ISAE 3000 / ISA 500 Substantive Physical Testing Protocol (SPTP) for Tokenized RWAs

Tamarit Blay, Aurelio

doi:10.5281/zenodo.22694771

1. Propósito Normativo y Responsabilidad del Auditor 1. Regulatory Purpose and Auditor Liability

Bajo la ISAE 3000 (Encargos de Aseguramiento Distintos de las Auditorías de Información Financiera Histórica) y la NIA 500 / ISA 500 (Evidencia de Auditoría), los auditores deben obtener “evidencia de auditoría suficiente y adecuada” sobre la existencia, integridad y valoración de los activos que respaldan los estados financieros. Under ISAE 3000 (Assurance Engagements Other than Audits or Reviews of Historical Financial Information) and ISA 500 (Audit Evidence), auditors must obtain “sufficient appropriate audit evidence” regarding the existence, integrity, and valuation of the assets backing the financial statements.

Para los Activos del Mundo Real Tokenizados (RWA), esto presenta un desafío único: el activo subyacente (inmueble, infraestructura naval, flex office) existe fuera de la cadena de bloques. Un screenshot de un dashboard Web3 o un PDF estático proporcionado por el emisor no constituye evidencia de auditoría válida bajo las normas internacionales. For Tokenized Real World Assets (RWA), this presents a unique challenge: the underlying asset (real estate, naval infrastructure, flex office) exists off-chain. A screenshot of a Web3 dashboard or a static PDF provided by the issuer does not constitute valid audit evidence under international standards.

Advertencia de Responsabilidad Profesional: Professional Liability Warning: Si un auditor acepta como “evidencia suficiente” la declaración unilateral del emisor sobre la existencia física de un activo de 50M€, y posteriormente se descubre que el activo está embargado, deteriorado o no existe, el auditor firma con negligencia profesional bajo la NIA 500 y la NIA 570 (Empresa en Funcionamiento). If an auditor accepts the issuer’s unilateral statement as “sufficient evidence” regarding the physical existence of a €50M asset, and it is later discovered that the asset is encumbered, deteriorated, or non-existent, the auditor signs with professional negligence under ISA 500 and ISA 570 (Going Concern).

2. El Protocolo SPTP: 5 Pasos para la Evidencia Sustantiva Física 2. The SPTP Protocol: 5 Steps for Substantive Physical Evidence

El Substantive Physical Testing Protocol (SPTP) de Prop Trust Verified establece el único marco que cumple íntegramente con los requisitos de la NIA 500 para la verificación de activos físicos tokenizados, sin incurrir en costes de desplazamiento masivos e ineficientes. The Substantive Physical Testing Protocol (SPTP) of Prop Trust Verified establishes the only framework that fully complies with ISA 500 requirements for the verification of tokenized physical assets, without incurring massive and inefficient travel costs.

1

Inspección Física por Tercero Independiente Physical Inspection by Independent Third Party

Un Perito Judicial Oficial colegiado (PTCE – Prop Trust Certified Expert) realiza una inspección in situ del activo subyacente, documentando su estado físico, jurídico y urbanístico mediante un dictamen pericial vinculante. A Certified Judicial Expert (PTCE – Prop Trust Certified Expert) conducts an on-site inspection of the underlying asset, documenting its physical, legal, and urban planning status through a binding expert report.

Norma: NIA 500.A6 (Inspección de activos tangibles) Standard: ISA 500.A6 (Inspection of tangible assets)

2

Firma Cualificada eIDAS 2.0 eIDAS 2.0 Qualified Signature

El dictamen pericial se firma con un Certificado Cualificado de Firma Electrónica (QCert) conforme al Reglamento eIDAS 2.0 (UE 2024/1183), otorgándole plena validez legal en todos los tribunales de la Unión Europea. The expert report is signed with a Qualified Electronic Signature Certificate (QCert) under eIDAS 2.0 Regulation (EU 2024/1183), granting it full legal validity in all European Union courts.

Norma: eIDAS Art. 25-28 · LEC Art. 335 (Prueba Pericial) Standard: eIDAS Art. 25-28 · Civil Procedure Art. 335 (Expert Evidence)

3

Anclaje Criptográfico al Token Cryptographic Anchoring to the Token

El hash SHA-256 del dictamen firmado se inyecta en el contrato inteligente del token mediante PTVSClaimInjector.sol, creando un vínculo inmutable y verificable entre el activo físico y su representación digital. The SHA-256 hash of the signed report is injected into the token’s smart contract via PTVSClaimInjector.sol, creating an immutable and verifiable link between the physical asset and its digital representation.

Norma: NIA 500.A12 (Fiabilidad de la información producida por la entidad) Standard: ISA 500.A12 (Reliability of information produced by the entity)

4

Cálculo del RWA Physical Risk Index (RWA-PRI) RWA Physical Risk Index (RWA-PRI) Calculation

El perito calcula el RWA-PRI Score (0-100) del activo, cuantificando su nivel de riesgo físico. Un score ≤ 15 indica “Riesgo Mínimo” y elegibilidad para auditoría sin salvedades. Un score > 40 activa el Forensic Freeze Protocol (FFP). The expert calculates the asset’s RWA-PRI Score (0-100), quantifying its physical risk level. A score ≤ 15 indicates “Minimal Risk” and eligibility for unqualified audit. A score > 40 triggers the Forensic Freeze Protocol (FFP).

Norma: NIA 570 (Empresa en Funcionamiento) · DOI: 10.5281/zenodo.22694771 Standard: ISA 570 (Going Concern) · DOI: 10.5281/zenodo.22694771

5

Emisión del Certificado de Integridad L0-PR Issuance of L0-PR Integrity Certificate

El auditor recibe el Certificado de Integridad L0-PR, que incluye: (a) el dictamen pericial firmado, (b) el hash anclado on-chain, (c) el RWA-PRI Score, y (d) la dirección del contrato PTVSClaimInjector.sol. Este certificado constituye la evidencia de auditoría sustantiva requerida. The auditor receives the L0-PR Integrity Certificate, which includes: (a) the signed expert report, (b) the on-chain anchored hash, (c) the RWA-PRI Score, and (d) the PTVSClaimInjector.sol contract address. This certificate constitutes the required substantive audit evidence.

Norma: ISAE 3000.A45 (Evidencia de aseguramiento) Standard: ISAE 3000.A45 (Assurance evidence)

3. Evidencia Técnica: Verificación On-Chain 3. Technical Evidence: On-Chain Verification

El contrato inteligente PTVSClaimInjector.sol permite a cualquier auditor verificar en tiempo real la existencia y validez del claim pericial anclado al token. El código es de fuente abierta y auditable en GitHub. The PTVSClaimInjector.sol smart contract allows any auditor to verify in real-time the existence and validity of the expert claim anchored to the token. The code is open-source and auditable on GitHub.

// SPDX-License-Identifier: MIT
pragma solidity ^0.8.20;

/**
 * @title PTVSClaimInjector – Substantive Physical Testing Protocol (SPTP)
 * @notice Inyección de claims periciales eIDAS 2.0 para auditoría ISAE 3000 / NIA 500
 * @author Perito Judicial Oficial Exp. Nº 0161 / PTVS Association (Switzerland)
 * @dev Código auditable: https://github.com/aurema-group/ptvs-v1-core
 */
contract PTVSClaimInjector {
    
    uint256 public constant PTVS_CLAIM_TOPIC = uint256(keccak256(“PTVS_PHYSICAL_ORACLE_L0_PR”));
    address public immutable judicialExpertAuthority;
    
    struct PhysicalAssessment {
        uint8 rwaPRI;            // Score RWA Physical Risk Index (0-100)
        uint64 timestamp;        // Timestamp eIDAS 2.0
        string zenodoDoiHash;    // DOI de respaldo científico
        bool isActive;           // Estado del claim (activo/revocado)
    }

    mapping(address => PhysicalAssessment) public tokenPhysicalHealth;

    event ForensicStatusUpdated(address indexed token, uint8 score, uint64 timestamp, string doi);
    event ForensicClaimRevoked(address indexed token, string reason);

    modifier onlyJudicialExpert() {
        require(msg.sender == judicialExpertAuthority, “PTVS: Unauthorized Non-Judicial Entity”);
        _;
    }

    /**
     * @notice Inyecta el claim pericial L0-PR (evidencia sustantiva para auditor)
     * @param _tokenIdentity Dirección del contrato ONCHAINID del token RWA
     * @param _rwaPRI Score del RWA Physical Risk Index (0-100)
     * @param _doiHash DOI del dictamen pericial en Zenodo
     */
    function injectPhysicalAssessment(
        address _tokenIdentity,
        uint8 _rwaPRI,
        string calldata _doiHash
    ) external onlyJudicialExpert {
        require(_rwaPRI <= 100, “PTVS: Invalid Index Range”);

        tokenPhysicalHealth[_tokenIdentity] = PhysicalAssessment({
            rwaPRI: _rwaPRI,
            timestamp: uint64(block.timestamp),
            zenodoDoiHash: _doiHash,
            isActive: true
        });

        emit ForensicStatusUpdated(_tokenIdentity, _rwaPRI, block.timestamp, _doiHash);
    }

    /**
     * @notice Revoca el claim si se detecta degradación física (activa FFP)
     * @param _tokenIdentity Dirección del token RWA
     * @param _reason Motivo de la revocación (ej: “EMBARGO_DETECTED”)
     */
    function revokePhysicalClaim(
        address _tokenIdentity,
        string calldata _reason
    ) external onlyJudicialExpert {
        tokenPhysicalHealth[_tokenIdentity].isActive = false;
        emit ForensicClaimRevoked(_tokenIdentity, _reason);
    }

    /**
     * @notice Consulta el estado físico del token (para auditor)
     * @param _tokenIdentity Dirección del token RWA
     * @return rwaPRI Score del RWA-PRI
     * @return timestamp Timestamp de la última auditoría
     * @return doiHash DOI del dictamen pericial
     * @return isActive Estado del claim (true = válido)
     */
    function getPhysicalAssessment(address _tokenIdentity)
        external view returns (uint8 rwaPRI, uint64 timestamp, string memory doiHash, bool isActive)
    {
        PhysicalAssessment memory assessment = tokenPhysicalHealth[_tokenIdentity];
        return (assessment.rwaPRI, assessment.timestamp, assessment.zenodoDoiHash, assessment.isActive);
    }
}
      

Verificación en tiempo real: Cualquier auditor puede llamar a la función getPhysicalAssessment(tokenAddress) y obtener el RWA-PRI Score, el timestamp de la última auditoría y el DOI del dictamen pericial. Si isActive = false, el activo ha sido revocado por degradación física y el auditor debe emitir una salvedad en su informe. Real-time verification: Any auditor can call the getPhysicalAssessment(tokenAddress) function and obtain the RWA-PRI Score, the timestamp of the last audit, and the DOI of the expert report. If isActive = false, the asset has been revoked due to physical degradation and the auditor must issue a qualified opinion in their report.

4. Matriz de Cumplimiento NIA/ISAE vs PTVS 4. ISA/ISAE Compliance Matrix vs PTVS

La siguiente tabla demuestra cómo el protocolo SPTP de PTVS v1.0 cumple íntegramente con los requisitos de las normas internacionales de auditoría para la verificación de activos físicos tokenizados. The following table demonstrates how the PTVS v1.0 SPTP protocol fully complies with the requirements of international audit standards for the verification of tokenized physical assets.

Requisito Normativo Regulatory Requirement	Norma Aplicable Applicable Standard	Solución PTVS v1.0 PTVS v1.0 Solution	Cumplimiento Compliance
Inspección de activos tangibles Inspection of tangible assets	NIA 500.A6 / ISA 500.A6	Dictamen pericial in situ por PTCE On-site expert report by PTCE	✓ FULL
Fiabilidad de evidencia externa Reliability of external evidence	NIA 500.A9 / ISA 500.A9	Firma cualificada eIDAS 2.0 (QCert) eIDAS 2.0 qualified signature (QCert)	✓ FULL
Evaluación de empresa en funcionamiento Going concern assessment	NIA 570 / ISA 570	RWA-PRI Score + Forensic Freeze Protocol RWA-PRI Score + Forensic Freeze Protocol	✓ FULL
Encargos de aseguramiento (no financieros) Assurance engagements (non-financial)	ISAE 3000.A45	Certificado de Integridad L0-PR L0-PR Integrity Certificate	✓ FULL
Validez legal en tribunales UE Legal validity in EU courts	eIDAS Art. 25-28 · LEC Art. 335	Perito Judicial Colegiado + Firma QCert Certified Judicial Expert + QCert Signature	✓ FULL
Inmutabilidad de la evidencia Immutability of evidence	NIA 500.A12 / ISA 500.A12	Hash SHA-256 anclado on-chain (ERC-3643) SHA-256 hash anchored on-chain (ERC-3643)	✓ FULL
Sin PTVS (alternativa del emisor) Without PTVS (issuer alternative)	—	PDF estático / Dashboard Web3 Static PDF / Web3 Dashboard	✗ INSUFFICIENT

Proteja su Firma de Auditoría Protect Your Audit Firm

Como socio de auditoría de activos digitales, no asuma el riesgo de firmar con evidencia insuficiente. Solicite una reunión técnica con nuestro equipo para evaluar la integración del protocolo SPTP en su metodología de auditoría. As a digital asset audit partner, do not assume the risk of signing with insufficient evidence. Request a technical meeting with our team to evaluate the integration of the SPTP protocol into your audit methodology.

Solicitar Reunión Técnica Request Technical Meeting

Cita Académica Sugerida Suggested Academic Citation

Tamarit Blay, A. (2026). ISAE 3000 / ISA 500 Substantive Physical Testing Protocol (SPTP) for Tokenized Real World Assets. Aurema Group L.L.C. Zenodo.

DOI: 10.5281/zenodo.22694771

ISAE 3000 / NIA 500 Substantive Physical Testing Protocol (SPTP) ISAE 3000 / ISA 500 Substantive Physical Testing Protocol (SPTP)