirecte 4.1.2. Organigrama 4.1.3. Consell d’Administració i Direcció General 4.1.4. Comitès de l’entitat 4.2. Organització administrativa i funcions de l’entitat

5. Control intern 5.1. Processos quotidians de control intern 5.1.1. Control de la procedència dels diners 5.1.2. Riscos financers de l’entitat 5.1.3. Control de les actuacions dutes a terme per les entitats a qui es delega part de les funcions 5.2. Activitats a l’estranger

6. Sistemes informàtics i política de seguretat

7. Funció d’auditoria interna

8. Validació de la informació tramesa periòdicament a l’AFA 8.1. Informació relativa als estats financers 8.2. Informació tramesa en relació amb l’activitat de l’entitat i d’altres dades requerides per l’AFA

9. Publicitat

10. Contractes i/o pactes amb persones físiques o jurídiques per a l’aportació de clientela i/o patrimoni

11. Operacions o transaccions amb vinculades o altres entitats

4/11

12. Seguiment de problemes plantejats en informes precedents

13. Conclusió general

5/11

Guió de l’informe complementari d’auditoria

1. Compliment de les normes d’elaboració dels estats financers

En aquest apartat s’inclou la comprovació del compliment de les normes d'elaboració dels estats financers d'acord amb les disposicions establertes a la normativa comptable i als comunicats tècnics vigents. En aquest sentit, es comenta qualsevol incidència que hagi afectat l’entitat, hagi o no estat esmentada en les notes als estats financers auditats.

2. Fets significatius

En aquest punt s‘indiquen, si escau, els fets significatius que hagin tingut lloc en el curs de l’exercici sota revisió. Es comenten, per exemple, les decisions estratègiques del Consell d’Administració i de la Direcció General, l’inici o la finalització de reorganitzacions importants de l’entitat, fets significatius relacionats amb els organismes d’inversió col·lectiva que gestiona, així com les negociacions amb d’altres entitats o grups en matèria de fusió, adquisició o col·laboració. En el cas que no s’hagin produït fets significatius durant el curs de l’exercici sota revisió, s’ha d’esmentar expressament aquest fet.

3. Consolidació

3.1. Àmbit de consolidació

L’auditor ha de comprovar que han estat consolidades, en els estats financers, totes les participacions de l’entitat en altres empreses que formen part del perímetre de consolidació.

Així mateix, cal donar un detall de la informació relativa a cadascuna de les societats consolidades, amb independència del seu percentatge de participació, segons el quadre:

Societat consolida da Objecte social Mètode de consolidac ió Percentatge de participació Capital Reserv es Resultat de l’exercici Dividend a compte Total fons propis(1) ... ... ...

(1) Com a fons propis s’entén la suma de capital, reserves, resultats i fons per a riscos generals.

De la mateixa manera, s’ha d’elaborar un detall de les entitats participades per l’entitat que no han estat consolidades, amb explicacions de les raons per les quals no ho han estat.

Entitat Objecte social Percentatge de participació Total actiu Resultats Recursos propis Raons per no consolidar ... ... ...

En cas de no disposar de les dades de tancament de les participades en qüestió, s’han de facilitar les últimes dades disponibles amb la indicació de cadascuna de les seves dates de referència.

6/11

3.2. Comprovació del procés de consolidació

Comentar l’adaptació als models, als criteris de valoració i als principis comptables continguts a la normativa comptable vigent, després d’haver procedit a efectuar els ajustaments escaients (eliminació d’operacions internes, homogeneïtzació dels criteris comptables, etc.).

Especificar les societats consolidades amb data de tancament diferent a la data de la matriu i per a les quals s’han realitzat els ajustaments necessaris per adequar els respectius tancaments al de la matriu.

En cas que certes societats compreses en la consolidació hagin confiat el control dels seus comptes anyals a un auditor diferent del que estigui a càrrec dels comptes anyals de l’entitat matriu, l’auditor s’ha de pronunciar sobre com ha assegurat la validesa de les dades incorporades als estats financers de l’entitat matriu. En aquest sentit, s’han de detallar, sempre que sigui possible, l’abast i les revisions fetes per part dels auditors de les filials, i identificar, en tots els casos, l’entitat auditora de què es tracta.

Així mateix, cal esmentar, en tots els casos, si existeix alguna carta de recomanacions específica i, en cas afirmatiu, cal desglossar els seus punts més rellevants.

4. Organització i administració

4.1. Organització general de l’entitat

4.1.1. Descripció de l’accionariat directe i indirecte

Es proporciona una descripció de l’accionariat directe i indirecte de l’entitat que ha d’ésser facilitada en forma d’organigrama i que ha d’informar sobre els últims beneficiaris econòmics de les accions de les entitats de dret andorrà que pertanyen a persones jurídiques.

4.1.2. Organigrama

L’auditor ha de comprovar i validar la resposta al comunicat núm. 4/EP a tancament de l’exercici. A més, cal confirmar la vigència de l’organigrama funcional tramès en virtut de l’esmentat comunicat i informar, si escau, dels canvis significatius produïts.

4.1.3. Consell d’Administració i Direcció General

En aquest punt, s’ha d’aportar una relació exhaustiva dels membres del Consell d’Administració i de la Direcció General, així com el càrrec que ocupen i la data dels seus respectius nomenaments. Cal indicar també, expressament, tots els canvis que han tingut lloc durant l’exercici en els esmentats òrgans (altes i baixes). A més, cal realitzar una descripció de les competències atorgades a aquests òrgans amb una indicació precisa de les seves limitacions.

4.1.4. Comitès de l’entitat

L’auditor indica, si escau, l’existència de comitès en el si de l’entitat, la seva composició i les seves competències. Així mateix, cal explicitar el desenvolupament de les seves tasques (periodicitat dels comitès, actes aixecades, informació de les decisions preses a la resta de l’organització, etc.), així com el seguiment que es fa de les decisions preses en cada comitè i de la seva implantació.

4.2. Organització administrativa i funcions de l’entitat

Cal efectuar una descripció de l’organització administrativa de l’entitat, del volum d’activitats desenvolupades així com dels recursos humans de què disposa. Esmentar les millores i/o els canvis duts a terme per l’entitat durant l’exercici. En relació amb aquests punts, l’auditor ha d’avaluar la

7/11

conveniència dels sistemes i dels recursos descrits prèviament per tal que l’entitat pugui assumir les seves responsabilitats correctament.

Entre altres, l’auditor ha de proporcionar una descripció dels sistemes interns d’informació, tant ascendents, com descendents i, en particular, dels sistemes d’informació de la Direcció al Consell d’Administració. Seguidament, cal proporcionar una avaluació dels sistemes de comunicació de l’entitat.

Finalment, cal esmentar si l’entitat disposa d’un o més manuals de procediments en què es descriguin les diferents funcions que exerceix.

5. Control intern

5.1. Processos quotidians de control intern

En aquest apartat es facilita una descripció del funcionament dels diferents procediments de control intern implantats per l’entitat que no quedin tractats en altres apartats d’aquest informe complementari i se’n destaquen els canvis i les millores implantats durant el període objecte de l‘auditoria.

Seguidament, mitjançant mostreig del qual es faciliten les característiques detalladament, l’auditor comprova la correcta implantació dels diferents processos així com el seu correcte funcionament. S’ha de donar especial importància a la possible implantació, al funcionament i al compliment dels procediments següents:

5.1.1. Control de la procedència dels diners

Cal esmentar qui efectua aquest control, proporcionar un desglossament de les mesures preses per dur a terme el control i precisar si es filtren les operacions per detectar transaccions anormals.

Així mateix, també es requereix informació sobre les validacions d’acceptació de clients efectuades, tant per a persones físiques com per a persones jurídiques, i que s’indiqui, en aquest darrer cas, si es disposa d’informació en relació amb l’últim beneficiari de les accions.

En cas que es vulgui fer referència a altres informes realitzats amb aquest mateix objectiu, pot fer-se constar sempre i quan es faciliti el nom de l’auditor que els va realitzar, l’empresa a la que representava, la data d’emissió de l’informe així com les deficiències i/o recomanacions posades de relleu en relació amb aquest punt.

5.1.2. Riscos financers de l’entitat

Cal indicar com s’efectuen el control i la gestió dels riscos de l’entitat en general i cal incloure una anàlisi detallada del grau d’exposició de l’entitat, almenys als riscos següents, els quals s’han de completar, si escau, en funció de l’activitat i de la situació particular de l’entitat: − riscos de crèdit / risc de contrapartida − riscos de mercat − risc de liquiditat − risc operacional − risc legal (amb especial èmfasi en la confidencialitat de les dades dels clients i la protecció d’actius dels clients).

També s’ha de fer esment, entre altres, al sistema de conservació de la documentació relativa a les operacions administratives en general així com al sistema de protecció de dades dels clients, tant personals, com les relatives a la seva operativa.

Finalment, l’auditor ha d’apreciar si l’entitat disposa dels recursos financers i de la infraestructura adequada per controlar els riscos als quals està sotmesa.

8/11

5.1.3. Control de les actuacions dutes a terme per les entitats a qui es delega part de les funcions

En un primer moment, es facilita una breu descripció dels controls interns implementats per l’entitat per tal de comprovar que les funcions delegades a altres entitats s’executen correctament. Seguidament, l’auditor ha d’avaluar la idoneïtat dels processos implantats per l’entitat tot indicant les millores que consideraria necessàries o recomanables. En aquest sentit, s’esmenten les possibles deficiències detectades per l’entitat al llarg de l’exercici i les actuacions preses per corregir-les.

5.2. Activitats a l’estranger

Si en el marc de l’auditoria, l’auditor s’ha assabentat que determinats supervisors estrangers s’han dirigit a les sucursals i/o filials de l’entitat a l’estranger o a la mateixa casa mare per emetre algun tipus de requeriment, s’ha de detallar aquest fet, així com l’estat actual del dossier associat amb els supervisors estrangers.

En tot cas, cal mencionar qualsevol supervisió d’altres autoritats estrangeres, possibles inspeccions in situ realitzades a l’estranger i conclusions emeses per dites autoritats. També cal fer esment al seguiment de dites conclusions per part de l’entitat i de l’autoritat supervisora així com de les mesures preses.

6. Sistemes informàtics i política de seguretat

Pel que fa als sistemes informàtics, es realitza una breu descripció dels sistemes instal·lats. Qualsevol canvi significatiu dut a terme a aquest nivell durant l’exercici ha de ser esmentat, així com els problemes d’importància que s’hagin pogut produir. També es fa esment als possibles plans de contingència previstos per l’entitat en cas d’avaria informàtica. Seguidament, l’auditor avalua la idoneïtat dels sistemes instal·lats. Qualsevol mancança o recomanació detectada ha de ser inclosa a l’informe complementari o en un annex adjunt.

Es realitzarà també una descripció de la política de seguretat de l’entitat, i com a mínim:

a) una avaluació detallada dels riscos dels serveis oferts entre els quals els riscos de frau i mesures de control de seguretat i mitigació adoptades per protegir adequadament els usuaris contra els riscos identificats;

b) una descripció dels sistemes informàtics, que haurien d'incloure, entre altres, els sistemes informàtics que donen suport a les activitats proporcionades, com ara el lloc web del sol·licitant, motor de pagament, etc.;

c) una descripció del tipus de connexions autoritzades des de fora, com ara amb socis, proveïdors de serveis, entitats del grup i empleats que treballen de forma remota, incloent-hi els fonaments d'aquestes connexions; així com les mesures i els mecanismes de seguretat establerts, especificant el control que tindrà el sol·licitant sobre aquests accessos;

d) una anàlisi de la seguretat dels processos de pagament, que haurien d'incloure:

i. el procediment d'autenticació del client utilitzat tant per a l'accés consultiu com per a transaccions, i per a tots els instruments de pagament subjacents;

ii. una explicació de com es garanteix el lliurament segur a l'usuari legítim del servei de pagament i la integritat dels factors d'autenticació;

iii. una descripció dels sistemes i procediments que el sol·licitant té establerts per a l'anàlisi de transaccions i la identificació de transaccions sospitoses o inusuals;

9/11

e) una avaluació detallada del risc en relació amb els seus serveis de pagament, inclòs el frau, amb un enllaç a les mesures de control i mitigació explicades al fitxer de sol·licitud, que demostren que s'adrecen els riscos;

f) una llista dels principals procediments escrits en relació amb els sistemes informàtics del sol·licitant.

7. Funció d’auditoria interna

Indicar si l’entitat disposa d’un òrgan d’auditoria interna o, si escau, d’una unitat en què s’hagi delegat aquesta funció, amb l’objectiu de donar compliment a l’elaboració d’un pla d’auditoria interna per examinar i avaluar l’adequació i l’eficàcia dels sistemes, els mecanismes de control intern i les disposicions de l’entitat, formular recomanacions i verificar-ne el compliment, d’acord amb l’article 11 de la Llei 8/2013. L’entitat auditora ha de descriure les característiques d’aquest òrgan i/o unitat (nombre de personal, normes de funcionament, etc.).

En aquest sentit, cal informar breument del contingut del reglament intern que regula les actuacions dutes a terme per aquest òrgan i/o unitat en base al qual quedi clarament definida la seva independència de la Direcció General i els seus procediments d’informació als seus superiors.

En el cas que l’entitat hagi delegat la funció d’auditoria interna en una entitat no vinculada, l’auditor ha de descriure les característiques del contracte de delegació.

També cal validar que el pla vigent d’auditoria interna estigui aprovat (signat) pel Consell d’Administració de l’entitat (desglossar el calendari previst per a l’exercici objecte d’auditoria i el seu estat d’acompliment).

Finalment, cal fer especial esment a les tasques dutes a terme per aquest òrgan i/o unitat amb relació a les sucursals i/o filials a l’estranger de l’entitat.

8. Validació de la informació tramesa periòdicament a l’AFA

Prèviament a la comprovació de les trameses periòdiques relatives al quart trimestre, s’efectua una breu descripció dels mecanismes emprats internament per a l’elaboració de la informació i s’especifica si s’elabora íntegrament de forma manual o bé si una part de la informació s’obté de forma automàtica. Així mateix, cal indicar si l’entitat manté un arxiu centralitzat a aquest efecte. També caldrà incloure la validació de la tramesa anyal d’aquells comunicats el reporting dels quals no coincideixi amb el quart trimestre de l’any.

Destacar que el contingut d’aquest apartat pot variar d’un exercici a l’altre atès que ha d’incloure la validació de la informació periòdica tramesa a l’AFA relativa al quart trimestre tal com vagi essent sol·licitada en el futur i ha de deixar de tractar aquells comunicats que vagin deixant d’ésser requerits. Per tant, qualsevol comunicat periòdic que sigui emès al llarg de cada exercici ha de ser objecte d’una validació per part dels auditors en el marc de l’informe complementari, adaptant, en cada cas, el seu tractament en funció de la informació requerida al comunicat.

S’ha d’informar també sobre les dades que no hagin pogut ésser facilitades per l’entitat i explicar les raons per a les quals no han estat enviades.

8.1. Informació relativa als estats financers trimestrals

En primer lloc, es facilita una breu descripció del procés de confecció dels estats financers tramesos a l’AFA. Seguidament, l’auditor verifica que s’ha efectuat prenent com a base la informació dels registres comptables interns de l’entitat preparats d’acord amb els principis comptables establerts per la normativa comptable vigent.

Exposa detalladament tots els ajustaments i totes les reclassificacions, tot i que no tinguin importància significativa, que s’hagin efectuat en auditar els comptes anyals, en relació amb els estats financers del quart trimestre tramesos a l’AFA.

10/11

En aquest apartat també s’inclou la següent informació: − els criteris de materialitat o xifres d’importància relativa comunicats, en un primer moment a l’AFA, i la seva justificació, − les modificacions o les variacions d’aquests criteris en les fases d’execució i d’elaboració de l’informe i les motivacions que han provocat aquests canvis, inclosos els requeriments addicionals de l’AFA, si escau, − els ajustaments i les reclassificacions passats, − els ajustaments i les reclassificacions no passats, inclosos els que ha trobat l’auditor a efectes de conciliació però que, a judici de l’auditor, no són significatius per al principi d’importància relativa ni per als criteris de materialitat establerts.

8.2. Informació tramesa en relació amb l’activitat de l’entitat i d’altres dades requerides per l’AFA

S’ha de comprovar i validar que la informació del quart trimestre de l’any facilitada a l’AFA amb caràcter periòdic dóna una imatge fidel de l’activitat duta a terme per l’entitat i que coincideix amb els saldos reflectits pels registres de l’entitat a la data de referència, havent-se aplicat els principis i criteris establerts per la normativa vigent.

9. Publicitat

En aquest apartat l’auditor ha de validar que totes les publicitats emeses per l’entitat o per qualsevol entitat del grup (via mitjans físics o virtuals) donen complimenta tot el marc normatiu en aqueta matèria.

10. Contractes i/o pactes amb persones físiques o jurídiques per a l’aportació de clientela i/o patrimoni

En aquest apartat es facilita informació detallada sobre l’existència, o no, de contractes i/o pactes amb persones físiques o jurídiques, amb l’objectiu d’aportar nous clients i/o patrimonis al negoci de l’entitat (nombre, condició de remuneració, desglossament per naturalesa jurídica de les persones...). En cas d’existir contractes escrits que fixin la relació entre aquestes persones i l’entitat, cal adjuntar-ne una còpia a l’informe complementari tret dels casos en què s’hagi informat prèviament i en què no s’hagin produït canvis. A més, s’informa de l’àmbit d’actuació geogràfica d’aquestes persones, amb la corresponent autorització o certificació per poder actuar en dits territoris.

11. Operacions o transaccions amb vinculades o altres entitats

Detallar totes les operacions o transaccions amb entitats i persones vinculades segons les definicions establertes per l’AFA.

En particular s’ha de descriure i comentar: − la política i els objectius perseguits per l’entitat en relació amb les seves empreses vinculades, − el tipus d’operacions efectuades amb entitats i persones vinculades (en particular cal esmentar els procediments interns previstos amb relació a les operacions per compte propi del personal), − les garanties rebudes de part de les vinculades (circumstàncies, condicions...), − la part d’interessos pagats/rebuts a/de vinculades (en percentatges sobre el total), − la part de comissions per serveis prestats/rebuts a/de vinculades (en percentatges sobre el total).

També cal informar, en aquest apartat, dels contractes més rellevants existents amb altres empreses vinculades, o no, al grup (assessorament, cessió de mitjans...) i desglossar les condicions pactades.

11/11

12. Seguiment de problemes plantejats en informes precedents

En aquest punt, l’auditor ha d’indicar el seguiment de les irregularitats i febleses constatades en informes complementaris anteriors o en les cartes de recomanacions adreçades a la Direcció.

13. Conclusió general

Consisteix en resumir les principals remarques i conclusions que figurin a l’informe. L’auditor haurà de prendre posició sobre tots els punts essencials del seu control de manera que aporti una visió de conjunt de la situació de l’entitat controlada.

En cas que l’auditor dirigeixi una carta de recomanacions a la Direcció, la conclusió general ha de fer referència a aquest document en qüestió, el qual ha de figurar com annex a l’informe complementari.