Auditoría interna

La auditoría interna es una actividad independiente y objetiva de aseguramiento y consultoría diseñada para agregar valor y mejorar las operaciones de una organización. Puede ayudar a una organización a lograr sus objetivos aportando un enfoque sistemático y disciplinado para evaluar y mejorar la eficacia de los procesos de gestión de riesgos, control y gobierno. La auditoría interna podría lograr este objetivo proporcionando información y recomendaciones basadas en análisis y evaluaciones de datos y procesos comerciales. Con un compromiso con la integridad y la rendición de cuentas, la auditoría interna proporciona valor a los órganos de gobierno y la alta dirección como fuente objetiva de asesoramiento independiente. Los profesionales llamados auditores internos son empleados por las organizaciones para realizar la actividad de auditoría interna.

El alcance de la auditoría interna dentro de una organización puede ser amplio y puede involucrar temas como el gobierno de una organización, la gestión de riesgos y los controles de gestión sobre: ​​la eficiencia/eficacia de las operaciones (incluida la protección de los activos), la fiabilidad de los informes financieros y de gestión y el cumplimiento. con leyes y reglamentos. La auditoría interna también puede implicar la realización de auditorías de fraude proactivas para identificar actos potencialmente fraudulentos; participar en investigaciones de fraude bajo la dirección de profesionales de investigación de fraude y realizar auditorías de fraude posteriores a la investigación para identificar fallas de control y establecer pérdidas financieras.

Los auditores internos no son responsables de la ejecución de las actividades de la empresa; asesoran a la gerencia y al consejo de administración (u organismo de supervisión similar) sobre cómo ejecutar mejor sus responsabilidades. Como resultado de su amplio alcance de participación, los auditores internos pueden tener una variedad de antecedentes educativos y profesionales superiores.

El Instituto de Auditores Internos (IIA) es el organismo de establecimiento de estándares internacional reconocido para la profesión de auditoría interna y otorga la designación de Auditor Interno Certificado a nivel internacional a través de un riguroso examen escrito. Otras designaciones están disponibles en ciertos países. En los Estados Unidos, las normas profesionales del Instituto de Auditores Internos se han codificado en los estatutos de varios estados relacionados con la práctica de la auditoría interna en el gobierno (los estados de Nueva York, Texas y Florida son tres ejemplos). También hay una serie de otros organismos internacionales de normalización.

Los auditores internos trabajan para agencias gubernamentales (federales, estatales y locales); para empresas que cotizan en bolsa; y para empresas sin fines de lucro en todas las industrias. Los departamentos de auditoría interna están dirigidos por un director ejecutivo de auditoría (CAE) que generalmente informa al comité de auditoría de la junta directiva, con informes administrativos al director ejecutivo (en los Estados Unidos, esta relación de informes es requerida por ley para las empresas que cotizan en bolsa).).

Historia de la auditoría interna

La profesión de auditoría interna evolucionó constantemente con el progreso de la ciencia administrativa después de la Segunda Guerra Mundial. Es conceptualmente similar en muchos aspectos a la auditoría financiera realizada por empresas de contabilidad pública, actividades de control de calidad y cumplimiento bancario. Si bien parte de la técnica de auditoría subyacente a la auditoría interna se deriva de las profesiones de consultoría de gestión y contabilidad pública, la teoría de la auditoría interna fue concebida principalmente por Lawrence Sawyer (1911-2002), a menudo denominado "el padre de la auditoría interna moderna"; y la filosofía, la teoría y la práctica actuales de la auditoría interna moderna, según lo define el Marco Internacional de Prácticas Profesionales (IPPF) del Instituto de Auditores Internos, debe mucho a la visión de Sawyer.

Con la implementación en los Estados Unidos de la Ley Sarbanes-Oxley de 2002, se mejoró la exposición y el valor de la profesión, ya que muchos auditores internos poseían las habilidades necesarias para ayudar a las empresas a cumplir con los requisitos de la ley. Sin embargo, el enfoque de los departamentos de auditoría interna de las empresas que cotizan en bolsa en la política y los procedimientos financieros relacionados con SOX descarriló el progreso realizado por la profesión a fines del siglo XX hacia la visión de auditoría interna de Larry Sawyer. Aproximadamente a partir de 2010, el IIA una vez más comenzó a abogar por el papel más amplio que debería desempeñar la auditoría interna en el ámbito corporativo, de acuerdo con la filosofía de IPPF.

Independencia organizacional

Si bien los auditores internos son contratados directamente por su empresa, pueden lograr la independencia a través de sus relaciones jerárquicas. La independencia y la objetividad son la piedra angular de los estándares profesionales del IIA; y se discuten extensamente en los estándares y las guías prácticas de apoyo y los consejos prácticos. Los auditores internos profesionales están obligados por las normas del IIA a ser independientes de las actividades comerciales que auditan. Esta independencia y objetividad se logran a través de la ubicación organizacional y las líneas de informes del departamento de auditoría interna. Los auditores internos de las empresas que cotizan en bolsa en los Estados Unidos deben informar funcionalmente directamente a la junta directiva o a un subcomité de la junta directiva (por lo general, el comité de auditoría), y no a la gerencia, excepto para fines administrativos.

La independencia organizacional requerida de la administración permite la evaluación sin restricciones de las actividades y el personal de la administración y permite que los auditores internos desempeñen su función de manera efectiva. Si bien los auditores internos son parte de la administración de la empresa y son pagados por la empresa, el principal cliente de la actividad de auditoría interna es la entidad encargada de supervisar las actividades de la administración. Este suele ser el comité de auditoría, un subcomité de la junta directiva. La independencia organizacional se logra efectivamente cuando el director ejecutivo de auditoría reporta funcionalmente a la junta. Los ejemplos de presentación de informes funcionales a la junta involucran a la junta: Aprobar el estatuto de auditoría interna; Aprobar el plan de auditoría interna basado en riesgos; Aprobar el presupuesto de auditoría interna y el plan de recursos; Recibir comunicaciones del director ejecutivo de auditoría sobre el desempeño de la actividad de auditoría interna en relación con su plan y otros asuntos; Aprobar las decisiones relativas al nombramiento y cese del director ejecutivo de auditoría; Aprobar la remuneración del director ejecutivo de auditoría; y Realizar las consultas apropiadas a la gerencia y al director ejecutivo de auditoría para determinar si existe un alcance inadecuado o limitaciones de recursos.

Papel en el control interno

La actividad de auditoría interna está dirigida principalmente a evaluar el control interno. Según el Marco COSO, el control interno se define ampliamente como un proceso, llevado a cabo por la junta directiva, la gerencia y otro personal de una entidad, diseñado para proporcionar una seguridad razonable con respecto al logro de los siguientes objetivos centrales por los que se esfuerzan todas las empresas:

• Eficacia y eficiencia de las operaciones.
• Fiabilidad de los informes financieros y de gestión.
• Cumplimiento de leyes y reglamentos.
• Salvaguarda de Activos

La dirección es responsable del control interno, que comprende cinco componentes críticos: el entorno de control; Evaluación de riesgos; actividades de control centradas en el riesgo; información y comunicación; y actividades de seguimiento. Los gerentes establecen políticas, procesos y prácticas en estos cinco componentes del control de gestión para ayudar a la organización a lograr los cuatro objetivos específicos enumerados anteriormente. Los auditores internos realizan auditorías para evaluar si los cinco componentes del control de gestión están presentes y funcionan de manera efectiva y, de no ser así, brindan recomendaciones para mejorar.

En los Estados Unidos, la función de auditoría interna prueba de forma independiente las aseveraciones de control de la gerencia e informa al comité de auditoría de la junta directiva de la empresa.

Papel en la gestión de riesgos

Las normas profesionales de auditoría interna exigen que la función evalúe la eficacia de las actividades de gestión de riesgos de la organización. La gestión de riesgos es el proceso mediante el cual una organización identifica, analiza, responde, recopila información y supervisa los riesgos estratégicos que podrían afectar real o potencialmente la capacidad de la organización para lograr su misión y objetivos.

Bajo el marco de gestión de riesgos empresariales (ERM) de COSO, la estrategia, las operaciones, los informes y los objetivos de cumplimiento de una organización tienen riesgos comerciales estratégicos asociados: los resultados negativos resultantes de eventos internos y externos que inhiben la capacidad de la organización para lograr sus objetivos. La gerencia evalúa el riesgo como parte del curso ordinario de las actividades comerciales, como la planificación estratégica, la planificación de marketing, la planificación de capital, la elaboración de presupuestos, la cobertura, la estructura de pago de incentivos, las prácticas de crédito/préstamo, las fusiones y adquisiciones, las asociaciones estratégicas, los cambios legislativos, la realización de negocios en el extranjero, etc. Las normas Sarbanes-Oxley exigen una evaluación exhaustiva de los riesgos de los procesos de información financiera. El asesoramiento legal corporativo a menudo prepara evaluaciones integrales de los litigios actuales y potenciales que enfrenta una empresa. Los auditores internos pueden evaluar cada una de estas actividades o centrarse en el proceso general utilizado para gestionar los riesgos en toda la entidad. Por ejemplo, los auditores internos pueden asesorar a la gerencia sobre el informe de medidas operativas prospectivas al directorio, para ayudar a identificar riesgos emergentes; o los auditores internos pueden evaluar e informar si la junta y otras partes interesadas pueden tener una seguridad razonable de que el equipo de administración de la organización ha implementado un programa efectivo de administración de riesgos corporativos. los auditores internos pueden asesorar a la gerencia sobre el informe de medidas operativas prospectivas al directorio, para ayudar a identificar riesgos emergentes; o los auditores internos pueden evaluar e informar si la junta y otras partes interesadas pueden tener una seguridad razonable de que el equipo de administración de la organización ha implementado un programa efectivo de administración de riesgos corporativos. los auditores internos pueden asesorar a la gerencia sobre el informe de medidas operativas prospectivas al directorio, para ayudar a identificar riesgos emergentes; o los auditores internos pueden evaluar e informar si la junta y otras partes interesadas pueden tener una seguridad razonable de que el equipo de administración de la organización ha implementado un programa efectivo de administración de riesgos corporativos.

En organizaciones más grandes, se implementan importantes iniciativas estratégicas para lograr objetivos e impulsar cambios. Como miembro de la alta dirección, el director ejecutivo de auditoría (CAE) puede participar en las actualizaciones de estado de estas importantes iniciativas. Esto coloca al DEA en la posición de informar sobre muchos de los principales riesgos que enfrenta la organización al comité de auditoría, o garantizar que los informes de la administración sean efectivos para ese propósito.

La función de auditoría interna puede ayudar a la organización a abordar su riesgo de fraude a través de una evaluación del riesgo de fraude, utilizando los principios de disuasión del fraude. Los auditores internos pueden ayudar a las empresas a establecer y mantener procesos de gestión de riesgos empresariales. Muchas empresas valoran mucho este proceso para establecer e implementar sistemas de gestión efectivos y garantizar que se mantenga la calidad y se cumplan los estándares profesionales. Los auditores internos también juegan un papel importante para ayudar a las empresas a ejecutar una evaluación de riesgos de arriba hacia abajo SOX 404. En estas dos últimas áreas, los auditores internos suelen formar parte del equipo de evaluación de riesgos en una función de asesoramiento.

Rol en el gobierno corporativo

La actividad de auditoría interna en lo que se refiere al gobierno corporativo ha sido en el pasado generalmente informal, lograda principalmente a través de la participación en reuniones y discusiones con miembros de la junta directiva. De acuerdo con el marco ERM de COSO, la gobernanza son las políticas, procesos y estructuras utilizadas por el liderazgo de la organización para dirigir actividades, lograr objetivos y proteger los intereses de diversos grupos de partes interesadas de manera consistente con los estándares éticos. El auditor interno a menudo se considera uno de los "cuatro pilares" del gobierno corporativo, siendo los otros pilares la junta directiva, la gerencia y el auditor externo.

Un área de enfoque principal de la auditoría interna en lo que respecta al gobierno corporativo es ayudar al comité de auditoría de la junta directiva (o equivalente) a desempeñar sus responsabilidades de manera efectiva. Esto puede incluir reportar problemas críticos de control administrativo, sugerir preguntas o temas para las agendas de las reuniones del comité de auditoría y coordinar con el auditor externo y la administración para asegurar que el comité reciba información efectiva. En los últimos años, el IIA ha abogado por una evaluación más formal del gobierno corporativo, particularmente en las áreas de supervisión del riesgo empresarial, ética corporativa y fraude por parte de la junta.

Selección de proyectos de auditoría o "plan de auditoría anual"

Con base en la evaluación de riesgos de la organización, los auditores internos, la administración y los consejos de supervisión determinan dónde enfocar los esfuerzos de auditoría interna. Este enfoque o priorización es parte del plan de auditoría anual/plurianual. El plan de auditoría generalmente lo propone el DEA (a veces con varias opciones o alternativas) para la revisión y aprobación del comité de auditoría o la junta directiva. La actividad de auditoría interna generalmente se lleva a cabo como una o más asignaciones discretas.

Debe adaptarse al propósito específico de la auditoría, y la selección del método de auditoría debe adaptarse a su propósito específico. De lo contrario, se desviará del propósito de la auditoría.

Ejecución de auditoría interna

Una asignación típica de auditoría interna implica los siguientes pasos:

1. Establecer y comunicar el alcance y los objetivos de la auditoría a los miembros apropiados de la gerencia.
2. Desarrollar una comprensión del área de negocios bajo revisión, esto incluye objetivos, medidas y tipos de transacciones clave e involucra entrevistas y una revisión de documentos, se pueden crear diagramas de flujo y narraciones, si es necesario.
3. Describir los riesgos clave que enfrentan las actividades comerciales dentro del alcance de la auditoría.
4. Identificar las prácticas de gestión en los cinco componentes de control utilizados para asegurar que cada riesgo clave sea controlado y monitoreado adecuadamente. Una lista de verificación de auditoría interna puede ser una herramienta útil para identificar los riesgos comunes y los controles deseados en el proceso específico o la industria específica que se audita.
5. Desarrollar y ejecutar un enfoque de prueba y muestreo basado en el riesgo para determinar si los controles de gestión más importantes están funcionando según lo previsto.
6. Informar sobre los problemas y desafíos identificados y negociar planes de acción con la gerencia para abordar estos problemas.
7. Seguimiento de los hallazgos informados a intervalos apropiados. Los departamentos de auditoría interna mantienen una base de datos de seguimiento para este propósito.

La duración de la tarea de auditoría varía según la complejidad de la actividad que se audita y los recursos de auditoría interna disponibles. Muchos de los pasos anteriores son iterativos y es posible que no todos ocurran en la secuencia indicada.

Además de evaluar los procesos comerciales, los especialistas llamados auditores de tecnología de la información (TI) revisan los controles de tecnología de la información.

Informes de auditoría interna

Los auditores internos generalmente emiten informes al final de cada auditoría que resumen sus hallazgos, recomendaciones y cualquier respuesta o plan de acción de la gerencia. Un informe de auditoría puede tener un resumen ejecutivo: un cuerpo que incluye los problemas o hallazgos específicos identificados y las recomendaciones o planes de acción relacionados, e información del apéndice, como gráficos y cuadros detallados o información del proceso. Cada hallazgo de auditoría dentro del cuerpo del informe puede contener cinco elementos, a veces llamados las "5 C":

1. Condición: ¿Cuál es el problema particular identificado?
2. Criterio: ¿Cuál es el estándar que no se cumplió? El estándar puede ser una política de la empresa u otro punto de referencia.
3. Causa: ¿Por qué ocurrió el problema?
4. Consecuencia: ¿Cuál es el riesgo/resultado negativo (u oportunidad perdida) debido al hallazgo?
5. Acción correctiva: ¿Qué debe hacer la gerencia con respecto al hallazgo? ¿Qué han acordado hacer y para cuándo?

Las recomendaciones en un informe de auditoría interna están diseñadas para ayudar a la organización a lograr procesos de gobierno, riesgo y control efectivos y eficientes asociados con los objetivos de operaciones, informes financieros y de gestión; y objetivos de cumplimiento legal/normativo.

Los hallazgos y recomendaciones de auditoría también pueden relacionarse con afirmaciones particulares sobre transacciones, como si las transacciones auditadas fueron válidas o autorizadas, si se procesaron por completo, se evaluaron con precisión, se procesaron en el período de tiempo correcto y se divulgaron adecuadamente en los informes financieros u operativos, entre otros elementos.

Según los estándares del IIA, un componente fundamental del proceso de auditoría es la preparación de un informe equilibrado que brinde a los ejecutivos y al directorio la oportunidad de evaluar y sopesar los problemas que se informan en el contexto y la perspectiva adecuados. Al brindar perspectiva, análisis y recomendaciones viables para mejoras comerciales en áreas críticas, los auditores ayudan a la organización a alcanzar sus objetivos.

Calidad del informe de auditoría interna

• Objetividad: los comentarios y opiniones expresados ​​en el informe deben ser objetivos e imparciales.
• Claridad: el lenguaje utilizado debe ser simple y directo.
• Precisión: la información contenida en el informe debe ser precisa.
• Brevedad: el informe debe ser conciso.
• Puntualidad: el informe debe publicarse inmediatamente después de que concluya la auditoría, dentro de un mes.

Estrategia

Las funciones de auditoría interna también pueden desarrollar estrategias funcionales descritas en planes estratégicos plurianuales. El Instituto de Auditores Internos emitió una guía profesional sobre la creación de un plan estratégico de auditoría interna en julio de 2012 a través de una Guía práctica denominada Desarrollo del plan estratégico de auditoría interna. Un aspecto clave del desarrollo de la estrategia de IA es comprender las expectativas de las partes interesadas, como el comité de auditoría y la alta dirección. Esto ayuda a guiar la función de AI en su misión de ayudar a la organización a abordar los riesgos que enfrenta. Los temas específicos considerados en la planificación estratégica de AI incluyen:

• Alcance y énfasis: una función de IA puede estar involucrada en el tratamiento de riesgos relacionados con la información financiera, las operaciones, el cumplimiento legal y normativo y la estrategia de la empresa. También puede haber temas especiales de interés para las partes interesadas que cambien considerablemente de un año a otro.
• Cartera de servicios: las funciones de IA pueden proporcionar una garantía de auditoría tradicional en todo el espectro de riesgos, así como soporte de proyectos de consultoría en una variedad de áreas, como la gestión de proyectos, el análisis de datos y el seguimiento de las principales iniciativas de la empresa. Las funciones de auditoría más grandes pueden establecer áreas de especialidad para manejar su cartera de servicios.
• Desarrollo de competencias: las expectativas de las partes interesadas en torno al alcance y la cartera de servicios determinan qué competencias necesita la función, lo que impulsa las decisiones con respecto a la contratación de habilidades específicas y programas de capacitación. La función de auditoría interna se utiliza a menudo como un "campo de entrenamiento de gestión" para proporcionar a los empleados un conocimiento más profundo de las operaciones de la empresa antes de que sean rotados a un puesto de gestión.
• Tecnología: las funciones de IA utilizan una variedad de herramientas/software tecnológicos para respaldar el flujo de trabajo del proceso de auditoría, el análisis estadístico y la obtención de datos de los sistemas.

La construcción de la estrategia de IA puede implicar una variedad de conceptos y marcos de gestión estratégica, como la planificación estratégica, el pensamiento estratégico y el análisis FODA.

Otros temas

Medición de la función de auditoría interna

La medición de la función de auditoría interna puede implicar un enfoque de cuadro de mando integral.Las funciones de auditoría interna se evalúan principalmente en función de la calidad del asesoramiento y la información proporcionada al comité de auditoría y la alta dirección. Sin embargo, esto es principalmente cualitativo y, por lo tanto, difícil de medir. Las "encuestas de clientes" enviadas a los gerentes clave después de cada compromiso o informe de auditoría se pueden usar para medir el desempeño, con una encuesta anual al comité de auditoría. La puntuación en dimensiones como la profesionalidad, la calidad del asesoramiento, la puntualidad del producto del trabajo, la utilidad de las reuniones y la calidad de las actualizaciones de estado son habituales en este tipo de encuestas. Comprender las expectativas de la alta gerencia y del comité de auditoría representa pasos importantes en el desarrollo de un proceso de medición del desempeño, así como también cómo dichas medidas ayudan a alinear la función de auditoría con las prioridades de la organización. Las revisiones por pares independientes son parte del proceso de garantía de calidad para muchos grupos de auditoría interna, ya que a menudo las exigen las normas. El informe de revisión por pares resultante se pone a disposición del comité de auditoría.

Informe de hallazgos críticos

El director ejecutivo de auditoría (CAE) generalmente informa trimestralmente al comité de auditoría los problemas más críticos, junto con el progreso de la administración para resolverlos. Los problemas críticos suelen tener una probabilidad razonable de causar un daño financiero o de reputación sustancial a la empresa. Para temas particularmente complejos, el gerente responsable puede participar en la discusión. Dichos informes son fundamentales para garantizar que se respete la función, que exista el "tono superior" adecuado en la organización y para acelerar la resolución de tales problemas. Es una cuestión de criterio considerable seleccionar los temas apropiados para la atención del comité de auditoría y describirlos en el contexto apropiado.

Filosofía de auditoría

Parte de la filosofía y el enfoque de la auditoría interna se derivan del trabajo de Lawrence Sawyer. Su filosofía y orientación sobre el papel de la auditoría interna fue un precursor de la definición actual de auditoría interna. Enfatizó asistir a la gerencia y al directorio en el logro de los objetivos de la organización a través de auditorías, evaluaciones y análisis bien razonados de las áreas operativas. Alentó al auditor interno moderno a actuar como un consejero de la administración en lugar de un adversario. Sawyer vio a los auditores como actores activos que influyen en los eventos del negocio en lugar de criticar todos los grados de errores y equivocaciones. También previó un futuro de auditor más deseable que involucraba una relación más fuerte con los miembros del comité de auditoría y la junta y un divorcio del informe directo al director financiero.

Sawyer a menudo hablaba de "atrapar a un gerente haciendo algo bien" y brindarle reconocimiento y refuerzo positivo. Rara vez se escribía sobre observaciones positivas en los informes de auditoría hasta que Sawyer empezó a hablar de la idea. Entendió y pronosticó los beneficios de proporcionar informes más equilibrados y, al mismo tiempo, construir mejores relaciones. Sawyer entendió la psicología de la dinámica interpersonal y la necesidad de que todas las personas reciban reconocimiento y validación para que las relaciones prosperen.

Sawyer ayudó a que la auditoría interna fuera más relevante e interesante a través de un fuerte enfoque en la auditoría operativa o de desempeño. Animó encarecidamente a mirar más allá de los estados financieros y la auditoría relacionada con las finanzas en áreas como compras, almacenamiento y distribución, recursos humanos, tecnología de la información, administración de instalaciones, servicio al cliente, operaciones de campo y administración de programas. Este enfoque ayudó a catapultar al director ejecutivo de auditoría al papel de un asesor respetado y bien informado que se consideraba razonable, objetivo y preocupado por ayudar a la organización a lograr los objetivos establecidos.