De acuerdo a la sección 404 de la ley Sarbanes-Oxley El auditor tiene la responsabilidad de

emitir un concepto de auditoría sobre el control interno de la empresa.

El concepto de auditoría sobre el control interno puede hacerse en un solo informe en
conjunto con los resultados de los estados financieros o en un informe por separado. Además,
ya que la auditoría de estados financieros y la auditoría del control interno sobre los informes
financieros se efectúan de manera integrada, el auditor debe considerar los resultados de los
procedimientos de auditoría realizados para emitir el dictamen de auditoría relativo a los
estados financieros, cuando se emite el dictamen de auditoría referente al control interno. 
El dictamen del auditor relativo al control interno debe incluir dos opiniones del auditor:

1. El concepto del auditor referente a si la administración declaró de manera correcta la

evaluación de la eficacia de los controles internos sobre informes financieros a partir
del final del periodo fiscal, en cuanto a todos los aspectos importantes.
2. El concepto del auditor acerca de si la compañía mantuvo un control interno efectivo
sobre los informes financieros desde la fecha especificada, en cuanto a todos los
aspectos materiales.

Concepto sin salvedades

El auditor puede emitir un concepto de control interno sin salvedades referente a los informes
financieros cuando:

 No se han identificado debilidades materiales.

 No ha habido restricciones en el alcance del trabajo del auditor.

Concepto adverso
El auditor debe expresar una opinión adversa sobre la eficacia del control interno en el caso
de haber identificado debilidades de importancia o materiales.
Concepto con salvedades o de renuncia
Cuando el auditor se ve limitado en el alcance de su auditoría de control interno, debe emitir
un concepto con salvedades o una opinión de renuncia. Este tipo de concepto se expresa
cuando el auditor no es capaz de determinar si hay debilidades materiales, debido a una
restricción en el alcance de la auditoría del control interno sobre los informes financieros u
otras circunstancias que le impidan al auditor recabar la evidencia suficiente. 

Fuente: https://www.auditool.org/blog/auditoria-externa/5528-concepto-de-auditoria-sobre-el-
control-interno