Definición y framework (COSO, COBIT).

El control interno es un proceso efectuado por el consejo de administración, la dirección y el resto del personal de una entidad, diseñado con el objetivo de proporcionar un grado de seguridad razonable en cuanto a la consecución de objetivos dentro de las siguientes categorías:

Eficacia y eficiencia de las operaciones.
Fiabilidad de la información financiera.
Cumplimiento de las leyes y normas aplicables.

En su sentido más amplio, comprende la estructura, las políticas, el plan de organización, el conjunto de métodos y procedimientos y las cualidades del personal de la empresa que asegure.

Las empresas son la caracterización más elocuente del tejido económico de cualquier país, sea desarrollado o subdesarrollado. Es por ello que deben establecer un control interno que les permita el progreso económico esperado, poder mantenerse en el mercado, y contribuir así a la economía del país. Por tanto, el control interno es una herramienta surgida de la imperiosa necesidad de accionar proactivamente, a los efectos de suprimir o disminuir significativamente la multitud de riesgos a la cual se hayan expuestos los distintos tipos de organizaciones, sean privadas o públicas, con o sin fines de lucro. Un excelente sistema de control interno es aquel que no daña las conexiones empresa-clientes y mantiene, en un nivel de alta dignidad humana, las relaciones de dirigentes y subordinados. Su función es aplicable a todas las áreas de operación de los negocios y de su efectividad depende que la administración obtenga la información necesaria para seleccionar las alternativas que mejor convengan a los intereses de la entidad (González, 2013). Por consiguiente, de acuerdo con la necesidad del negocio y la actividad, se debe tener en cuenta, según el país, sus políticas y leyes, qué modelo de control interno conviene aplicar. En tal sentido, se hará referencia a los más relevantes que existen internacionalmente.

El significado de control interno ha sufrido modificaciones a medida que han evolucionado las estructuras organizacionales. Si se toma como base el modo en que ha progresado la auditoría, es posible evidenciar tres generaciones de control interno (Blanco, 2005):

Primera: se basó en acciones empíricas a partir de procedimientos de ensayo y error. Si bien esta generación es obsoleta, aún tiene una insistente aplicación generalizada, lo cual se debe a la carente profesionalización de quienes tienen a su cargo el sistema de control interno. Esta época estuvo fuertemente relacionada con los controles contables y administrativos.

Segunda: se encuentra marcada por el sesgo legal. Se logran imponer estructuras y prácticas de control interno, especialmente en el sector público, pero, desafortunadamente, esta situación ofreció una visión distorsionada del proceso, al operar muy cerca de la línea de cumplimiento y lejos de los niveles de calidad. Se centró la atención en la evaluación del control interno como medio para definir el alcance de las pruebas de auditoría. Por ende, este comprende el plan de organización y el conjunto de métodos y procedimientos que aseguren que los activos están adecuadamente protegidos, que los registros contables son fidedignos, y que las actividades de la entidad se desarrollan eficazmente según las directrices señaladas por la administración.

Tercera: actualmente centra esfuerzos en la calidad derivada del posicionamiento en los más altos niveles estratégicos y directivos, como requisito que garantiza la eficiencia del control interno (Rivas Márquez, 2011). Ahora bien, a partir de la década de los 90, los nuevos modelos desarrollados en el campo del control definen una nueva corriente de pensamiento con una amplia concepción de la organización a nivel mundial, lo cual provoca una mayor participación de la dirección, los gerentes y el personal en general. Los más conocidos son:

COSO (Committee of Sponsoring Organizations of the TreadwayCommission, Estados Unidos).
COCO (Criteria of Control, Canadá).
Cadbury (Reino Unido).
Vienot (Francia).
Peters (Holanda).
King (Sudáfrica).
MICIL (Marco Integrado de Control Interno Latinoamericano).
COBIT (Control Objectives for Information and related Technology, Australia): es una estructura que provee una herramienta para que los propietarios de los procesos del negocio descarguen eficiente y efectivamente sus responsabilidades de control sobre los sistemas informáticos.
SAC (Systems Auditability and Control): ofrece asistencia a los auditores internos sobre el control y la auditoría de los sistemas y la tecnología informática.

Modelo CObIT.

El modelo se presentó en 1998 y se encuentra asociado a la TI y las prácticas de control. Está confeccionado para que se aplique a la totalidad de los sistemas de información de la empresa y el objetivo fundamental que persigue es la provisión de información pertinente y confiable a la misma para el logro de sus objetivos.

Componentes y Principios del Modelo.

Ambiente de Control.

1. La organización demuestra un compromiso con la integridad y los valores éticos.

2. El consejo de administración demuestra la independencia de gestión y ejerce la supervisión de la evolución y los resultados de los controles internos.

3. Administración establece, con supervisión de la Junta, estructuras, líneas de responsabilidad, y las autoridades y responsabilidades adecuadas en la consecución de objetivos.

4. La organización demuestra el compromiso de atraer, desarrollar y retener a personas competentes en la alineación con los objetivos.

5. La organización mantiene los individuos responsables de su control interno responsabilidades en la búsqueda de objetivos.

Administración del Riesgo.

6. La organización especifica objetivos con claridad suficiente para que el identificación y evaluación de los riesgos relacionados con los objetivos.

7. La organización identifica los riesgos para el logro de sus objetivos a través de la entidad y de los análisis de riesgos como base para la determinación de la forma en que los riesgos deberían ser manejados.

8. La organización considera que la posibilidad de fraude en la evaluación de los riesgos para la logro de los objetivos.

9. La organización identifica y evalúa los cambios que podrían significativamente impacto en el sistema de control interno.

Actividades de Control.

10. La organización selecciona y desarrolla actividades de control que contribuyan para la mitigación de riesgos para asegurar el logro de los objetivos de niveles aceptables.

11. La organización selecciona y desarrolla actividades de control generales más tecnología para apoyar el logro de los objetivos.

12. La organización implementa las actividades de control a través de políticas que establecen lo que se espera y procedimientos que ponen las políticas en acción.

Información y comunicación.

13. La organización obtiene o genera y utiliza relevante, la calidad información para apoyar el funcionamiento de los controles internos.

14. La organización se comunica internamente información, incluyendo objetivos y responsabilidades para el control interno, necesarios para apoyar el funcionamiento de los controles internos.

15. La organización se comunica con partes externas sobre asuntos que afecta al funcionamiento del control interno.

Actividades de Monitoreo.

16. La organización selecciona, desarrolla y realiza curso y / o separada evaluaciones para determinar si los componentes del control interno son presente y funcionamiento.

17. La organización evalúa y comunica control interno deficiencias en tiempo y forma a las partes responsables de tomar acciones correctivas, incluyendo la alta dirección y el consejo de directores, según corresponda

Modelo COSO.

El modelo COSO proporciona a la empresa una serie de criterios prácticos y ampliamente aceptados para la elaboración de una ECI y la creación un marco de referencia que permita evaluar su eficacia. Se encuentra dividido en tres categorías de objetivos y en 5 componentes interrelacionados como se muestra a continuación:

Objetivos.

• Operaciones

Apunta a los objetivos básicos de la organización, incluyendo la rentabilidad y lasalvaguarda de sus activos.

• Información Financiera

Preparación de reportes financieros confiables, incluyendo los parciales y resúmenes.

• Cumplimiento de Leyes y Regulaciones

Componentes.

• Monitoreo

Proceso de evaluar en forma continua la calidad del desempeño del control interno en el tiempo, en donde el alcance y la frecuencia depende del nivel de riesgo involucrado.

• Información y comunicación

Son los sistemas que permiten capturar e intercambiar la información necesaria para conducir, administrar y controlar las operaciones de la organización.

• Actividades de control

Son políticas, prácticas y procedimientos establecidos para lograr los objetivos de negocio.

• Evaluación de riesgos

Mecanismos para identificar, analizar y administrar los riesgos relacionados con las actividades de la organización.

• Ambiente de control

Son los atributos que proveen la disciplina y la estructura sobre la cual se cimienta el resto del modelo.

Evaluación de riesgos del negocio.

La evaluación de riesgo constituye una continua y repetitiva interacción de acciones que tienen lugar a través de la entidad y permite a la entidad entender el grado en cual pueden afectar los eventos de riesgo a los objetivos. El impacto y consecuencias de los factores internos y externos que afectan a una empresa son únicos en cada una, ya que, depende de los objetivos y decisiones de esta, es por ello que la gestión de riesgo se mueve dentro del contexto del perfil de riesgo de la entidad, dado por dimensión, complejidad de operaciones, regulación de actividades entre otras.

La empresa evalúa los riesgos esperados e inesperados, estos últimos se refiere a aquellos que no son rutinarios y no recurrentes y por lo tanto se encuentran fuera de programas como gestión y presupuesto.

Los riesgos se evalúan con un doble enfoque, el riesgo inherente, que es aquel al que se enfrenta una entidad cuando no existen acciones por parte de la dirección para determinar su probabilidad e impacto y el riesgo residual que es aquel, que permanece una vez que la dirección desarrolla respuesta a los riesgos. La incertidumbre de que un evento ocurra se evalúa desde dos perspectivas, probabilidad que representa la posibilidad que el evento ocurra e impacto que refleja su efecto.

Con esta estimación de impacto y probabilidad se determina la importancia y atención que se presta a determinado evento, pero esto requiere de una tarea difícil por lo tanto el análisis debe ser racional y cuidadoso. Para determinar las estimaciones de probabilidad e impacto se usan datos de eventos anteriores, estos datos pueden ser en primer lugar observados en el interior de la entidad, proporcionando así una base menos subjetiva, no obstante, los datos externos también resultan útiles como medio de comparación; además estos datos empíricos ayudan a minimizar el riesgo inherente producido por el exceso de confianza mostrado por las personas que toman decisiones de incertidumbre sobre bases subjetivas. La empresa debe utilizar el mismo horizonte temporal y las mismas unidades de medida que usa para establecer la consecución de un objetivo como evaluar los potenciales riesgos que podrían afectar la consecución de estos objetivos.

La teoría de la prospectiva nos dice que las personas no quieren arriesgar lo que ya tienen o creen tener, pero toleran más el riesgo cuando creen que pueden minimizar los riesgos; de esta manera la dirección puede estructurar la información para reforzar el riesgo aceptado y el comportamiento hacia el riesgo en toda la entidad.

Técnicas de evaluación.

Una entidad no necesita usar las mismas técnicas en todas sus unidades de negocio, pero la selección de técnicas debe reflejar la necesidad de precisión y la cultura de cada entidad. Las técnicas de evaluación son una combinación entre técnicas cualitativas y cuantitativas, las cualitativas se utilizan generalmente cuando los riesgos no se pueden cuantificar ya sea porque los datos son insuficientes o creíbles y su obtención no resulta eficaz por su costo. Las técnicas cuantitativas aportan más precisión y son utilizadas en actividades más complejas; estas técnicas requieren mayor esfuerzo y generalmente utilizan modelos matemáticos, y resulta más relevante para riegos con historial y frecuencia de variabilidad conocidos.

Cuando una entidad tiene eventos potenciales que se relacionan entre si o tienen algún grado de interacción es importante que se evalúen en conjunto, ya que, uno de ellos por si solo puede que no entregue un grado alto de riesgo, pero si lo hará al combinarse con otros eventos con los que interactúe. Es así como la entidad puede agrupar en categorías comunes los eventos que afecten a múltiples unidades del negocio, para así evaluarlos por unidad y luego en toda la entidad. La naturaleza de los eventos y el hecho de que estén relacionados o no pueden afectar las técnicas de evaluación utilizadas.

Respuesta al riesgo.

Una vez que han sido evaluados los riesgos la alta dirección debe determinar como responder a ellos, es así como algunas respuestas serán evidentes y otros requerirán de un análisis e investigación. Dicho análisis de respuestas es realizado con el fin de alinear el riesgo residual1 con la tolerancia de la entidad. Algunas de las categorías donde se pueden incluir las respuestas al riesgo son:

Evitar: se plantea tomar acciones de modo de discontinuar las actividades que generan riesgo. Cuando esta respuesta es entregada significa que la entidad

no encontró ninguna otra opción que redujera el impacto y probabilidad a un nivel aceptable.

Reducir: plantea tomar acciones de modo de reducir el impacto, la probabilidad de ocurrencia o ambos. Esta respuesta reduce el riesgo residual a un nivel de

tolerancia de riesgo deseado.

Compartir: plantea tomar acciones de modo de reducir el impacto o la probabilidad de ocurrencia al transferir o compartir una porción del riesgo. Esta

respuesta también lleva el riesgo residual a un nivel de tolerancia de riesgo deseado.

Aceptar: plantea no realizar ninguna gestión para evitar o reducir el riesgo, lo que está dado porque el riesgo se encuentra dentro del nivel de tolerancia

deseado.

En resumen, al determinar las respuestas al riesgo la entidad debe considerar factores como los efectos que producen sobre probabilidad e impacto y la forma de alinearse con la tolerancia al riesgo establecido por ella; los costos y beneficios de las respuestas, evaluando los costos directos, indirectos y también los de oportunidad, el beneficio tiene una evaluación más subjetiva y muchas veces se hace en relación a la consecución de objetivos y finalmente dentro de los factores se encuentran las oportunidades de alcanzar los objetivos de la entidad, las cuales surgen al existir opciones de respuestas a los riesgos que están alcanzando los límites de eficacia y cuando ciertas actualizaciones probablemente sólo faciliten cambios marginales en el impacto y probabilidad del riesgo.

Luego de evaluar las posibles respuestas, la entidad puede seleccionar una respuesta o una combinación de ellas, debiendo estar éstas dentro del nivel de tolerancia al riesgo establecido por la entidad. Al respecto cabe mencionar que ocasionalmente sucede que las respuestas sobrepasan los límites, debiendo la entidad, en tales casos evaluar la selección realizada o el nivel tolerancia, lo que se puede traducir en un proceso repetitivo al intentar encontrar el equilibrio entre la tolerancia y la respuesta.

Una vez que la entidad ha seleccionado una respuesta, debe desarrollar un plan para ejecutarla y establecer acciones de control para asegurar que esta se lleva a cabo.

Marco general.

Actividades de control.

Las actividades de control son las políticas (cómo debe hacerse) y procedimientos (mecanismos de control) que ayudan a asegurar que las respuestas de la alta gerencia a los riesgos, se lleven a cabo de manera adecuada y oportuna. Se realizan a lo largo de toda la organización, en todos los niveles y en todas las funciones, y en ocasiones constituyen en sí mismas respuestas al riesgo, como mecanismo directo para gestionar la consecución de objetivos.

Las actividades de control se clasifican según la naturaleza de los objetivos con la que se las relaciona, y forman una parte esencial cuando una entidad intenta lograr sus objetivos. Éstas no representan un fin en sí mismas; sino que el control es un elemento integrado en el proceso de gestión.

El paso siguiente a la selección de la respuesta al riesgo la entidad, es la determinación de la actividad de control correspondiente; siempre considerando la interrelación con el resto de las actividades, ya que a veces se requiere de más de una actividad de control para una misma respuesta al riesgo.

Tipos de actividades de control.

Existen diferentes tipos de actividades de control: controles de prevención, correctivos o de detección; controles manuales o informáticos; y de dirección gerenciales. A su vez, dichas actividades pueden clasificarse según objetivos específicos de control a los que apunten: operacionales, de confiabilidad de la información, de cumplimiento de normas y leyes. Algunas actividades de control normalmente utilizadas son:

Revisiones de la alta dirección. Revisión de datos reales de los presupuestos, previsiones y datos de periodo previos, acompañadas de un seguimiento de las iniciativas importantes.

Gestión directa de funciones o actividades. Revisión de los informes de rendimiento directamente por los encargados de las funciones o actividades

Procesamiento de la información. Controles orientados a verificar la exactitud, integridad y autorización de las transacciones; como también el desarrollo de nuevos sistemas y propuestas de reformas en los existentes.

Controles físicos. Balances periódicos de las existencias, equipos y valores, que se comparan con los registros de control.

Indicadores de rendimiento. El contraste de diferentes conjuntos de datos, operativos o financieros, junto con el análisis de relaciones y las acciones de investigación y corrección.

Segregación de funciones. División y correcta asignación de las funciones entre el personal de la entidad, con el fin de reducir el riesgo de error.

Controles sobre los sistemas de información.

Como los sistemas de información desempeñan un papel fundamental en la gestión de las organizaciones ya que constituyen la estructura que soporta y a través de la cual circula la información, es necesario que estén controlados. De esta manera se pueden alcanzar los objeticos de información y cumplimiento. Los tipos de controles sobre los sistemas de información son:

Controles Generales.

Se aplica a todos los sistemas, tanto a los ordenadores centrales como a los particulares o del entorno del usuario, con el fin de asegurar que los sistemas funcionan en forma continua y adecuada. Se inspeccionan operaciones del centro de procesamiento de datos, la adquisición y mantenimiento de software, el control de acceso y el desarrollo y mantenimiento de las aplicaciones.

Controles de Aplicación.

Se centran directamente en la integridad, exactitud, autorización y validez de la captación y procesamiento de datos, por esto están orientados principalmente a prevenir que los errores se introduzcan en el sistema, además de detectarlos y corregirlos.

Matrices de riesgos, procesos/subprocesos y controles.

Una matriz de riesgos es una sencilla pero eficaz herramienta para identificar los riesgos más significativos inherentes a las actividades que desarrolla una organización, aplicable en cualquier tipo de escenario o proceso. Por lo tanto, es un instrumento válido para mejorar el control de riesgos y la seguridad corporativa.

A través de este instrumento se puede realizar un diagnóstico objetivo y global de empresas de diferentes tamaños y sectores de actividad. Asimismo, mediante la matriz de riesgo es posible evaluar la efectividad de la gestión de los riesgos, tanto financieros como operativos y estratégicos, que están impactando en la misión de una determinada organización.

Con el fin de garantizar su eficacia y utilidad, una matriz de riesgo debe tener las siguientes características:

Debe ser flexible.
Comprensible tanto al elaborar como al consultar.
Que permita realizar un diagnóstico objetivo de la totalidad de los factores de riesgo.
Actualizable en el tiempo entre otras.

Estructura - Matrices De Riesgos.

Desde su concepción metodológica las matrices se componen de dos vectores, uno de probabilidad y otro de impacto, cuya combinación define el nivel de riesgo de una acción en particular
Cabe aclarar que el nivel de riesgo cero (0) no existe en la naturaleza por definición.
Una vez definidos los parámetros, los mismos permiten absorber la información de las fuentes definidas, para valorizarla en los respectivos vectores de probabilidad e impactos.

Elementos de la matriz de riesgos.

FACTOR DE RIESGO: Elementos internos o externos que se conjugan entre sí para dar nacimiento al riesgo;
RIESGO: probabilidad de ocurrencia de un evento de riesgo dentro del contexto;
IMPACTO: consecuencias que pueden ocasionar al sujeto obligado la materialización del riesgo;
PROBABILIDAD: posibilidad de ocurrencia del riesgo;
CONTROL EXISTENTE: detalle del control interno que la organización tiene implementado para prevenir la ocurrencia del riesgo;
RIESGO RESIDUAL: suceso o circunstancia indeterminada que permanece después de haber ejecutado las respuestas a los riesgos;
CAUSA: la explicación de que pudo o puede llegar a ocasionar el riesgo;

Impacto.

El impacto busca captar la severidad (o intensidad) del daño que una operación de LA y/o FT es susceptible de producir sobre un bien jurídicamente tutelado en cada caso. El método elegido para aproximar la magnitud del impacto está relacionado al valor de los activos involucrados en el posible hecho delictivo, así como también a ciertas características de la operación y de los sujetos intervinientes. En materia de FT, atendiendo que las operatorias suelen involucrar pequeños volúmenes de activos, no se considera al monto como principal indicador, sino la posible afectación al orden público, como bien jurídico tutelado.

Probabilidad.

“La posibilidad de que un efecto adverso ocurra” (Egmont, 2008, página 3);
“El potencial riesgo de que ocurra una operación de LA/FT en un determinado negocio” (Unidad de Inteligencia Financiera de Australia, 2006, página 6).

POSIBILIDAD DE QUE EL RIESGO SE MATERIALICE

Reglas de composición.

Toda matriz de riesgos debe cumplir con los principios de consistencia (concordancia entre los ordenamientos de riesgo cualitativos y cuantitativos) y de gradualidad, es decir cualquier línea trazada entre el cuadro que conecta una celda verde y una roja, deberá pasar necesariamente por una de color amarillo.
La determinación de los umbrales de riesgo mediante criterios cuantitativos evita posibles errores de consistencia.

Evaluación de diseño de los controles.

Existen múltiples modelos para realizar la valoración de los riesgos operacionales, uno de ellos, es el estándar de Administración del Riesgo AS/NZ 4360 de 1999, el cual plantea que los riesgos operativos identificados y definidos en las organizaciones, se miden utilizando niveles de consecuencia y probabilidad de ocurrencia. La valoración se realiza en términos de riesgos absolutos y riesgos controlados por los expertos responsables de los procesos, quienes identifican y documentan los riesgos y asocian los controles que existen para disminuir los niveles de exposición. Este procedimiento se fundamenta en el conocimiento de los expertos y permite determinar de forma subjetiva la cobertura que tienen los controles sobre los riesgos valorados.

El Consejo para la Práctica 2130.A1 emitido por el Instituto de Auditores Internos “IIA” en el 2009, sobre la efectividad de los controles, menciona: La actividad de

auditoría interna debe evaluar la adecuación y eficacia de los controles en la respuesta a los riesgos en la gobernanza de la organización, operaciones y sistemas de información relativa a la:

• La fiabilidad y la integridad de la información financiera y operacional.

• Eficacia y eficiencia de las operaciones.

• Protección de los activos.

• Cumplimiento de las leyes, regulaciones y contratos.

El estándar No. 5 emitido la PCAOB (Public Company Accounting Oversight Board) del 2007, sobre la Auditoría de control interno en el proceso de presentación de reportes financieros, sugiere tener en cuenta las siguientes pruebas de auditoría para evaluar la efectividad de los controles:

1. Prueba de la efectividad del diseño:

“El auditor debe probar la efectividad del diseño de los controles determinando si los controles de la compañía, si son operados como fue prescrito por personas

que poseen la autoridad y competencias necesarias para desempeñar efectivamente el control, satisfacen los objetivos de control de la compañía y efectivamente pueden prevenir o detectar los errores o el fraude que derivaría en declaraciones equivocadas materiales contenidas en los estados financieros”.

2. Prueba de la efectividad de la operación:

“El auditor debe probar la efectividad de la operación de un control determinando si el control está operando tal y como fue diseñado y si la persona que desempeña el control posee la autoridad y competencia necesarias para desempeñar el control de manera efectiva”.

El modelo COBIT® 4.1. (Control Objectives for Information Systems and related Technology). Propone medir el objetivo y la madurez de los controles de TI, a través de los siguientes lineamientos:

• Monitorear y Evaluar el Control Interno.

• Revisiones de Auditoría.

• Monitorear y evaluar la eficiencia y efectividad de los controles internos de revisión de la gerencia de TI.

• Aseguramiento del Control Interno.

• Obtener, según sea necesario, aseguramiento adicional de la completitud y efectividad de los controles internos por medio de revisiones de terceros.

De acuerdo a la Normativa Internacional de Auditoria (NIA) 315, la evaluación del diseño de un control requiere considerar si el control, ya sea individualmente o en combinación con otros, es capaz de prevenir, o detectar y corregir, errores materiales con efectividad. La implementación de un control quiere decir que este existe y que la entidad lo está usando. No tiene ningún sentido evaluar la implementación de un control que no es efectivo, por lo que primero se considera su diseño. Un control mal diseñado puede representar una deficiencia considerable en el control interno.

Los procedimientos de evaluación de riesgos para obtener evidencia de auditoría sobre el diseño y la implementación de controles relevantes, deben incluir:

• Las indagaciones con el personal de la entidad

• Observar la aplicación de controles específicos, inspeccionar documentos e informes, y

• Rastrear, a través del sistema de información, las transacciones que sean relevantes a la emisión de información financiera.

Cabe resaltar, que las indagaciones por sí solas no son suficientes para evaluar el diseño y la implementación de los controles relevantes.

Cuando estemos evaluando el diseño e implementación de un control, podemos considerar:

• El objetivo del control

Cómo se hace y documenta, incluyendo la naturaleza y el tamaño de los errores potenciales cubiertos y las consideraciones sobre computación para el usuario final.

• La naturaleza del control

• Si el control cubre un riesgo de fraude con qué frecuencia se aplica El conocimiento, la experiencia y las habilidades de la persona que lo ejecuta, estableciendo si se trata de un control manual o de un control manual con un componente automatizado

• La aplicación de TI relacionada, de haberla

• Si el control depende de información producida por la entidad

• Si el control cubre las consideraciones del usuario para una organización de servicios el nivel de juicio requerido

• Si la entidad consideró debidamente los factores internos y externos que pueden afectar el diseño del control

La NIA 315, señala que obtener un entendimiento de los controles de una entidad no basta para probar su eficacia operativa, a menos que exista alguna automatización que contemple la operación uniforme de los controles. Por ejemplo, la obtención de evidencia de auditoría sobre la implementación de un control manual en determinado momento no proporciona evidencia de auditoría sobre la eficacia operativa del control en otros momentos durante el periodo que se está auditando.

Identificación de controles.

El objetivo es asegurar que el Control Interno funcione adecuadamente, a través de dos modalidades de supervisión: actividades continuas o evaluaciones puntuales. En consecuencia, algunas de las cuestiones a tener en cuenta para ello son:

- Constitución del Comité de Control integrado, al menos, por un dirigente del máximo nivel y el auditor interno. Su objetivo sería la vigilancia del adecuado funcionamiento del Sistema de Control Interno y su mejoramiento continuo.

- En las organizaciones que lo justifiquen, la existencia de Unidades de Auditoría Interna con suficiente grado de independencia y calificación profesional.

Actividades continuas: Son aquellas incorporadas a las actividades normales o recurrentes que, ejecutándose en tiempo real y arraigadas a la gestión, generan respuestas dinámicas a las circunstancias sobrevivientes.

Evaluaciones puntuales: Podríamos señalarlas mediante consideraciones tales como:

- Su alcance y frecuencia están determinados por la naturaleza e importancia de los cambios y riesgos que estos conllevan, la competencia y experiencia de quienes realizan los controles y los resultados de la supervisión continuada.

- Son ejecutados por los propios responsables de las áreas de gestión, de la auditoría interna incluidas en el planeamiento o solicitadas especialmente por la dirección, y por los auditores externos.

- Constituyen en sí todo un proceso dentro del cual, aunque los enfoques y técnicas varíen, priman una disciplina apropiada y principios insoslayables. La tarea del evaluador es averiguar el funcionamiento real del sistema; o sea, que los controles existan, estén formalizados, que se apliquen cotidianamente como una rutina incorporada a los hábitos y que resulten aptos para los fines perseguidos.

- Responden a una determinada metodología con técnicas y herramientas para medir la eficacia directamente o a través de la comparación con otros sistemas de control probadamente buenos.

- El nivel de documentación de los controles varía según la dimensión y complejidad de la entidad. Existen controles informales que, aunque no estén documentados, se aplican correctamente y son eficaces; si bien un nivel adecuado de documentación suele aumentar la eficiencia de la evaluación y resulta más útil al favorecer la comprensión del sistema por parte de los empleados. La naturaleza y el nivel de la documentación requieren un mayor rigor cuando se necesite demostrar la fortaleza del sistema ante terceros.

Debe confeccionarse un plan de acción que contemple:

- El alcance de la evaluación.

- Las actividades de supervisión continuadas existentes.

- La tarea de los auditores internos y externos.

- Áreas o asuntos de mayor riesgo.

- Programa de evaluaciones.

- Evaluaciones, metodología y herramientas de control.

- Presentación de conclusiones y documentación de soporte.

- Seguimiento para que se adopten las correcciones pertinentes.

1.- Evaluación del Sistema de Control Interno

Los directivos a cualquiera de los niveles de la organización deben evaluar periódicamente la eficacia del sistema de Control Interno y comunicar los resultados de esta evaluación. Un análisis periódico de la forma en que ese sistema está operando le proporcionará al responsable la tranquilidad de un adecuado funcionamiento, o la oportunidad de su corrección y fortalecimiento. Las entidades deberán en su funcionamiento tener en cuenta lo antes expuesto, así como

otros mecanismos de análisis de sus funciones, tales como:

Para las actividades continuas:

Tener en cuenta que el personal, en el desarrollo de sus actividades, obtiene evidencias de que el sistema de Control Interno funciona, por lo que:

- La dirección de la entidad compara las operaciones de la producción con las existencias, las ventas u otra información, a los efectos de conocer no sólo su avance o retroceso, sino las causas que las generaron y tomar medidas inmediatas en ello.

- Llevar a cabo la integración o conciliación de la información utilizada para gestionar las operaciones con los datos generados por el sistema de información financiera y contable.

Debe evaluarse, hasta qué punto las comunicaciones recibidas de terceros corroboran la información generada dentro de la entidad.

Deberán las entidades dar respuesta a las recomendaciones de los auditores internos y externos, como medio de fortalecer los controles internos, debiendo considerar si:

- El directivo, que es el que decide cuáles son las recomendaciones de los auditores que llevarán a la práctica, tiene conocimiento y autoridad para ello, evitando minimizar las consecuencias y maximizar el riesgo.

- Realizar seguimiento de las acciones efectuadas para comprobar las soluciones a cada una de las violaciones detectadas.

Para las evaluaciones puntuales:

Se debe tener en consideración que resulta en extremo útil examinar el sistema de Control Interno, dirigiendo el análisis a la eficacia del mismo. El alcance y la frecuencia de tales evaluaciones puntuales dependerán principalmente de la evaluación de los riesgos y los procedimientos de supervisión continuada. Se deberá fijar el alcance y la frecuencia de dichas evaluaciones puntuales del sistema de Control Interno.

2.- Eficacia del Sistema de Control Interno

El Sistema de Control Interno se considera efectivo en la medida en que la autoridad a la que apoya cuente con una seguridad razonable en:

- La información acerca del avance en el logro de sus objetivos y metas y en el empleo de criterios de economía y eficiencia.

- La confiabilidad y validez de los informes y estados financieros.

- El cumplimiento de la legislación y normas vigentes, incluyendo las políticas y los procedimientos inherentes a la entidad.

Una vez identificadas y aplicadas las técnicas de Control Interno, el proceso para la evaluación de su eficacia debe comenzar al ser enjuiciadas estas técnicas bajo los siguientes términos:

- Dan certeza razonable de que se logra el objetivo de control.

- Dan certeza razonable de que se logra parcialmente el objetivo de control.

- No dan seguridad de que se logren los objetivos de control.

La conclusión de que se logra un objetivo de Control Interno, significa que existe certeza razonable de que pueden prevenirse o descubrirse oportunamente errores o fraudes importantes. La conclusión de que no se logra un objetivo o se logra parcialmente, indica que tal certeza razonable no existe y que, por lo tanto, pueden ocurrir errores o fraudes que no se descubrirían y corregirían mediante la ejecución rutinaria de las técnicas implementadas por la organización, con el consiguiente peligro de riesgos latentes.

3.- Auditorías al Sistema de Control Interno.

Deben practicarse auditorías, las que informarán sobre la eficacia y eficiencia del Sistema de Control Interno, proporcionando recomendaciones para su fortalecimiento. Estos exámenes, practicados sobre bases de normas y procedimientos generalmente aceptados, permiten obtener una opinión razonable sobre el estado y funcionamiento de un Sistema de Control Interno. La naturaleza, extensión y frecuencia de las evaluaciones del Sistema de Control Interno

deben variar en función del nivel de riesgo determinado y de la ponderación de la importancia del control para reducirlo. La auditoría debe ajustarse a un método objetivo y sistemático que, razonablemente, incremente la probabilidad de la formación de un juicio acertado. Para ello es importante que:

- Se tenga creado un aparato de auditores internos, o en su defecto, se realicen chequeos sistemáticos de las actividades por parte de especialistas vinculados directamente o no a la función que se audite para determinar cómo se desarrollan éstas.

- Se conforme un plan de auditorías, donde se haga seguimiento a cada una de las normas y procedimientos que fueron propuestas en el análisis de las descripciones de funciones de puestos de trabajo, ciclo de operaciones y áreas.

- Los auditores internos alcancen un nivel de profesionalidad alto que les permita realizar con calidad su trabajo, manteniendo siempre su nivel de independencia.

- Los auditores internos y los miembros del Comité de Control puedan elevar sus consideraciones al Consejo de Dirección.

- El alcance y los planes de la auditoría interna estén enfocados a crear una cultura de prevención en la entidad.

4.- Validación de los supuestos asumidos.

Los objetivos de una entidad y los elementos de control que respaldan sus logros descansan en supuestos fundamentales acerca de cómo funciona su entorno.

Los directivos deben validar periódicamente los supuestos que constituyen la base de los objetivos de la organización y las técnicas de control para lograr dichos objetivos. La validación de los supuestos acerca de cómo funciona el sistema, se hace con el interés de analizar la eficacia de las técnicas de control establecidas, comprobar si estos supuestos son conocidos por toda la organización y la capacidad de los mismos para adaptarse a los cambios.

Si los supuestos de una organización no son válidos, debe hacerse una revalidación periódica de los mismos y enfocar nuevas estrategias y técnicas de control que apoyen a los intereses de la organización. Con frecuencia se sostienen ampliamente en una organización los supuestos acerca de

cómo funciona el sistema, aunque el personal puede desconocerlos. Dichos supuestos inconscientes pueden inhibir la capacidad de adaptarse al cambio, debido a que conducen al personal a descartar toda aquella información que no se ajusta a sus conceptos. Se necesita un diálogo abierto para identificar los supuestos. Si los supuestos de una organización no son válidos, el control puede ser ineficaz, por lo que la revalidación periódica de los supuestos de la organización es clave para la eficacia del control.

Deberán estudiarse hasta qué punto los seminarios de formación, las sesiones de planificación u otras reuniones, facilitan información a la dirección sobre si los controles funcionan o no, incluyendo la comprensión de cada uno de ellos por parte de los trabajadores, por lo que:

- Se valora periódicamente tanto por el área de Recursos Humanos como por el Consejo de Dirección, si los temas tratados están en correspondencia con las incidencias fundamentales de la entidad.

- Tener en cuenta las sugerencias de los trabajadores sobre alguna iniciativa de funcionamiento, en correspondencia con las problemáticas de la entidad en su desempeño.

- Escuchar en las asambleas de afiliados u otras reuniones o contactos con los trabajadores sus pareceres sobre las orientaciones y necesidades de capacitación, para llevar a ellos lo que realmente necesitan, y no un programa para cumplir un plan de capacitación; e incluso sobre la disciplina y ética de los trabajadores y dirigentes.

5.- Tratamiento de las deficiencias detectadas.

Toda deficiencia que afecte o pueda llegar a afectar la efectividad del Sistema del Control Interno debe ser informada. Deben establecerse procedimientos que determinen sobre qué asuntos, en qué forma y ante quién se presentará tal información. Las deficiencias en el funcionamiento del Sistema de Control Interno, dada su importancia, deben ser rápidamente detectadas y comunicadas. El término deficiencia debe entenderse en sentido amplio; es decir, cualquier condición dentro del sistema que sea digna de atención. La identificación de las deficiencias puede surgir de diferentes fuentes: el propio Control Interno, la supervisión y la evaluación. También, a través de la relación con terceros, por medio de reclamos, demandas, etc.

La comunicación de las deficiencias debe seguir, normalmente, el camino que conduce al inmediato superior; pero la orientación general debe ser que finalmente llegue a la autoridad que puede tomar la acción correctiva. Un caso que puede servir de ejemplo es aquel en el que el problema detectado invade los límites organizacionales; aquí la comunicación debe ser dirigida al nivel suficientemente elevado para asegurar una acción apropiada.

Las deficiencias de Control Interno deben ser comunicadas a los niveles superiores y las más significativas deben presentarse a la alta dirección y al consejo de dirección. Es por ello que las deficiencias del Control Interno identificadas, deben considerar:

- La existencia de medios para conseguir información sobre deficiencias de fuentes internas y externas (clientes, proveedores, auditores y organismos de control).

- La existencia de medios para conseguir información sobre deficiencias a partir de la supervisión continuada o evaluaciones puntuales, que antes señalábamos en la primera norma de este componente.

- Que las deficiencias detectadas sean puestas en conocimiento del responsable directo de la actividad y de un superior, de la manera más rápida posible post comprobación.

- Que se le informe a la alta dirección y al consejo de dirección sobre aquellas deficiencias de mayor complejidad y afectaciones a la entidad, las que deberán ser debatidas en su seno.

- Que igualmente se creen mecanismos por parte de la dirección de la entidad, donde se siga el cumplimiento de las deficiencias detectadas y el seguimiento de cada operación para evitar nuevas problemáticas.

Evaluación de la efectividad en la operación de los controles.

La evaluación debe conducir a la identificación de los controles débiles, insuficientes e innecesarios, para promover con el apoyo decidido de la gerencia, su robustecimiento e implantación. Esta evaluación puede llevarse a cabo de tres formas: durante la realización de las actividades diarias en los distintos niveles de la organización; de manera separada por personal que no es el responsable directo de la ejecución de las actividades y mediante la combinación de las dos formas anteriores.

Es así como la evaluación resulta importante tarea para la administración, para medir la eficiencia de las acciones tomadas y determinar el grado de aporte que generó la implementación o mejora del Sistema de Control Interno y su incidencia en el grado de efectividad de los procesos desarrollados en las distintas dependencias de la organización.

El monitoreo debe ser realizado por personas que tengan a su carga una función de supervisión dentro de la entidad, quienes determinan la efectividad de los controles para las actividades a su cargo, que se da en el transcurso de las operaciones. Este monitoreo incluye actividades normales de dirección y supervisión, como otras actividades llevadas a cabo por el personal en la realización de sus funciones.

El alcance y frecuencia de las actividades de supervisión dependen de los riesgos a controlar y del grado de confianza que inspira a la dirección el proceso de control. La supervisión de los controles internos puede realizarse mediante actividades continúas incorporadas a los procesos de la entidad y a través de evaluaciones separadas por parte de la dirección, de la función de auditoría interna o supervisión. Las actividades de supervisión incluyen las actividades periódicas de dirección y supervisión, comparaciones, conciliaciones, y otras acciones de rutina, cuyos efectos permitirán identificar los riegos o falencias que se presenten en el desarrollo de los procesos; de modo que estos deben ser documentados adecuadamente e informados de forma inmediata a la administración con el fin de que esta tome medidas correctivas y a la vez preventivas para evitar vuelva a suceder.

Es necesario entrenar al personal en cuanto a las políticas y procedimiento determinados por la administración, así como la normativa legal para evitar que el Sistema de Control Interno se vea afectado El monitoreo revisa el desempeño de las actividades regulares y el correcto funcionamiento del Control Interno, corrobora la información obtenida internamente y realiza comparaciones periódicas de otros resultados obtenidos en el pasado con lo actuales.

Los informes de control.

Las deficiencias o debilidades encontradas en el sistema de control interno, a través de los diferentes procedimientos de supervisión deben ser comunicadas a efectos de que se adopten las medidas de ajuste correspondientes. A este proceso se le conoce como “informe de deficiencias”, que le permite a la dirección estar enterado de lo que no funciona en forma adecuada en la entidad. Estos hallazgos deben tener carácter significativo.

Según las Normas Internacionales de Auditoría, “Se debe tomar en cuenta que Calidad y oportunidad de la evidencia del Control Interno, obtenido son más confiables que otros criterios como simples investigaciones, por ejemplo, el auditor podría obtener evidencia de auditoría sobre la apropiada segregación de deberes al observar al individuo que aplica un procedimiento de control. Sin embargo, la evidencia de auditoría obtenida por algunas pruebas de control, como observación pertenece solo al momento del tiempo en que fue aplicado el procedimiento” (Párrafo 20 secc. 400)

Tomando en cuenta lo anterior, para mejorar la calidad de la evidencia la opción es incrementar procedimientos con otras pruebas de control para mejorar los controles, ya que un hallazgo, estará soportado con una adecuada conclusión sobre riesgo de control.

Según el impacto de las deficiencias, los destinatarios de la información informalmente pueden ser tanto las personas responsables de la función o actividad implicada como las autoridades superiores. Pero siempre el informe debe estar dirigido a la administración.

Next up

Previous

10. Servicios de Aseguramiento (Assurance)

Description