CONSEJOS PARA LA PRCTICA

THE INSTITUTE OF INTERNAL AUDITORS 249 Maitland Avenue Altamonte Springs, Florida 32701-4201 - USA

Consejos para la Prctica Libro General (Anteriormente, Guas o Pautas del Libro Rojo)
Consejos para la Prctica: Texto Actualizado y Consolidado Consejo para la Prctica 1000-1: Estatuto de Auditora Interna Consejo para la Prctica 1000.C1-1: Principios que Guan el Desempeo de las Actividades de Consultora Realizadas por los Auditores Internos. Consejo para la Prctica 1000.C1-2: Consideraciones Adicionales para los Trabajos de Consultora Formales. Consejo para la Prctica 1000 C1-3: Consideraciones Adicionales para Trabajos de Consultora en el Establecimiento de Organizaciones del Gobierno (Nueva: 29.09.2005). Consejo para la Prctica 1100-1: Independencia y Objetividad Consejo para la Prctica 1110-1: Independencia de la Organizacin Consejo para la Prctica 1110.A1-1: Comunicar los Motivos de un Pedido de informacin Consejo para la Prctica 1110-2: Lneas de Reporte del Director Ejecutivo de Auditora Consejo para la Prctica 1120-1: Objetividad Individual. Consejo para la Prctica 1130-1: Impedimentos a la Independencia u Objetividad. Consejo para la Prctica 1130.A1-1: Evaluacin de Operaciones en las cuales el Auditor Interno tuvo Responsabilidades Previas. Consejo para la Prctica 1130.A1-2: Responsabilidad de Auditora Interna en Funciones Distintas de Auditora. Consejo para la Prctica 1200-1: Pericia y Debido Cuidado Profesional. Consejo para la Prctica 1210-1: Pericia. Consejo para la Prctica 1210.A1-1: Obtencin de Servicios para Apoyar o Complementar la Actividad de Auditora Interna. Consejo para la Prctica 1210.A2-1: Identificacin de Fraude. Consejo para la Prctica 1210.A2-2: Responsabilidad en la Deteccin de Fraude. Consejo para la Prctica 1220-1: Debido Cuidado Profesional. Consejo para la Prctica 1220-2: Tcnicas de Auditora Asistidas por Computador (TAAC) Consejo para la Prctica 1230-1: Desarrollo Profesional Continuado. Consejo para la Prctica 1300-1: Programa de Aseguramiento y Mejora de la Calidad. Consejo para la Prctica 1310-1: Evaluaciones de Programas de Calidad. Consejo para la Prctica 1311-1: Evaluaciones Internas. Consejo para la Prctica 1311-2: Medidas establecidas (evaluaciones cualitativas y mtricas cuantitativas) para soportar revisiones de desempeo en la actividad de auditora interna (versin en ingles) Consejo para la Prctica 1312-1: Evaluaciones Externas. Consejo para la Prctica 1312-2: Evaluaciones Externas: Autoevaluacin con Validacin Independiente. Consejo para la Prctica 1320-1: Reporte sobre el Programa de Calidad. Consejo para la Prctica 1330-1: Uso de "Realizado de Acuerdo con las Normas". Consejo para la Prctica 2000-1: Administracin de la Actividad de Auditora Interna. Consejo para la Prctica 2010-1: Planificacin. Consejo para la Prctica 2010-2: Enlace del Plan de Auditora con los Riesgos y Exposiciones. Consejo para la Prctica 2020-1: Comunicacin y Aprobacin. Consejo para la Prctica 2030-1: Administracin de Recursos. Consejo para la Prctica 2040-1: Polticas y Procedimientos Consejo para la Prctica 2050-1: Coordinacin 2

Consejos para la Prctica Libro General (Anteriormente, Guas o Pautas del Libro Rojo)
Contina...

Consejo para la Prctica 2050-2: Adquisicin de Servicios de Auditora Externa Consejo para la Prctica 2060-1: Informe al Consejo de Administracin y a la Direccin Superior Consejo para la Prctica 2060-2: Relaciones con el Comit de Auditora Consejo para la Prctica 2100-1: Naturaleza del Trabajo Consejo para la Prctica 2100-2: Seguridad de la Informacin Consejo para la Prctica 2100-3: El Rol de Auditora Interna en el Proceso de Gestin de Riesgos Consejo para la Prctica 2100-4: El Rol de Auditora Interna en Organizaciones sin Proceso de Gestin de Riesgos Consejo para la Prctica 2100-5: Consideraciones Legales en la Evaluacin de Programas de Cumplimiento de Reglamentaciones. Consejo para la Prctica 2100-6: Implicaciones de Control y Auditora de las Actividades de Comercio Electrnico. Consejo para la Prctica 2100-7: El Rol del Auditor Interno al Evaluar el Marco de Privacidad de una Organizacin. Consejo para la Prctica 2100-8: El Rol del Auditor Interno al Evaluar el Marco de Privacidad de una Organizacin. Consejo para la Prctica 2100-9: Revisin de Sistemas de Aplicacin. Consejo para la Prctica 2100-10: Muestreo de Auditora Consejo para la Prctica 2100-11: Efecto de los Controles Universales de Sistemas de Informacin. Consejo para la Prctica 2100-12: Contratacin Externa de las Actividades de Sistemas de Informacin. Consejo para la Prctica 2100-13: Efectos de los Proveedores Externos sobre los Controles de Tecnologa Informtica en una Organizacin. Consejo para la Prctica 2100-14: Requisito de Evidencia de Auditora. Consejo para la Prctica 2110-1: Evaluacin de la Adecuacin de los Procesos de Gestin de Riesgos. Consejo para la Prctica 2110-2: El Rol del Auditor Interno en el Proceso de Continuidad del Negocio. Consejo para la Prctica 2120.A1-1: Evaluacin e Informacin sobre Procesos de Control Consejo para la Prctica 2120.A1-2: Utilizacin de auto evaluacin de Control para Evaluar la Adecuacin de los Procesos de Control. Consejo para la Prctica 2120.A1-3: El Rol de Auditora Interna en los Informes Financieros Trimestrales, Declaraciones y Certificaciones de la Direccin Consejo para la Prctica 2120.A1-4: Auditora del proceso de Informacin financiera Consejo para la Prctica 2120.A4-1: Criterios de Control Consejo para la Prctica 2130-1: El Rol de la Actividad de Auditora Interna en la Cultura tica de una Organizacin Consejo para la Prctica 2200-1: Planificacin del Trabajo Consejo para la Prctica 2210-1: Objetivos del Trabajo Consejo para la Prctica 2210.A1-1: Evaluacin de Riesgo en la Planificacin del Trabajo 3

Consejo para la Prctica 2230-1: Asignacin de Recursos para el Trabajo Consejo para la Prctica 2240-1: Programa de Trabajo Consejo para la Prctica 2240.A1-1: Aprobacin de Programas de Trabajo Consejo para la Prctica 2300-1:El Uso de Informacin Personal por Parte del Auditor Interno al Realizar Auditoras. Consejo para la Prctica 2310-1: Identificacin de la Informacin Consejo para la Prctica 2320-1: Anlisis y Evaluacin Consejo para la Prctica 2330-1: Registro de la Informacin Consejo para la Prctica 2330.A1-1: Control de los Registros del Trabajo Consejo para la Prctica 2330.A1-2: Consideraciones Legales al Permitir el Acceso a los Registros del Trabajo Consejo para la Prctica 2330.A2-1: Retencin de los Registros Consejo para la Prctica 2340-1: Supervisin del Trabajo Consejo para la Prctica 2400-1: Consideraciones Legales en la Comunicacin de Resultados Consejo para la Prctica 2410-1: Criterios para la Comunicacin Consejo para la Prctica 2420-1: Calidad de las Comunicaciones Consejo para la Prctica 2440-1: Difusin de Resultados Consejo para la Prctica 2440-2: Comunicaciones Fuera de la Organizacin Consejo para la Prctica 2440-3: Comunicacin de Informacin Delicada Dentro y Fuera de la Cadena de Mando. Consejo para la Prctica 2500-1: Supervisin del Progreso Consejo para la Prctica 2500.A1-1: Proceso de Seguimiento Consejo para la Prctica 2600-1: Aceptacin de los Riesgos por la Direccin

Consejo para la Prctica 1000-1: Estatuto de Auditora Interna

Interpretacin de la Norma 1000 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 1000 Propsito, Autoridad y Responsabilidad El propsito, la autoridad y la responsabilidad de la actividad de auditora interna deben estar formalmente definidos en un Estatuto, de conformidad con las Normas, y estar aprobados por el Consejo. (Fuente: Libro Rojo 510) Norma Relacionada: 1000 Propsito, Autoridad y Responsabilidad. Los auditores internos deben tener en cuenta las siguientes sugerencias al establecer un Estatuto de auditora interna. Esta gua no pretende abarcar todas las consideraciones que pudieran ser necesarias al adoptar un Estatuto, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

1. El propsito, la autoridad y la responsabilidad de la actividad de auditora interna deben estar formalmente definidos en un Estatuto. El director ejecutivo de auditora debe conseguir su aprobacin por la direccin y su aceptacin por el Consejo, el Comit de Auditora u otras autoridades de gobierno correspondientes. El Estatuto debe (a) establecer la posicin de la actividad de auditora interna dentro de la organizacin, (b) autorizar el acceso a los registros, al personal y a los bienes relevantes para la ejecucin de los trabajos, y (c) definir el mbito de actuacin de las actividades de auditora interna. (Fuente: Libro Rojo 110.01.4, 510.01) 2. El Estatuto de la actividad de auditora interna debe estar por escrito. Un documento escrito proporciona una comunicacin formal que permite la revisin y aprobacin por parte de la direccin y la aceptacin por parte del Consejo. Adems, facilita la evaluacin peridica de la adecuacin del propsito, autoridad y responsabilidad de la actividad de auditora interna. Contar con este documento escrito formal es crtico para administrar la funcin de auditora dentro de la organizacin. El propsito, la autoridad y la responsabilidad deben estar definidos y comunicados, de modo de establecer la funcin de la actividad de auditora interna y de proporcionar una base para la direccin y para el Consejo en su evaluacin de las operaciones de la funcin. En caso de presentarse alguna cuestin, el Estatuto tambin proporcionar un acuerdo formal, escrito, con la direccin y con el Consejo respecto de la funcin y responsabilidades de la actividad de auditora interna dentro de la organizacin. (Fuente: PSPR 96-14) 3. El director ejecutivo de auditora debe evaluar peridicamente si el propsito, la autoridad y la responsabilidad, segn se definen en el Estatuto, continan siendo adecuados para permitir que la actividad de auditora interna cumpla sus objetivos. El resultado de esta evaluacin peridica debe comunicarse a la direccin y al Consejo. (Fuente: Libro Rojo 110.01.4.a)
Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher. January 5, 2001

Consejo para la Prctica 1000.C1-1: Principios que Guan el Desempeo de las Actividades de Consultora Realizadas por los Auditores Internos
Interpretacin de la Norma 1000.C1 de las Normas para el Ejercicio Profesional de la Auditora Interna

Norma Relacionada: 1000.C1 La naturaleza de los servicios de consultora debe estar definida en el Estatuto de auditora.

Naturaleza de este Consejo para la Prctica: La definicin de auditora interna establece que "La auditora interna es una actividad independiente y objetiva de aseguramiento y consulta, concebida para agregar valor y mejorar las operaciones de una organizacin. Ayuda a una organizacin a cumplir sus objetivos aportando un enfoque sistemtico y disciplinado para evaluar y mejorar la eficacia de los procesos de gestin de riesgos, control y gobierno". Se recuerda a los auditores internos que las Normas sobre Atributos y sobre Desempeo se refieren a los auditores internos que realizan trabajos de aseguramiento as como trabajos de consultora. Este Consejo establece amplios parmetros para ser tenidos en cuenta en todos los trabajos de consultora. La consultora puede abarcar un amplio rango, desde trabajos formales, definidos por acuerdos escritos, hasta actividades de consulta, tales como la participacin en comits permanentes o temporarios de la direccin o en equipos de proyectos. Los auditores internos debern utilizar su criterio profesional para determinar el grado de aplicacin de la gua proporcionada por este Consejo en cada situacin en particular. Los trabajos especiales de consultora, tales como la participacin en un proyecto de fusin o adquisicin, o en trabajos de emergencia, tales como la recuperacin de desastres, pueden requerir desviarse de los procedimientos normales o establecidos para realizar trabajos de consultora. Los auditores internos deben tener en cuenta los siguientes principios gua al desempear trabajos de consultora. Esta gua no pretende abarcar todas las consideraciones que puedan ser necesarias al desempear un trabajo de consultora, y los auditores internos debern tomar precauciones adicionales para determinar que la direccin y el Consejo de Administracin comprendan y acuerden con el concepto, las guas operativas, y las comunicaciones requeridas en el desempeo de servicios de consultora. El cumplimiento de este Consejo para la Prctica es opcional. 6

1. Proposicin de Valor La proposicin de valor de la actividad de auditora interna tiene lugar dentro de cada organizacin que emplea a los auditores internos de manera que favorezcan a la cultura y recursos de esa organizacin. La proposicin de valor est contemplada en la definicin de auditora interna y comprende las actividades de aseguramiento y consulta concebidas para agregar valor a la organizacin, aportando un enfoque sistemtico y disciplinado a las reas de gobierno, riesgo y control. 2. Consistencia con la Definicin de Auditora Interna Una metodologa de evaluacin sistemtica y disciplinada forma parte de cada actividad de auditora interna. La lista de servicios puede ser generalmente incorporada a las amplias categoras de aseguramiento y consultora. Sin embargo, estos servicios tambin pueden incluir formas ms evolucionadas de servicios de valor agregado que sean consistentes con la amplia definicin de auditora interna. 3. Actividades de Auditora Distintas del Aseguramiento y la Consultora Hay mltiples servicios de auditora interna. El aseguramiento y la consultora no son excluyentes entre s, y no impiden realizar otro tipo de servicios de auditora, tales como investigaciones y funciones distintas de auditora. Muchos de los servicios de auditora tendrn ambos roles, tanto el de aseguramiento como el de consultora. 4. Interrelaciones entre Aseguramiento y Consultora La consultora de auditora interna enriquece a la auditora interna de valor agregado. Si bien la consultora es muy a menudo el resultado directo de los servicios de aseguramiento, debemos reconocer tambin que el aseguramiento puede estar, a su vez, generado por los trabajos de consultora. 5. La Consultora Impulsada por el Estatuto de Auditora Interna Los auditores internos han desempeado tradicionalmente diversos tipos de servicios de consultora, como el anlisis de controles incluidos en sistemas en desarrollo, el anlisis de productos de seguridad, la participacin en equipos de trabajo para analizar operaciones y efectuar recomendaciones, y dems. El Consejo de Administracin (o el Comit de Auditora) debe propiciar que la actividad de auditora interna preste servicios adicionales siempre que no representen un conflicto de intereses o le aparten de sus obligaciones frente al Comit. Esto debe estar reflejado en el Estatuto de auditora interna. 6. Objetividad Los servicios de consultora pueden mejorar el entendimiento que tenga el auditor interno de los procesos de negocios o de cuestiones relacionadas con un trabajo de aseguramiento, y no necesariamente afectan la objetividad del auditor o de la actividad de auditora interna. La auditora interna no es una funcin de toma de decisiones gerenciales. Las decisiones de adoptar o implantar las recomendaciones originadas en un servicio de consultora realizado por auditora interna debe tomarlas la direccin. En consecuencia, la objetividad de auditora interna no debera verse afectada por las decisiones tomadas por la direccin. 7. Fundamentos de Auditora Interna para los Servicios de Consultora Muchos de los servicios de consultora son una extensin natural de los servicios de aseguramiento e investigacin, y pueden representar consejos formales o informales, anlisis, o evaluaciones. La actividad de auditora interna est excelentemente posicionada para desempear este tipo de trabajos de consultora, basndonos en (a) su cumplimiento de las normas ms elevadas de objetividad, y (b) su extenso conocimiento de los procesos, riesgos y estrategias de la organizacin. 8. Comunicacin de Informacin Fundamental Uno de los valores principales de auditora interna es brindar aseguramiento a la alta direccin y a los directores del comit de auditora. Los trabajos de consultora no pueden ser realizados de forma que oculten informacin que, a criterio del director ejecutivo de auditora, deba ser presentada a la alta direccin y a los miembros del Consejo de Administracin. Todo tipo de consultora debe ser entendido dentro de ese contexto. 9. Principios de Consultora Comprendidos por Toda la Organizacin Las organizaciones deben tener reglas de procedimiento para el desempeo de servicios de consultora, de modo que sean entendidos por todos sus 7

miembros. Estas reglas deben estar incluidas en el Estatuto de auditora aprobado por el comit de auditora y promulgado en la organizacin. 10. Trabajos de Consultora Formales La direccin contrata a menudo consultores externos para trabajos formales de consultora que duran un perodo significativo. Sin embargo, la organizacin puede encontrar que su funcin de auditora interna est calificada de forma excelente para realizar determinadas tareas de consultora formales. Si una actividad de auditora interna emprende un trabajo de consultora formal, el grupo de auditora interna debe aportar un enfoque disciplinado y sistemtico a la realizacin de ese trabajo. 11. Responsabilidades del Director Ejecutivo de Auditora Los servicios de consultora permiten al director ejecutivo de auditora establecer un dilogo con la direccin para resolver determinados asuntos de la gestin. En este dilogo, la extensin del trabajo y su calendario deben responder a las necesidades de la direccin. Sin embargo, el director ejecutivo de auditora mantiene la prerrogativa de establecer las tcnicas de auditora y el derecho de informar a la alta direccin y a los miembros del comit de auditora cuando la naturaleza y materialidad de los resultados presenten riesgos significativos para la organizacin. 12. Criterios para Resolver Conflictos o Asuntos Imprevistos Un auditor interno es, ante todo, un auditor interno. En consecuencia, en el desempeo de todo tipo de servicios el auditor interno deber guiarse por el Cdigo de tica y las Normas sobre Atributos y sobre Desempeo pertenecientes a las Normas para el Ejercicio Profesional de la Auditora Interna, todos ellos del IIA. Cualquier tipo de conflictos o asuntos imprevistos debern ser resueltos de manera consistente con el Cdigo de tica y las Normas mencionadas. Copyright 2001, The Institute of Internal Auditors Origen: 15 de mayo de 2001. Revisin: 18 de octubre de 2001.

Consejo para la Prctica 1000.C1-2: Consideraciones Adicionales para los Trabajos de Consultora Formales
Interpretacin de la Norma 1000.C1 (y otras Normas de Implantacin de Consultora relacionadas) de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 1000.C1 La naturaleza de los Naturaleza de este Consejo para la Prctica:

Este Consejo para la Prctica cubre un tema similar al del Consejo servicios de consultora debe estar 1000.C1-1, que comenta los Principios que Guan el Desempeo de definida en el Estatuto de Auditora. los Servicios de Consultora. Ambos Consejos son de utilidad para el auditor interno en el desempeo de sus actividades de consultora. Nota especial referida a este Consejo La definicin de auditora interna establece que La auditora interna para la es una actividad independiente de aseguramiento y consulta, Prctica y a las concebida para agregar valor y mejorar las operaciones de una Normas relacionadas. Este Consejo organizacin. Ayuda a una organizacin a cumplir sus objetivos para la Prctica establece una gua aportando un enfoque sistemtico y disciplinado para evaluar y profesional mejorar la eficacia de los procesos de gestin de riesgos, control y referida a mltiples Normas de gobierno. Se recuerda a los auditores internos que las Normas sobre Implantacin Atributos y sobre Desempeo se refieren a los auditores internos que de Consultora. Adems de la ya realizan trabajos de aseguramiento as como trabajos de consultora. mencionada Norma 1000.C1, esta gua Este Consejo establece amplios parmetros para ser tenidos en cuenta comprende tambin en los trabajos formales de consultora. La consultora puede abarcar las Normas 1130.C1 y C2; 1210.C1; un amplio rango, desde trabajos formales, definidos por acuerdos 1220.C1; escritos, hasta actividades de consulta, tales como la participacin en 2010.C1; 2110.C1 y C2; 2120.C1 y comits permanentes o temporarios de la direccin o en equipos de C2; 2130.C1; 2201.C1; 2210.C1; proyectos. Los auditores internos debern utilizar su criterio 2220.C1; 2240.C1; 2330.C1; profesional para determinar el grado de aplicacin de la gua 2410.C1; 2440.C1 y C2; y 2500.C1. proporcionada por este Consejo en cada situacin en particular. Los La referencia trabajos especiales de consultora, tales como la participacin en un a cada una de las mencionadas proyecto de fusin o adquisicin, o en trabajos de emergencia (por Normas est indicada entre ejemplo, la revisin de actividades de recuperacin de desastres), parntesis en los ttulos de este pueden requerir desviarse de los procedimientos normales o Consejo para la Prctica. establecidos para realizar trabajos de consultora. Los auditores internos deben tener en cuenta las siguientes sugerencias al desempear trabajos de consultora formales. Esta gua no pretende abarcar todas las consideraciones que puedan ser necesarias al desempear un trabajo de consultora, y los auditores internos debern tomar precauciones adicionales para determinar que la direccin y el Consejo de Administracin comprendan y acuerden con el concepto, las guas operativas, y las comunicaciones requeridas en el desempeo de servicios de consultora formales. El cumplimiento de este Consejo para la Prctica es opcional.

Definicin de Servicios de Consultora 1. El Glosario de las Normas define a los servicios de consultora de la siguiente manera: Son las actividades de consulta y otras, relacionadas con los servicios al cliente, cuya naturaleza y alcance son acordados con el cliente y que estn orientadas a agregar valor y mejorar las operaciones de una organizacin. Por ejemplo: asesoramiento, consejo, facilitacin, diseo de procesos y formacin. 2. El Director Ejecutivo de Auditora debe establecer la metodologa a utilizar para clasificar los trabajos dentro de la organizacin. En determinados casos, puede ser apropiado realizar un trabajo combinado que incluya elementos tanto de consultora como de aseguramiento dentro de un enfoque consolidado. En otros, puede ser apropiado distinguir los componentes de aseguramiento de los de consultora. 3. Los auditores internos podrn realizar servicios de consultora ya sea como parte de sus actividades normales o rutinarias, as como en respuesta a las solicitudes de la direccin. Cada organizacin deber considerar el tipo de actividades de consultora que sern ofrecidas y determinar si se desarrollarn polticas o procedimientos especiales para cada tipo de actividad. Algunas posibles categoras podran ser:

Trabajos de consultora formales planificados y sujetos a un acuerdo escrito.

Trabajos de consultora informales actividades rutinarias, tales como la participacin en comits permanentes, proyectos de tiempo limitado, reuniones ad-hoc, o el intercambio rutinario de informacin. Trabajos de consultora especiales participacin en un equipo de fusin y adquisicin, o de conversin de un sistema. Trabajos de consultora de emergencia participacin en un equipo establecido para la recuperacin o mantenimiento de operaciones despus de un desastre u otros eventos extraordinarios de negocio, o en un equipo formado para proporcionar ayuda temporaria para cumplir con un pedido especial o un vencimiento inusual. 4. Los auditores, en general, no deben acordar la realizacin de un trabajo de consultora simplemente para evitar, o permitir que otros eviten, los requisitos que normalmente se aplicaran a un trabajo de aseguramiento si el servicio en cuestin fuera realizado ms apropiadamente como un trabajo de aseguramiento. Esto no significa que no deban ajustarse las metodologas en el caso de trabajos que una vez fueron de aseguramiento y luego se ha juzgado ms conveniente realizarlos como trabajos de consultora. Independencia y Objetividad en Trabajos de Consultora (Norma 1130.C1) 5. A los auditores internos se les solicita en algunas ocasiones proporcionar servicios de consultora referidos a operaciones por las cuales han tenido responsabilidades previas o en las cuales han realizado servicios de aseguramiento. Antes de ofrecer servicios de consultora, el director ejecutivo de auditora debe confirmar que el Consejo de Administracin comprende y aprueba el concepto de proporcionar servicios de consultora. Una vez aprobado, el Estatuto de auditora interna debe adecuarse de modo que incluya la autoridad y responsabilidades para realizar este tipo de trabajos, y la actividad de auditora interna debe confeccionar las polticas y procedimientos adecuados para realizar los mismos. 6. Los auditores internos deben mantener su objetividad al sacar conclusiones y ofrecer su consejo a la direccin. Si existieran impedimentos a la independencia u objetividad previos al comienzo de un trabajo de consultora, o si aparecieran durante el desarrollo del trabajo, debe declararse esta situacin inmediatamente a la direccin. 7. La independencia y la objetividad pueden verse menoscabadas si se proporcionan servicios de aseguramiento dentro del ao siguiente a haber realizado un trabajo de consultora formal. Se pueden tomar algunas medidas para minimizar los efectos de este impedimento a la independencia y 10

objetividad, asignando diferentes auditores para cada uno de los servicios, estableciendo una supervisin y gerencia independientes, definiendo responsabilidades separadas para los resultados de los proyectos, y declarando los impedimentos supuestos. La direccin debe ser la responsable de aceptar e implantar las recomendaciones. 8. Debe tenerse cuidado, en especial en los trabajos de consultora que sean continuos por su propia naturaleza, de que los auditores internos no asuman inadecuadamente o sin intenciones responsabilidades gerenciales que no estaban entre los objetivos originales y alcance del trabajo.

Debido Cuidado Profesional en Trabajos de Consultora (Normas 1210.C1, 1220.C1, 2130.C1, y 2201.C1) 9. El auditor interno debe ejercer el debido cuidado profesional al realizar un trabajo de consultora formal, mediante la comprensin de lo siguiente: Las necesidades de la direccin, incluyendo la naturaleza, oportunidad y comunicacin de los resultados del trabajo. Las posibles motivaciones y razones de aquellos que solicitan el servicio. La extensin del trabajo necesario para alcanzar los objetivos del trabajo. Las habilidades y recursos necesarios para realizar el trabajo. El efecto sobre el alcance del plan de auditora previamente aprobado por el comit de auditora. El impacto potencial sobre futuros trabajos y asignaciones de auditora. Los beneficios potenciales para la organizacin, originados en ese trabajo. 10. Adems de la evaluacin de la independencia y objetividad y de las consideraciones respecto del debido cuidado profesional mencionados anteriormente, el auditor interno debe: Realizar las reuniones apropiadas y obtener la informacin necesaria para evaluar la naturaleza y extensin del servicio que va a proporcionar. Confirmar que aquellos que recibirn el servicio comprenden y acuerdan con la gua relevante contenida en el Estatuto de auditora interna, las polticas y procedimientos de la actividad de auditora interna, y otras guas relacionadas con la conduccin de trabajos de consultora. El auditor interno no debera aceptar la realizacin de trabajos de consultora que estn prohibidos en los trminos del Estatuto de auditora interna, que entren en conflicto con la actividad de auditora interna, o que no agreguen valor y promocionen los mejores intereses para la organizacin. Evaluar el trabajo de consultora en cuanto a su compatibilidad con el plan general de trabajo de la actividad de auditora interna. El plan de trabajo basado en riesgos de la actividad de auditora interna puede incorporar y contar con los trabajos de consultora, en la extensin que se considere apropiada, de modo de proporcionar la cobertura de auditora necesaria para la organizacin Documentar los trminos generales, acuerdos, entregas, y otros factores clave del trabajo de consultora formal en un acuerdo o plan escrito. Es esencial que tanto el auditor interno como aquellos que reciban el trabajo de consultora comprendan y acuerden con los requisitos de informacin y comunicacin. Alcance del Trabajo para el Caso de Consultora (Normas 2010.C1, 2110.C1 y C2, 2120.C1 y C2, 2201.C1, 2210.C1, 2220.C1, 2240.C1, y 2440.C2) 11. Segn lo mencionado anteriormente, los auditores internos deben alcanzar un entendimiento de los objetivos y alcance del trabajo de auditora con aquellos que recibirn el servicio. Cualquier reserva 11

sobre el valor, beneficio, o posibles implicancias negativas del trabajo de consultora debe ser comunicada a aquellos que reciben el servicio. Los auditores internos deben establecer el alcance del trabajo de modo de asegurar que el profesionalismo, integridad, credibilidad y reputacin de la actividad de auditora interna sern mantenidos. 12. Al planificar trabajos de consultora formales, los auditores internos deben disear objetivos que alcancen las necesidades apropiadas de las gerencias que reciban estos servicios. En el caso de solicitudes especiales por parte de la direccin, los auditores internos pueden considerar las siguientes acciones si creen que los objetivos que deberan lograrse van ms lejos de aquellos solicitados por la direccin:

Persuadir a la direccin para que incluya los objetivos adicionales al trabajo de consultora.

Documentar el hecho de que no se aspir a aquellos objetivos y declararlo en la comunicacin final del resultado del trabajo de consultora; e Incluir los objetivos en un trabajo de aseguramiento separado y subsiguiente.

13. Los programas de trabajo para las consultoras formales deben documentar los objetivos y el alcance del trabajo, as como la metodologa a utilizar para satisfacer los objetivos. La forma y el contenido de programa podr variar dependiendo de la naturaleza del trabajo. Al establecer el alcance del trabajo, los auditores internos pueden expandir o limitar el mismo de modo de satisfacer la solicitud de la direccin. Sin embargo, el auditor interno debe satisfacerse de que el alcance proyectado sea el adecuado para alcanzar los objetivos del trabajo. Los objetivos, alcance y trminos del trabajo deben ser peridicamente reevaluados y ajustados durante el transcurso del trabajo. 14. Los auditores internos deben observar la eficacia de los procesos de gestin de riesgos y control durante los trabajos de consultora formales. Las exposiciones significativas al riesgo o las debilidades materiales de control deben ser llevadas a la atencin de la direccin. En algunas situaciones, las preocupaciones del auditor tambin deberan ser comunicadas a la direccin ejecutiva, al comit de auditora, y/o al Consejo de Administracin. Los auditores deben utilizar su juicio profesional (a) para determinar la significatividad de las exposiciones o debilidades y las acciones tomadas o contempladas para mitigar o corregir las mismas, y (b) para indagar las expectativas de la direccin ejecutiva, el comit de auditora y el Consejo de ser informados sobre estos asuntos. Comunicacin de Resultados de los Trabajos de Consultora (Normas 2410.C1 y 2440.C1) 15. La comunicacin del avance y los resultados de los trabajos de consultora variar en forma y contenido segn la naturaleza del trabajo y las necesidades del cliente. Los requerimientos de informacin estn generalmente determinados por quienes solicitan el servicio de consultora, y deberan cumplir con los objetivos determinados y acordados con la direccin. Sin embargo, el formato para comunicar los resultados del trabajo de consultora debe describir claramente la naturaleza del trabajo y cualquier limitacin, restriccin u otro factor que los usuarios de la informacin debieran conocer. 16. En determinadas circunstancias, el auditor interno puede concluir que los resultados deben ser comunicados ms all de aquellos que recibieron o solicitaron el servicio. En tales casos, el auditor interno debe extender la informacin, de modo que los resultados sean comunicados a las partes apropiadas. Al extender la informacin a otras partes, el auditor deber seguir los siguientes pasos hasta lograr satisfacerse de la resolucin del asunto:
Primero, determinar qu directiva est proporcionada en el acuerdo respecto del trabajo de

consultora y sus comunicaciones.

Segundo, intentar convencer a aquellos que reciben o solicitan el servicio de extender

12

voluntariamente la comunicacin a las partes apropiadas.

Tercero, determinar qu gua est proporcionada en el Estatuto de auditora interna o en las polticas

y procedimientos de la actividad de auditora respecto de las comunicaciones de consultora. cdigo de tica, u otras polticas, procedimientos o directivas administrativas al respecto.

Cuarto, determinar qu gua es proporcionada por el cdigo de conducta de la organizacin, el Quinto, determinar qu gua es proporcionada por las Normas y el Cdigo de tica del IIA, otras

normas o cdigos aplicables al auditor, y cualquier requerimiento legal o de regulacin referido al asunto en cuestin.

17. Los auditores internos deben declarar a la direccin, al comit de auditora, al Consejo de Administracin u otro cuerpo de gobierno de la organizacin, la naturaleza, alcance y resultados generales de los trabajos de consultora formales junto con los informes de las actividades de auditora interna. Los auditores internos deben mantener informados a la direccin ejecutiva y al comit de auditora sobre cmo estn siendo distribuidos los recursos de auditora. No se requiere comunicar ni los informes detallados ni los resultados especficos de estos trabajos de consultora. Pero debera comunicarse una adecuada descripcin de estos tipos de trabajos y sus recomendaciones significativas. Esto es esencial para cumplir con la responsabilidad del auditor interno, de acuerdo con la Norma 2060, Informe al Consejo de Administracin y a la Direccin Superior Requerimientos de Documentacin para los Trabajos de Consultora (Norma 2330.C1) 18. Los auditores internos deben documentar las tareas realizadas para alcanzar los objetivos de un trabajo de consultora formal y para soportar sus resultados. Sin embargo, los requerimientos de documentacin aplicables a los trabajos de aseguramiento no necesariamente son aplicables a los de consultora. 19. Se alienta a los auditores internos a adoptar polticas apropiadas de retencin de registros y a resolver cuestiones relacionadas, tales como la propiedad de los registros de los trabajos de consultora, de modo de proteger adecuadamente a la organizacin y evitar potenciales malentendidos en el caso de solicitud de estos registros. Las situaciones que impliquen procedimientos legales, exigencias reguladoras, cuestiones tributarias y asuntos contables, pueden requerir un manejo especial de ciertos registros del trabajo de consultora. Supervisin de Trabajos de Consultora (Norma 2500.C1) 20. La actividad de auditora interna debe supervisar los resultados de los trabajos de consultora, hasta el punto que se haya acordado con el cliente. Diversos tipos de supervisin pueden ser adecuados para los diversos tipos de trabajos de consultora. La tarea de supervisin puede depender de factores tales como el inters explcito que tenga la direccin en ese trabajo, o la evaluacin de los riesgos del proyecto que efecte el auditor interno, o el valor para la organizacin.

Copyright 2002, The Institute of Internal Auditors Origen: 7 de enero de 2002

13

Consejo para la Prctica 1000-C1-3: Consideraciones Adicionales para Trabajos de Consultora en el Establecimiento de Organizaciones del Gobierno
Interpretacin de la Norma 1000.C1 (y otras normas referidas a la implantacin de consultora) de las Normas Internacionales para el Ejercicio Profesional de la Auditora Interna Norma Relacionada 1000.C1 La naturaleza de los servicios de consultora debe estar definida en el estatuto de auditora. Naturaleza de este Consejo para la Prctica: Este Consejo para la Prctica trata un tema similar al de los Consejos 1000.C1-1 y C1-2, que estn referidos a los Principios que Guan el Desempeo de los Servicios de Consultora, de utilidad para los auditores internos cuando realizan este tipo de actividades. La definicin de auditora interna establece que La auditora interna es una actividad independiente y objetiva de aseguramiento y consulta, concebida para agregar valor y mejorar las operaciones de una organizacin. Ayuda a una organizacin a cumplir sus objetivos aportando un enfoque sistemtico y disciplinado para evaluar y mejorar la eficacia de los procesos de gestin de riesgos, control y gobierno. Se recuerda a los auditores internos que las Normas sobre Atributos y Desempeo son aplicables tanto a los trabajos de aseguramiento como a los de consultora. Este Consejo para la Prctica proporciona una gua para las organizaciones de auditora del gobierno que deben realizar trabajos cumpliendo las Normas del IIA, pero cuyas normas, polticas y/o legislacin de auditora del gobierno local limitan los servicios que no sean de aseguramiento (es decir, los servicios de consultora) de forma ms estricta. Los parmetros dentro de los cuales una organizacin desea brindar servicios que no sean de aseguramiento (consultora) deben incluirse en el estatuto de auditora interna y deben estar contemplados en las polticas y procedimientos de la actividad de auditora interna. La gua contenida en este Consejo para la Prctica puede ayudar a las organizaciones a establecer textos y polticas relevantes para gestionar sus servicios que no sean de aseguramiento (consultora). Se espera que los auditores internos utilicen su criterio profesional para determinar el alcance con el cual aplicarn la gua contenida en este Consejo, segn cada situacin en particular Los auditores internos deben tener en cuenta las siguientes sugerencias cuando desempeen trabajos de consultora.

1. Antecedentes. La definicin de servicios de consultora que brinda el IIA indica que stos son las
actividades de asesoramiento y servicios relacionados, proporcionadas a los clientes, cuya naturaleza y alcance estn acordados con los mismos y estn dirigidos a aadir valor y a mejorar los procesos de gobierno, gestin de riesgos y control de una organizacin, sin que el auditor interno asuma responsabilidades de gestin. Algunos ejemplos de estas actividades son el consejo, el asesoramiento, la facilitacin y la formacin.

2. Elementos Centrales del Rol de los Auditores. Con sus trabajos de aseguramiento (auditora), los
auditores ayudan a asegurar que la direccin se haga responsable del cumplimiento de los objetivos de la organizacin y del cumplimiento de los requisitos internos y externos respecto de la gestin de las operaciones y actividades. Si bien estos trabajos pueden incluir un aspecto de asistencia cuando se brindan recomendaciones de mejora, el auditor no tiene la responsabilidad final de hacer o autorizar las mejoras. Si el auditor tuviera la responsabilidad de implementar o autorizar mejoras operativas, que hubieran sido recomendadas en el curso de un trabajo de auditora (aseguramiento) o de un trabajo por separado, distinto de auditora (consultora), muy probablemente pondra en peligro la independencia y objetividad que son esenciales para la funcin de auditora.

14

An cuando estn ayudando a una organizacin mediante actividades distintas de auditora (consultora), los auditores deben mantener sus tareas dentro de los lmites que definen los elementos centrales de la funcin de auditora. Estos elementos centrales incluyen los siguientes: Los auditores deben ser independientes, evitando relaciones y situaciones que comprometan su objetividad.1 Los auditores no deben auditar su propio trabajo.1 Los auditores no deben desempear funciones gerenciales ni tomar decisiones gerenciales. 1 Los elementos son "centrales cuando soportan la proposicin de valor fundamental de la auditora, es decir, el principio de que un tercero, de forma objetiva, est dando testimonio (o proporcionando aseguramiento) de la credibilidad de las afirmaciones gerenciales. Por consiguiente, para proteger su habilidad de proporcionar aseguramiento, los auditores deben minimizar las amenazas potenciales a su independencia que puedan surgir cuando la propia auditora interna est tambin proporcionando servicios distintos de auditora (consultora). Adems de los elementos centrales ya mencionados, se han identificado otras amenazas a la independencia del auditor, como la realizacin de trabajos que no sean de auditora (consultora) que: Crean un inters mutuo, o Colocan al auditor en la funcin de defensor de la compaa2.

3. Reglas del Gobierno. Las reglas jurisdiccionales especficas que establecen restricciones al trabajo
realizado por los auditores fuera del rol de auditora (aseguramiento), pueden ser aplicables slo a los auditores que realizan la auditora externa (de estados contables o estatutaria), o pueden ser aplicables a los auditores que realizan todo tipo de auditoras. Es ms, las reglas pueden haber sido establecidas en la legislacin que permite la funcin de auditora, impuesta por organismos de vigilancia o regulacin, o incluidas en los cdigos de tica o normas de auditora requeridas para las auditoras de organizaciones o jurisdicciones especficas3. Es responsabilidad del Director Ejecutivo de Auditora (DEA) asegurar que el Estatuto de la funcin de auditora y sus polticas y procedimientos cumplan con las reglas de gobierno relevantes. Incluso donde la funcin de auditora no est sujeta a reglas de gobierno que restringen los servicios distintos de auditora (consultora), los DEA tendrn que asegurar que el sistema de aseguramiento de calidad est diseado para gestionar o minimizar las amenazas a la independencia u objetividad del auditor. De no ser as, los trabajos distintos de auditora (consultora) podran, a largo plazo, comprometer la capacidad de la funcin de auditora de llevar a cabo su rol de auditora (aseguramiento). Adems, un
1

Este principio ha sido enunciado claramente por numerosos organismos normativos, incluyendo las guas tcnicas publicadas por el IAASB/IFAC en su Cdigo de tica Profesional, y la Oficina de Responsabilidad Gubernamental de los EE.UU. en sus Normas de Auditora Gubernamental de Aceptacin General. 2 Este riesgo est mencionado en el Informe Smith de Enero de 2003, en Gua sobre Comits de Auditoria y Cdigo Combinado, determinado por el Consejo de Informacin Financiera, y est tratado en la gua tcnica publicada por el ICAEW (Instituto de Contadores Pblicos de Inglaterra y Gales), entre otros. 3 Como ejemplo de restricciones especficas podemos mencionar la Norma de Auditora Interna del Gobierno del Reino Unido nmero 2.4.2, que establece que: Se presume que se menoscaba la objetividad cuando los auditores, en forma individual, revisan cualquier actividad sobre la cual hayan tenido responsabilidades ejecutivas previas, o a la cual hayan proporcionado asesoramiento de consultor. Esta norma est complementada por la Gua sobre las Buenas Prcticas de Consultora, que establece lo siguiente: En el cumplimiento de su rol, es importante que los auditores internos ofrezcan consejo a la gerencia y que no lleven a cabo la tarea en nombre de la gerencia o sustituyndole. La aceptacin del consejo que ofrece el auditor interno por parte de la gerencia no transfiere ni reduce la responsabilidad de esta ltima sobre sus propias reas de responsabilidad. (3.5.3)

15

trabajo que no sea de auditora (consultora) realizado por una funcin de auditora que comprometa su independencia podra impedir que otros auditores confen en el trabajo de aqulla.

4. Actividades que Comprometen la Objetividad o Independencia. La capacidad del auditor para

realizar trabajos que no sean de auditora (consultora) sin comprometer su independencia depende, hasta cierto punto, de dnde se establece el lmite entre ayudar o asesorar en el sentido de aconsejar, por contraposicin a ayudar mediante la realizacin de un trabajo que es responsabilidad de la gerencia. Por ejemplo, brindar consejo sobre controles apropiados durante el diseo de un sistema teniendo la definicin clara de que la gerencia es quien tiene la responsabilidad de aceptar o rechazar ese consejo tendra un impacto limitado sobre la objetividad del auditor respecto de ese sistema en el futuro. En cambio, si el auditor lider el equipo de diseo del sistema, decidi qu controles seleccionar, o supervis la implementacin de los controles recomendados, la capacidad futura del auditor para evaluar objetivamente ese sistema se vera seriamente menoscabada. Sin embargo, otros trabajos que no son de auditora pueden no tener un lmite tan claro, por lo que las funciones de auditora necesitan desarrollar procedimientos para revisar los potenciales trabajos que no son de auditora (consultora) y determinar si presentan alguna amenaza a su independencia u objetividad. Esta revisin debe ser documentada y dicha documentacin debe ser proporcionada a los revisores de control de calidad externos durante los trabajos de revisin de aseguramiento de la calidad.

5. Procesos para Minimizar las Amenazas a la Objetividad o Independencia. La funcin de auditora

debe implementar controles que ayuden a reducir la posibilidad de que los proyectos que no son de auditora (consultora) comprometan la objetividad de los auditores en forma individual, o la independencia de la funcin de auditora como un todo. Estas tcnicas pueden ser: a. Definir en el Estatuto los parmetros de los servicios que no son de auditora (consultora). b. Establecer polticas y procedimientos que limiten el tipo, naturaleza o nivel de la participacin en proyectos que no son de auditora (consultora). c. Utilizar un proceso de seleccin para los proyectos que no son de auditora (consultora), con lmites para aceptar trabajos que pudieran amenazar la objetividad. d. Separar las unidades que realizan trabajos que no son de auditora (consultora) de aquellas que realizan trabajos de auditora (aseguramiento), dentro de la misma funcin de auditora. e. Rotar a los auditores entre los distintos trabajos. f. Emplear proveedores externos para llevar a cabo los trabajos que no son de auditora (consultora), o para realizar los trabajos de aseguramiento en las actividades donde se determin que la participacin de la funcin de auditora en trabajos distintos de auditora (consultora) ha menoscabado su objetividad o independencia. g. Declarar en los informes de auditora cuando la objetividad ha sido menoscabada por la participacin en un trabajo anterior distinto de auditora (consultora).

A continuacin, en el Anexo A, se muestran ejemplos de cmo redactar algunas de estas tcnicas de control.

Anexo A Ejemplos de Tcnicas de Control para Minimizar las Amenazas a la Independencia del Auditor Texto de un Estatuto que define los parmetros de los servicios que no son de auditora (consultora). El texto del Estatuto establecer los lmites dentro de los cuales operar la funcin de auditora, si bien no detallar los servicios especficos que podra o no podra proporcionar. En consecuencia, si se han descrito en otro lugar del Estatuto las lneas bsicas para la independencia, o se ha hecho referencia en el mismo a normas de auditora especficamente aplicables, puede que el Estatuto slo necesite hacer referencia a aquellos otros requisitos que establecen parmetros para los servicios que

16

se brindarn. A continuacin se muestran tres ejemplos de texto de Estatuto. En dos de ellos, los servicios que no son de auditora (consultora) sern posibles slo cuando no comprometan la independencia u objetividad, y en el otro ejemplo se trata de una funcin de auditora a la que se le puede encomendar efectuar un trabajo que es normalmente responsabilidad de la direccin.

Caso en el que la funcin de auditora brindar servicios que no son de auditora (consultora) slo cuando no comprometan la objetividad o independencia: El auditor tambin podr ayudar al alcalde, al concejo municipal y al personal gerencial a cumplir sus responsabilidades brindndoles informacin objetiva y oportuna sobre la realizacin de las operaciones de la ciudad o aconsejndoles sobre controles de gestin apropiados, de acuerdo con las Normas de Auditora (nombre que corresponda)." El departamento de auditora interna puede desempear otras funciones, distintas de auditora, siempre que sean consistentes con las dems disposiciones de este Estatuto, y preparar y enviar los informes correspondiente, tal como le asign la Comisin."

Caso en el que la funcin de auditora brindar un amplio rango de servicios distintos de auditora, an cuando algunos de ellos puedan amenazar la objetividad o independencia del trabajo de auditora: De tanto en tanto, se le puede encomendar al auditor participar en actividades distintas de auditora para la Agencia, con el fin de ayudar al Director Ejecutivo y a los gerentes en el ejercicio de sus responsabilidades, segn lo ha autorizado el Comit de Auditora."

Polticas y procedimientos que limitan el tipo, naturaleza o nivel de participacin en proyectos distintos de auditora (consultora); o Establecimiento de controles que minimizan futuras amenazas a la objetividad o independencia por la participacin en trabajos distintos de auditora. Si los auditores desempean funciones gerenciales para la organizacin, la unidad de auditora debera establecer polticas y procedimientos relevantes. Especficamente, estas polticas deberan prohibir a esas personas planificar, realizar o revisar futuras auditoras del tema al que se refiri el servicio distinto de auditora (consultora). Ms an, si la funcin de auditora realiza un trabajo que no es de auditora (consultora) que afectar la independencia u objetividad de toda la funcin de auditora, se debera notificar a la entidad que vigila la funcin de auditora (por ejemplo, el comit de auditora), antes de que comience el trabajo, del menoscabo a la independencia de auditora en cualquier trabajo futuro de auditora que se realice en esa rea. En caso de que la funcin de auditora decida realizar la auditora en la actividad donde existe tal menoscabo, deber dejar constancia de ello en el informe de auditora. Estas prohibiciones podrn ser ms moderadas si se producen cambios significativos en el tema del rea despus de haber realizado el trabajo de ayuda o si dicho trabajo fue efectuado bajo ciertos mnimos, por ejemplo, "menos de 40 horas". El siguiente ejemplo de poltica y procedimiento describe servicios distintos de auditora (consultora) e incluye un texto (vase el subrayado) que limita los servicios dentro de parmetros, con el fin de minimizar las amenazas a la objetividad e independencia de los auditores. Poltica: Adems de los servicios de auditora, la Oficina del Auditor brinda otros tres tipos de servicios a la direccin en la jurisdiccin, o a solicitud de la Comisin: Aseguramiento de Calidad para proyectos en proceso, Consultora y Capacitacin, y facilitacin de talleres de trabajo en Autoevaluaciones de Control. A continuacin se detallan los parmetros para cada tipo de servicio. Servicios de Aseguramiento de Calidad: Cuando proporcione servicios de aseguramiento de calidad, la Oficina del Auditor del Ayuntamiento vigilar y ayudar en los procesos en curso evaluando que:

17

se cumplan los objetivos del proyecto, y que sean razonables; todas las opciones hayan sido identificadas y cuidadosamente analizadas; los anlisis cuantitativos y cualitativos sean completos y precisos; se haya establecido un plan para el proyecto, y que el personal asignado al proyecto est siguiendo el plan; y las mejores prcticas utilizadas por otras jurisdicciones para cumplir los objetivos del proyecto puedan ser adoptadas en el Ayuntamiento. Servicios de Consultora y Capacitacin: El personal de auditora est disponible para brindar ayuda y capacitacin al personal del Ayuntamiento en lo que respecta a disear los sistemas de responsabilidad de gestin y las operaciones de reingeniera. El personal de auditora cumple slo una funcin de consultor y la direccin debe aceptar su responsabilidad para implementar cualquier sugerencia. Facilitacin de Talleres de Trabajo en Autoevaluacin de Control: En este proceso de auditora un equipo de empleados se rene con los auditores para mantener debates estructurados sobre cmo cumplir sus objetivos de la forma ms eficaz y eficiente posible. Se elaboran planes de accin, en lugar de un informe formal de auditora, para superar los obstculos que se presentan a los objetivos. Los miembros del equipo de empleados son los responsables de implementar todos los pasos del plan de accin. El ejemplo de procedimiento que se indica a continuacin aclara las acciones a tomar por la funcin de auditora cuando se aceptan trabajos que no son de auditora (consultora), que amenazan la independencia y objetividad de los futuros trabajos de aseguramiento (auditora): Cuando el Comit de Auditora solicita a la funcin de auditora que realice trabajos distintos de auditora, los cuales el Director Ejecutivo de Auditora (DEA) determina que menoscabarn la independencia de la funcin de auditora o la objetividad de algn auditor individual para realizar futuros trabajos de auditora, se debern seguir los siguientes procedimientos: 1. Antes de comenzar un trabajo que no es de auditora, el DEA comunicar por escrito al Comit de Auditora que el trabajo solicitado menoscabar la independencia u objetividad, describir la naturaleza de tal menoscabo e indicar sus consecuencias para futuros trabajos de auditora (por ejemplo, que la funcin de auditora no podr realizar tareas de auditora en esa rea, o que el Comit de Auditora tendr que contratar a un proveedor externo para realizar futuras auditoras all). El DEA debe requerir una respuesta escrita del Comit de Auditora, donde le indique si debe realizar o no la tarea que no es de auditora. 2. Si el Comit de Auditora indica que la funcin de auditora debe realizar el trabajo que no es de auditora, el DEA dejar constancia del menoscabo que se producir en: La documentacin de ese trabajo, con copia a la gerencia responsable del mismo; El plan anual de trabajos de la funcin de auditora; y Las comunicaciones de la funcin de auditora con los proveedores externos de aseguramiento de calidad en ocasin de su prxima revisin. Si el Comit de Auditora decide que la funcin de auditora debe realizar una auditora que incluye en su alcance actividades u operaciones que formaron parte de un anterior trabajo suyo que no fue de auditora, respecto del cual el DEA determin que creara un menoscabo para futuros trabajos de auditora, debern llevarse a cabo los siguientes procedimientos: 1. Antes de comenzar el trabajo de auditora, el DEA comunicar por escrito al Comit de Auditora tal menoscabo y ofrecer opciones para llevar a cabo el trabajo con la mxima objetividad posible (por ejemplo, contratando a un proveedor externo, o solicitando ayuda a auditores de entidades asociadas o de regulacin). 2. Si el Comit de Auditora decide que la funcin de auditora proceda con el trabajo de auditora, el DEA documentar el menoscabo en: La planificacin del trabajo de auditora, y El informe final de dicho trabajo.

18

3. Adems, el DEA declarar este hecho y proporcionar la documentacin completa al proveedor externo de aseguramiento de calidad de la funcin de auditora en ocasin de su prxima revisin.

Proceso de seleccin para proyectos que no son de auditora (consultora). Cuando acepten y realicen trabajos de consultora, los auditores documentarn sus razones para brindar servicios de consultora y demostrarn su criterio de que dichos servicios no violarn los elementos centrales del rol de auditora. Esta informacin debe declararse a los revisores externos de aseguramiento de calidad. A continuacin brindamos un ejemplo de poltica de seleccin: 1. Al recibir una solicitud de servicios que no son de auditora (consultora), el Departamento de Auditora Interna considerar si brindar tales servicios acarrear un menoscabo personal, real o aparente, que afectara adversamente tanto la objetividad del auditor asignado como la independencia de todo el departamento para realizar trabajos futuros de auditora en esa misma rea. Si se determina que el trabajo constituye un menoscabo a la independencia u objetividad, deber declinarse la solicitud. En este caso, los factores y la conclusin final sern documentados en un memorando, dirigido al solicitante de los servicios. 2. Antes de desempear servicios que no son de auditora (consultora), el auditor a cargo redactar un acuerdo con el o los solicitantes, aclarando que stos son los responsables del producto del trabajo y, por tanto, tienen responsabilidad, real y aparente, para juzgar los resultados de dicho trabajo. El Departamento de Auditora Interna establecer un acuerdo con el o los solicitantes respecto del objetivo, alcance y limitaciones impuestas a estos servicios que no son de auditora (consultora).

19

Consejo para la Prctica 1100-1: Independencia y Objetividad

Interpretacin de la Norma 1100 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 1100 Independencia y Objetividad La actividad de auditora interna debe ser independiente, y los auditores internos deben ser objetivos en el cumplimiento de su trabajo. (Fuente: Libro Rojo 100) Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias al evaluar la independencia y objetividad. Esta gua no pretende abarcar todas las consideraciones que pudieran ser necesarias al realizar tal evaluacin, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

1.

Los auditores internos son independientes cuando pueden realizar su trabajo libre y objetivamente. La independencia permite a los auditores internos emitir juicios imparciales y equilibrados, lo cual es esencial para realizar adecuadamente los trabajos. Esto se consigue con objetividad y con la existencia de un nivel jerrquico determinado dentro de la organizacin. (Fuente: Libro Rojo 100.01)

Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher.

20

Consejo para la Prctica 1110-1: Independencia de la Organizacin

Interpretacin de la Norma 1110 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 1110 Independencia de la Organizacin El director ejecutivo de auditora debe responder a un nivel jerrquico tal dentro de la organizacin que permita a la actividad de auditora interna cumplir con sus responsabilidades. (Fuente: Libro Rojo 110) Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguiente sugerencias al evaluar la independencia de la organizacin. Esta gua no pretende abarcar todas las consideraciones que pudieran ser necesarias durante dicha evaluacin, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

1. Los auditores internos deben tener el apoyo de la direccin y del Consejo, de tal forma que puedan obtener la cooperacin de sus clientes y realizar el trabajo libre de interferencias. (Fuente: Libro Rojo 110.01) 2. El director ejecutivo de auditora debe depender, en la organizacin, de una persona con suficiente autoridad para promover la independencia y garantizar una amplia cobertura de la auditora, as como la adecuada consideracin de las comunicaciones del trabajo y de las acciones apropiadas sobre las recomendaciones efectuadas. (Fuente: Libro Rojo 110.01.1) 3. Idealmente, el director ejecutivo de auditora debera reportar funcionalmente al comit de auditora, al Consejo de Administracin, u otras autoridades de gobierno apropiadas, y administrativamente al director general (chief executive officer) de la organizacin. (Fuente: Nuevo) 4. El director ejecutivo de auditora debe tener comunicacin directa con el Consejo, el comit de auditora u otras autoridades de gobierno apropiadas. La comunicacin directa con el Consejo ayuda a asegurar la independencia y es un medio para que, tanto el Consejo como el director ejecutivo de auditora, se informen mutuamente en cuestiones de inters para ambos. (Fuente: Libro Rojo 110.01.2) 5. La comunicacin directa tiene lugar cuando el director ejecutivo de auditora asiste y participa regularmente en las reuniones del Consejo, del comit de auditora o de otras autoridades de gobierno apropiadas, que tratan de las responsabilidades de supervisin de stos sobre la auditora, la informacin financiera, el gobierno de la organizacin, y el control. La asistencia y participacin del director ejecutivo de auditora a dichas reuniones proporciona una oportunidad para intercambiar informacin concerniente a los planes y actividades de la actividad de auditora interna. El director ejecutivo de auditora debe reunirse en privado con el Consejo, el comit de auditora u otras autoridades de gobierno apropiadas, al menos una vez al ao. (Fuente: Libro Rojo 110.01.2.a) 6. La independencia se reafirma cuando el Consejo interviene en el nombramiento o cese del director ejecutivo de auditora. (Fuente: Libro Rojo 110.01.3)
Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without January 5, 2001

21

prior written permission of the publisher.

Consejo para la Prctica 1110.A1-1: Comunicar los Motivos de un Pedido de Informacin

Interpretacin de la Norma 1110.A1 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 1110.A1 La actividad de auditora interna debe estar libre de injerencias al determinar el alcance de auditora interna, al desempear su trabajo y al comunicar sus resultados. (Fuente: Libro Rojo 110) Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias cuando se les requiera comunicar los motivos de un pedido de informacin. Esta gua no pretende abarcar todas las consideraciones que pudieran ser necesarias, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

1. En ciertas ocasiones, el auditor interno puede ser consultado por el cliente de un trabajo de auditora interna u otros interesados respecto de porqu un documento que l ha solicitado es relevante para su trabajo. La decisin de comunicar o no comunicar los motivos por los cuales ciertos documentos son necesarios durante un trabajo, deber determinarse de acuerdo con las circunstancias. La existencia de irregularidades significativas puede indicar un entorno menos abierto de lo que normalmente conducira a un trabajo en colaboracin. Sin embargo, este es un juicio que debe hacer el director ejecutivo de auditora a la luz de las circunstancias especficas. (Fuente: PSPR 96-11)
Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher.

22

Consejo para la Prctica 1110-2: Lneas de Reporte del Director Ejecutivo de Auditora
Interpretacin de la Norma 1110 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 1110 Independencia de la Organizacin El director ejecutivo de auditora debe responder ante un nivel jerrquico tal dentro de la organizacin que permita a la actividad de auditora interna cumplir con sus responsabilidades Naturaleza de este Consejo para la Prctica: Los auditores internos deben tener en cuenta la siguiente gua al establecer o evaluar las lneas de reporte y relaciones con los ejecutivos de la organizacin a quienes reporta el director ejecutivo de auditora. Esta gua no pretende abarcar todas las consideraciones que puedan ser necesarias durante tal evaluacin, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

1. Las Normas para el Ejercicio Profesional de la Auditora Interna (las Normas) del IIA requieren que el director ejecutivo de auditora (DEA) reporte a un nivel jerrquico tal dentro de la organizacin que permita a la actividad de auditora interna cumplir con sus responsabilidades. El Instituto considera firmemente que para alcanzar la independencia necesaria, el DEA debe reportar funcionalmente al comit de auditora o su equivalente. Para propsitos administrativos, en la mayora de las circunstancias, el DEA debe reportar directamente al Director General (chief executive officer - CEO) de la organizacin. A continuacin se proporciona una descripcin de lo que el IIA considera reporte funcional y reporte administrativo para ayudar a centrar el tema tratado en este Consejo para la Prctica.

Reporte Funcional La lnea de reporte funcional para la funcin de auditora interna es el recurso fundamental para su independencia y autoridad. Como tal, el IIA recomienda que el DEA reporte funcionalmente al comit de auditora, al Consejo de Administracin u otras autoridades de gobierno apropiadas. En este contexto, reportar funcionalmente significa que la autoridad de gobierno:
o Aprueba el Estatuto general de la funcin de auditora interna. o Aprueba la evaluacin de riesgos de auditora interna y el plan de auditora relacionado. o Recibe comunicaciones de parte del DEA sobre los resultados de las actividades de auditora

interna u otros asuntos que considere necesarios e incluso mantiene reuniones privadas con el DEA sin la presencia de la direccin.
o Aprueba todas las decisiones referidas a la designacin o destitucin del DEA. o Aprueba la retribucin anual y los ajustes salariales del DEA.

Realiza las averiguaciones necesarias con la direccin y el DEA para determinar si hay limitaciones al alcance o de presupuesto que impidan a auditora interna cumplir con sus responsabilidades.

23

Reporte Administrativo El reporte administrativo es la relacin dentro de la estructura gerencial de la organizacin que facilita las operaciones del da a da de la funcin de auditora interna. El reporte administrativo comprende, tpicamente, lo siguiente:
o Presupuesto y gestin contable. o Administracin de recursos humanos, incluyendo las evaluaciones del personal y sus

retribuciones.
o Comunicaciones internas y flujos de informacin. o Administracin de las polticas y procedimientos de la organizacin.

2. Este Consejo para la Prctica se centra en las consideraciones para establecer o evaluar las lneas de reporte del DEA. Mantener adecuadas lneas de reporte es decisivo para lograr independencia, objetividad y la estatura organizacional que necesita una funcin de auditora interna para cumplir con sus obligaciones. Adems, es decisivo para asegurar un apropiado flujo de informacin y el acceso a ejecutivos y gerentes clave, que sern la base para la evaluacin de riesgos y para informar los resultados de las actividades de auditora. A la inversa, cualquier relacin de reporte que impida la independencia y la eficacia de las operaciones de auditora interna debe ser considerada por parte del DEA como una seria limitacin al alcance, que debera ser llevada a la atencin del comit de auditora o su equivalente. 3. Este Consejo para la Prctica tambin reconoce que las lneas de reporte del DEA reciben el impacto de la naturaleza de la organizacin (ya sea pblica o privada, as como su tamao relativo); de las prcticas comunes en cada pas; del grado de complejidad creciente de las organizaciones (joint ventures, corporaciones multinacionales con subsidiarias); y de la tendencia de los grupos de auditora interna a proporcionar servicios de valor agregado con una mayor colaboracin de sus clientes sobre las prioridades y alcance. En consecuencia, si bien el IIA considera que existe una estructura de reporte ideal, que es la del reporte funcional al Comit de Auditora y el reporte administrativo al Director General (chief executive officer CEO), puede haber otro tipo de relaciones eficaces en tanto existan claras distinciones entre las lneas de reporte funcional y administrativo y apropiadas actividades en cada lnea, de modo de asegurar que se mantengan la independencia y el alcance de las actividades. Los auditores internos debern ejercer su criterio profesional para determinar el grado de aplicacin de la gua proporcionada por este Consejo en cada situacin en particular. 4. Las Normas acentan la importancia de que el director ejecutivo de auditora reporte a una persona con suficiente autoridad como para promover la independencia y asegurar una amplia cobertura de auditora. Las Normas son, en cierto sentido, deliberadamente genricas respecto de las relaciones de reporte, dado que han sido diseadas para ser aplicables a todas las organizaciones sin importar su tamao u otro tipo de factores. Los factores que no permiten tener una frmula nica para todos los casos comprenden el tamao de la organizacin y su tipo (privado, gubernamental, corporativo). En consecuencia, el DEA debe tener en cuenta los siguientes atributos al evaluar la adecuacin de la lnea de reporte administrativo:

Tiene la persona la suficiente autoridad y rango jerrquico para asegurar la eficacia de la funcin? Tiene la persona una mentalidad de control y gobierno apropiada para asistir al DEA en su funcin? Tiene la persona tiempo e inters de apoyar activamente al DEA en los asuntos de auditora? La persona entiende y apoya la relacin de reporte funcional? 24

5. El DEA debe asegurar tambin que se mantenga una adecuada independencia en caso de que la persona responsable de la lnea de reporte administrativo sea tambin responsable de otras actividades en la organizacin que sean objeto de auditora interna. Por ejemplo, algunos directores ejecutivos de auditora reportan administrativamente al Director Financiero (chief financial officer CFO), quien es el responsable de las funciones contables de la organizacin. La funcin de auditora interna debe tener la libertad de auditar e informar sobre cualquier tipo de actividades, aunque reporten a su cabeza administrativa, si as lo considera para mantener la cobertura adecuada de su plan de auditora. Cualquier limitacin al alcance o a la informacin de resultados de este tipo de actividades debe ser llevado a la atencin del comit de auditora. 6. Ante los recientes cambios tendientes a una legislacin y regulaciones ms estrictas en cuanto a la informacin contable que se estn llevando a cabo en todo el mundo, las lneas de reporte del DEA deben ser apropiadas para permitir a la actividad de auditora interna cumplir con las necesidades crecientes del comit de auditora u otras partes interesadas. Cada vez ms, se le requiere al DEA asumir un rol ms significativo en las actividades de gobierno y gestin de riesgos de la organizacin. Las lneas de reporte del DEA deben facilitar la capacidad de la actividad de auditora interna para cumplir con estas expectativas. 7. Sin importar cul sea la relacin de reporte que elija la organizacin, hay varias acciones clave que pueden ayudar a asegurar que las lneas de reporte apoyen y permitan la eficacia e independencia de la actividad de auditora interna.

Reporte Funcional:
o o o o

La lnea de reporte funcional debe ir directamente al comit de auditora o su equivalente, para asegurar el nivel adecuado de independencia y comunicacin. El DEA debe reunirse en privado con el comit de auditora o su equivalente, sin la presencia de gerentes, para reforzar la independencia y naturaleza de esta relacin de reporte. El comit de auditora debe tener la autoridad final para revisar y aprobar el plan anual de auditora y cualquier modificacin importante a dicho plan. En todo momento, el DEA debe tener acceso abierto y directo al Presidente del comit de auditora y a sus dems miembros; o al Presidente del Consejo de Administracin o a todos sus miembros, si es apropiado. Al menos una vez al ao, el comit de auditora debe revisar el desempeo del DEA y aprobar su retribucin anual y ajustes salariales. El Estatuto de la funcin de auditora interna debe establecer claramente tanto las lneas de reporte funcional como administrativo para esta funcin, as como las actividades principales dirigidas hacia cada lnea.

o o

Reporte Administrativo:
o

La lnea de reporte administrativo del DEA debe ser con el Director General (chief executive officer CEO) u otro ejecutivo con suficiente autoridad para dar apoyo al cumplimiento de sus actividades del da a da. Este apoyo comprende posicionar a la funcin de auditora y al DEA en la estructura de la organizacin de modo de proporcionar la suficiente jerarqua a la funcin dentro de la organizacin. Un reporte demasiado bajo en la organizacin puede impactar negativamente en la posicin y eficacia de la funcin de auditora interna. 25

o o

La lnea de reporte administrativo no debe tener autoridad final sobre el alcance o la informacin de resultados de la actividad de auditora interna. La lnea de reporte administrativo debe facilitar las comunicaciones abiertas y directas con la gerencia ejecutiva y de lnea. El DEA debe poder comunicarse directamente con cualquier nivel de direccin, incluso con el Director General (chief executive officer CEO). La lnea de reporte administrativo debe permitir comunicaciones y flujo de informacin adecuados, de modo tal que el DEA y la funcin de auditora interna obtengan un flujo de informacin adecuado y oportuno sobre las actividades, planes e iniciativas de negocio de la organizacin. Los controles y consideraciones presupuestarios impuestos por la lnea de reporte administrativo no deben impedir la capacidad de la funcin de auditora interna para cumplir con su misin.

8. Los directores ejecutivos de auditora tambin deben tener en cuenta sus relaciones con otras funciones de control y supervisin (gestin de riesgos, cumplimiento, seguridad, legal, medioambiental, auditora externa) y facilitar la informacin de asuntos de control y riesgo materiales al comit de auditora.
Copyright 2002, The Institute of Internal Auditors, 247 Maitland Avenue, Altamonte Springs, Florida 32701-4201, USA. Todos los derechos reservados. De acuerdo con las leyes de derechos de autor, ninguna parte de este documento puede ser preproducida, almacenada en un sistema de copiado o transmitida en forma alguna por ningn medio electrnico, mecnico, fotocopiado, grabacin o cualquier otro- sin el permiso Escrito previo del editor. Origen: 3 de diciembre de 2002.

26

Consejo para la Prctica 1120-1: Objetividad Individual

Interpretacin de la Norma 1120 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 1120 Objetividad Individual Los auditores internos deben tener una actitud imparcial y neutral, y evitar conflictos de intereses(Fuente: Libro Rojo 120) Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias al evaluar la objetividad individual. Esta gua no pretende abarcar todas las consideraciones que pudieran ser necesarias durante dicha evaluacin, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

1. La objetividad es una actitud mental independiente que deben mantener los auditores internos en la realizacin de sus trabajos. Los auditores internos no deben subordinar su juicio al de otros sobre temas de auditora. (Fuente: Libro Rojo 120.01) 2. La objetividad exige que los auditores internos lleven a cabo sus trabajos con honesta confianza en el producto de su labor y sin comprometer su calidad. Los auditores internos no han de colocarse en situaciones donde se sientan incapaces de emitir juicios profesionales objetivos. (Fuente: Libro Rojo 120.02) 3. La asignacin de tareas del personal debe realizarse de forma que se eviten prejuicios o conflictos de intereses reales o potenciales. Peridicamente, el director de auditora interna debe obtener del personal de auditora interna informacin concerniente a conflictos de intereses y prejuicios potenciales. La asignacin de tareas al personal de auditora interna debe realizarse de forma rotativa, siempre y cuando sea posible. (Fuente: Libro Rojo 120.02) 4. Los resultados de la labor de auditora interna deben revisarse antes de emitir las comunicaciones correspondientes al trabajo, para asegurar razonablemente que el trabajo se ha efectuado de manera objetiva. (Fuente: Libro Rojo 120.02.6) 5. No es tico para un auditor interno recibir dinero o regalos de un empleado, cliente, proveedor o persona relacionada con el negocio. La aceptacin de dinero o de un regalo puede crear la apariencia de que la objetividad del auditor interno ha sido afectada. La apariencia de que la objetividad ha sido afectada puede aplicarse a trabajos actuales o futuros conducidos por el auditor. El estado de los trabajos no debe ser considerado como justificacin para recibir dinero o regalos. Recibir elementos de promocin (tales como lpices, calendarios, o muestras) que estn a disposicin del pblico en general y tengan un mnimo valor no deben obstruir los juicios profesionales del auditor interno. Los auditores internos deben informar el ofrecimiento de todo dinero o regalos materiales de inmediato a sus supervisores. (Fuente: PSPR 9621)
Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher. January 5, 2001

27

Consejo para la Prctica 1130-1: Impedimentos a la Independencia u Objetividad

Interpretacin de la Norma 1130 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 1130 Impedimentos Naturaleza de este Consejo para la Prctica: a la Independencia u Objetividad Los auditores internos deben tener en cuenta las siguientes sugerencias al evaluar impedimentos a la independencia u Si la independencia u objetividad se viese objetividad. Esta gua no pretende abarcar todas las comprometida de hecho o en apariencia, los consideraciones que pudieran ser necesarias durante dicha detalles del impedimento deben darse a evaluacin, sino ser simplemente un conjunto de temas conocer a las partes correspondientes. La recomendados para ser tenidos en cuenta. El cumplimiento de naturaleza de esta comunicacin depender este Consejo para la Prctica es opcional. del impedimento. (Fuente: Libro Rojo 120.02)

1.

Los auditores internos deben informar al director ejecutivo de auditora sobre cualquier situacin en la que se presenten o puedan, razonablemente, presentarse conflictos de intereses o prejuicios. El director ejecutivo de auditora debe entonces reasignar a tales auditores. (Fuente: Libro Rojo 120.02.2) Una limitacin en el mbito de actuacin es una restriccin puesta sobre la actividad de auditora interna le impide cumplir sus planes y objetivos. Una limitacin en el mbito de actuacin puede restringir, entre otras cosas, las siguientes: E l mbito de actuacin o alcance definido en el Estatuto. E l acceso de la actividad de auditora interna a los registros, al personal y a los bienes relevantes para la realizacin de los trabajos. L a programacin aprobada de los trabajos. L a ejecucin de los procedimientos necesarios para el trabajo. E l plan de personal y el presupuesto financiero aprobados. (Fuente: Libro Rojo 110.01.5.b)

2.

3. Cualquier limitacin en el mbito de actuacin y sus efectos potenciales deben ser comunicados, preferentemente por escrito, al Consejo, comit de auditora u otras autoridades de gobierno apropiadas. (Fuente: Libro Rojo 110.01.5.c) 4. El director ejecutivo de auditora debe evaluar si es apropiado volver a informar al Consejo, comit de auditora u otras autoridades de gobierno apropiadas sobre aquellas limitaciones en el mbito de actuacin que se hubieran comunicado anteriormente a dichos rganos y que fueron aceptadas por los mismos. Esto puede ser necesario, especialmente, cuando ha habido cambios en la organizacin, Consejo, alta direccin u otros. (Fuente: Libro Rojo 110.01.5.d)

28

Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher.

January 5, 2001

29

Consejo para la Prctica 1130.A1-1: Evaluacin de Operaciones de las cuales el Auditor Interno tuvo Responsabilidades Previas
Interpretacin de la Norma 1130.A1 de las Normas para el Ejercicio Profesional de la Auditora Interna Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes Los auditores internos deben abstenerse de sugerencias en caso de que a un auditor se le asigne evaluar evaluar operaciones especficas de las cuales una operacin de la cual haya sido previamente responsable. hayan sido responsables. Se presume que hay Esta gua no pretende abarcar todas las consideraciones que impedimento de objetividad si un auditor pudieran ser necesarias durante dicha evaluacin, sino ser provee servicios de aseguramiento para una simplemente un conjunto de temas recomendados para ser actividad de la cual el mismo haya tenido tenidos en cuenta. El cumplimiento de este Consejo para la responsabilidades en el ao inmediato anterior. Prctica es opcional. (Fuente: Libro Rojo 120.02) Norma Relacionada: 1130.A1

1. Los auditores internos no deben asumir responsabilidades sobre operaciones. Si la alta direccin dirige a los auditores internos a desempear tareas que no sean de auditora, debe entenderse que no las estn desempeando como auditores internos. Ms an, se entiende que la objetividad se ve afectada cuando los auditores internos realizan una revisin de aseguramiento en una actividad en la cual han tenido autoridad o de la cual han sido responsables durante el ao inmediato anterior. Esta circunstancia debe considerarse al comunicar los resultados del trabajo de auditora. (Fuente: Libro Rojo 120.02.4) En caso de que los auditores internos sean dirigidos a desempear tareas que no sean de auditora interna y que puedan afectar su objetividad, tales como la preparacin de conciliaciones bancarias, el director ejecutivo de auditora debe informar a la alta direccin y al Consejo que esa actividad no es una actividad de auditora de aseguramiento; y, en consecuencia, no deberan emitirse conclusiones de auditora sobre la misma. (Fuente: PSPR 97-12) Adems, cuando se asignan responsabilidades operativas a la actividad de auditora interna, debe darse especial atencin a asegurar la objetividad en ocasin de realizar un posterior trabajo de aseguramiento en las reas operativas relacionadas. Se entiende que la objetividad est afectada cuando los auditores internos deben auditar cualquier actividad en la cual han tenido autoridad o de la cual han sido responsables dentro del ao inmediato anterior. Estos hechos deben ser claramente establecidos al comunicar los resultados de un trabajo de auditora relacionado con un rea en la cual un auditor haya tenido responsabilidades operativas. (Fuente: PSPR 97-12) 2. En cualquier caso en que las actividades asignadas impliquen la presuncin de autoridad operativa, la objetividad de la auditora ser considerada afectada con respecto a dichas actividades. (Fuente: PSPR 96-18) 3. Las personas transferidas a/o utilizadas temporalmente por la actividad de auditora interna no deben ser asignadas a auditar aquellas actividades que realizaron anteriormente, hasta que haya transcurrido un perodo razonable de tiempo (al menos un ao). Se entiende que dichas 30

asignaciones afectan a la objetividad y debe tenerse en cuenta este hecho al supervisar el trabajo y al comunicar los resultados del mismo. (Fuente: Libro Rojo 120.02.5) 4. La objetividad del auditor interno no se ve afectada cuando recomienda normas de control para sistemas o cuando revisa procedimientos antes de que sean implantados. Se considera que la objetividad del auditor interno se ve afectada si el auditor disea, instala, hace proyectos de procedimientos u opera dichos sistemas. (Fuente: Libro Rojo 120.03) 5. El desempeo ocasional de trabajos que no sean de auditora por parte del auditor interno, comunicados claramente en el proceso de informe, no necesariamente afecta su independencia. Sin embargo, en estos casos se requerir especial consideracin por parte de la direccin y del auditor interno para evitar afectar adversamente la objetividad del auditor interno. (Fuente: PSPR 96-13)
Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher. January 5, 2001

31

Consejo para la Prctica 1130.A1-2: Responsabilidad de Auditora Interna en Funciones Distintas de Auditora
Interpretacin de la Norma 1130.A1 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 1130.A1 - Los auditores internos deben abstenerse de evaluar operaciones especficas de las cuales hayan sido previamente responsables. Se presume que hay un impedimento de objetividad si un auditor provee servicios de aseguramiento para una actividad de la cual el mismo haya tenido responsabilidades en el ao inmediato anterior. (Fuente: Libro Rojo 120.02.4). Naturaleza de este Consejo para la Prctica: La siguiente gua es ofrecida a los auditores internos que deban afrontar la aceptacin de responsabilidades por funciones o tareas operativas, distintas de auditora. La aceptacin de tales responsabilidades puede menoscabar la independencia y objetividad, por lo cual, de ser posible, deben ser evitadas. Esta gua no pretende abarcar todas las consideraciones que puedan ser necesarias al evaluar tales responsabilidades o asignaciones. El cumplimiento de este Consejo para la Prctica es opcional.

1. A algunos auditores internos se les han asignado o han aceptado tareas distintas de auditora, debido a diversas razones de negocio que tienen sentido para la direccin de la organizacin. Cada vez con ms frecuencia se les solicita a los auditores internos desempear funciones y responsabilidades que pueden afectar su independencia y objetividad. Dada la demanda creciente de las organizaciones, tanto pblicas como privadas, de desarrollar operaciones ms eficientes y eficaces y de hacerlo con menos recursos, algunas actividades de auditora interna son dirigidas por la direccin de sus organizaciones a asumir responsabilidades por operaciones que son objeto de evaluaciones peridicas de auditora interna. 2. Cuando la actividad de auditora interna o el auditor individual es responsable de una operacin que podra ser auditada por el mismo, o bien cuando la direccin est considerando asignarle dicha responsabilidad, la independencia y objetividad del auditor interno puede verse afectada. El auditor interno debe tener en cuenta los siguientes factores al evaluar el impacto sobre la independencia y objetividad:

Los requerimientos del Cdigo de tica y de las Normas para el Ejercicio Profesional de la Auditora Interna (las Normas) del IIA; Las expectativas de las partes interesadas, que podran ser los accionistas, Consejo de Administracin, comit de auditora, direccin, cuerpos legislativos, entidades pblicas, organismos de regulacin, y grupos de inters pblico; Las autorizaciones y restricciones contenidas en el Estatuto de la actividad de auditora interna; Las declaraciones requeridas por las Normas; y La subsiguiente cobertura de auditora en las actividades o responsabilidades aceptadas por el auditor interno.

3. Los auditores internos deben tener en cuenta los siguientes factores para determinar el curso de accin apropiado cuando se les presente la oportunidad de aceptar la responsabilidad de una funcin distinta de auditora: 32

A. El Cdigo de tica y las Normas del IIA requieren que la actividad de auditora interna sea independiente y que los auditores internos sean objetivos en el desempeo de su trabajo.

De ser posible, los auditores internos deben evitar aceptar responsabilidades por funciones o tareas distintas de auditora, que sean objeto de evaluaciones peridicas por parte de auditora interna. Si esto no fuera posible, entonces: El impedimento a la independencia y objetividad deben ser declarados a las partes apropiadas, y la naturaleza de esta declaracin depender del impedimento. Se presume que hay un impedimento de objetividad si un auditor provee servicios de aseguramiento para una actividad de la cual el mismo haya tenido responsabilidades en el ao inmediato anterior. Si en alguna ocasin la direccin dirige a los auditores internos a desempear tareas distintas de auditora, se entender que los mismos no estn desempendose como auditores internos.

B. Las expectativas de las partes interesadas, incluyendo las exigencias legales o de regulaciones, deben ser evaluadas en relacin con el impedimento potencial. C. Si el Estatuto de la actividad de auditora interna contiene restricciones o limitaciones especficas respecto de la asignacin de funciones distintas de auditora al auditor interno, dichas restricciones deben ser declaradas y discutidas con la direccin. Si la direccin insiste en llevar a cabo tal asignacin, el auditor deber declarar y discutir este asunto con el Comit de Auditora o el cuerpo de gobierno apropiado. Si el Estatuto nada dice al respecto, deber tenerse en cuenta la gua establecida en los puntos siguientes. Todos estos puntos estn subordinados a la letra del Estatuto. D. Evaluacin Los resultados de la evaluacin deben ser discutidos con la direccin, el Comit de Auditora, y/o las partes interesadas correspondientes. Debern tomarse decisiones respecto de diversas cuestiones, algunas de las cuales afectan a las otras:

Debe evaluarse la significatividad de la funcin operativa para la organizacin (en trminos de ingresos, gastos, reputacin e influencia). Debe evaluarse la extensin o duracin de la asignacin, as como el alcance de la responsabilidad. Debe evaluarse la adecuacin de la separacin de funciones. Debe tenerse en cuenta el impedimento potencial a la objetividad e independencia o la apariencia de tal impedimento, al informar resultados de auditora.

E. Auditora de la Funcin y Declaracin Dado que la actividad de auditora interna tiene responsabilidades operativas y las operaciones forman parte del plan de auditora, hay varios caminos que el auditor puede seguir.

La auditora puede ser desempeada por una entidad contratada (un tercero), por los auditores externos, o por la funcin de auditora interna. En los dos primeros casos, el impedimento a la objetividad est minimizado por la utilizacin de auditores de fuera de la organizacin. En el ltimo caso, en cambio, la objetividad se vera afectada. Los auditores individuales que tienen responsabilidades operativas no debern participar en la auditora de esa operacin. De ser posible, los auditores que realicen la evaluacin deberan estar supervisados por aquellos cuya independencia u objetividad no ha sido afectada, a quienes tambin deberan informar los resultados de la evaluacin. 33

Deben declararse las responsabilidades operativas del auditor en esta funcin, la significatividad de la operacin para la organizacin (en trminos de ingresos, gastos, u otra informacin pertinente) y la relacin de aquellos que auditen la funcin con el auditor. La declaracin de las responsabilidades operativas del auditor debe efectuarse en el informe de auditora relacionado y en la comunicacin normal del auditor con el Comit de Auditora u otro cuerpo de gobierno.

Copyright 2001, The Institute of Internal Auditors Origen: 1 de febrero de 2001

34

Consejo para la Prctica 1200-1: Pericia y Debido Cuidado Profesional

Interpretacin de la Norma 1200 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 1200 Pericia y Debido Cuidado Profesional Los trabajos deben cumplirse con pericia y con el debido cuidado profesional. (Fuente: Libro Rojo 200) Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias al desempear sus trabajos. Esta gua no pretende abarcar todas las consideraciones que pudieran ser necesarias, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

1. La aptitud profesional es responsabilidad del director ejecutivo de auditora y de cada auditor interno. El director ejecutivo de auditora debe asegurar que las personas asignadas a cada trabajo posean, en conjunto, los conocimientos, tcnicas y otras competencias para desempear el trabajo adecuadamente. (Fuente: Libro Rojo 200.01) 2. Los auditores internos deben cumplir con las normas profesionales de conducta. El Cdigo de tica de The Institute of Internal Auditors abarca mucho ms que la definicin de auditora interna, llegando a incluir dos componentes esenciales: Principios que son relevantes para la profesin y prctica de la auditora interna. Especficamente, integridad, objetividad, confidencialidad y competencia; y; Reglas de Conducta que describen las normas de comportamiento que se espera sean observadas por los auditores internos. Estas reglas son una ayuda para interpretar la aplicacin prctica de los Principios. Su intencin es guiar la conducta tica de los auditores internos. (Fuente: Libro Rojo 240, 240.01)
Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher. Janurary 5, 2001

35

Consejo para la Prctica 1210-1: Pericia

Interpretacin de la Norma 1210 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 1210 Pericia Los auditores internos deben reunir los conocimientos, las aptitudes y otras competencias necesarias para cumplir con sus responsabilidades. La actividad de auditora interna, colectivamente, debe reunir u obtener los conocimientos, las aptitudes y otras competencias necesarias para cumplir con sus responsabilidades. (Fuente: Libro Rojo 220, 250) Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias al evaluar la pericia. Esta gua no pretende abarcar todas las consideraciones que pudieran ser necesarias durante dicha evaluacin, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

1. Todo auditor interno debe poseer ciertos conocimientos, tcnicas y otras competencias, tales como: Aptitud para la aplicacin de las normas, procedimientos y tcnicas de auditora interna al desempear sus trabajos. Se entiende por aptitud, la habilidad para aplicar el conocimiento a situaciones que se puedan producir y a gestionarlas sin recurrir a extensas investigaciones tcnicas y asistencia. Pericia en los principios y tcnicas contables para aquellos auditores que trabajen regularmente con registros e informes financieros. Comprensin de los principios de direccin, para reconocer y evaluar la materialidad y significatividad de las desviaciones de las prcticas empresariales correctas. Esta comprensin significa la habilidad para aplicar amplios conocimientos a situaciones que puedan presentarse, para reconocer las desviaciones significativas, y poder llevar a cabo las investigaciones necesarias para llegar a soluciones razonables. Se requiere una apreciacin de los fundamentos de materias tales como contabilidad, economa, derecho mercantil, tributacin, finanzas, mtodos cuantitativos, y tecnologa informtica. Esta apreciacin significa la habilidad para reconocer la existencia de problemas reales o potenciales y para determinar la investigacin posterior a realizar o la asistencia a obtener. (Fuente: Libro Rojo 250.01)

2.

Los auditores internos deben poseer cualidades para tratar con las personas y comunicarse de forma eficaz. Los auditores internos deben comprender las relaciones humanas y mantener relaciones satisfactorias con los clientes de sus trabajos. Los auditores internos deben poseer capacidades para comunicarse de forma oral y por escrito, de modo que puedan transmitir eficazmente cuestiones tales como los objetivos, las evaluaciones, las conclusiones y las recomendaciones de sus trabajos. (Fuente: Libro Rojo 260) El director ejecutivo de auditora debe establecer los criterios apropiados de educacin y experiencia para cubrir los puestos de auditora interna, teniendo en cuenta el alcance del trabajo y el nivel de responsabilidad. Debe obtenerse una seguridad razonable de las cualidades y 36

3.

4.

aptitudes de cada candidato. (Fuente: Libro Rojo 210) 5. El personal de auditora interna, en conjunto, debe poseer los conocimientos y las tcnicas imprescindibles para la prctica de la profesin dentro de la organizacin. (Fuente: Libro Rojo 220.01)
Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher. January 5, 2001

37

Consejo para la Prctica 1210.A1-1: Obtencin de Servicios para Apoyar o Complementar la Actividad de Auditora Interna
Interpretacin de la Norma 1210.A1 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 1210.A1 Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias en caso de considerar el adquirir servicios adicionales que apoyen la actividad de auditora interna. Esta gua no pretende abarcar todas las consideraciones que pueden ser necesarias, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

El director ejecutivo de auditora debe obtener asesoramiento competente y asistencia si el personal de auditora interna carece de los conocimientos, las aptitudes u otras competencias necesarias para llevar a cabo la totalidad o parte del trabajo. (Fuente: Libro Rojo 210)

1. La actividad de auditora interna debe disponer de empleados o utilizar proveedores de servicios externos que estn cualificados, en disciplinas tales como: contabilidad, auditora, economa, finanzas, estadstica, tecnologa informtica, ingeniera, tributacin, derecho, medio ambiente, y dems reas segn sea necesario para cumplir sus responsabilidades. Sin embargo, cada integrante de la actividad de auditora interna no necesita estar cualificado en la totalidad de estas disciplinas. (Fuente: Libro Rojo 220.02) 2. Un proveedor de servicios externos es una persona o empresa, independiente de la organizacin, que tiene conocimiento, tcnica y experiencia especiales en una disciplina en particular. Entre los proveedores de servicios externos se incluyen, entre otros, los siguientes: actuarios, contables, tasadores, expertos en medio ambiente, investigadores de fraudes, abogados ingenieros, gelogos, expertos en seguridad, estadsticos, expertos en tecnologa informtica, los auditores externos de la organizacin, y otras organizaciones de auditora. Un proveedor de servicios externos puede ser contratado por el Consejo, la alta direccin o el director ejecutivo de auditora. (Fuente: Libro Rojo 220.02.1) 3. Los proveedores de servicios externos pueden ser utilizados por la actividad de auditora interna para asuntos relacionados con los siguientes, entre otros: Actividades de auditora que requieran un conocimiento y tcnica especializados tales como tecnologa informtica, estadstica, tributacin, traduccin de idiomas, o para conseguir los objetivos de la planificacin del trabajo. Tasacin de activos tales como tierras y edificios, obras de arte, piedras preciosas, inversiones y complejos instrumentos financieros. Determinacin de cantidades o condiciones fsicas de ciertos bienes tales como minerales o reservas petroleras. Medicin de la obra terminada y pendiente de ejecutar para los trabajos en curso. Investigaciones de fraude y seguridad. Clculo de cantidades utilizando mtodos especializados tales como el clculo actuarial de las obligaciones relativas a las prestaciones sociales de los empleados. Interpretacin de requerimientos legales, tcnicos y regulatorios. Evaluacin del programa de aseguramiento de calidad de la actividad de auditora 38

interna de conformidad con la Seccin 1300 de las Normas. Fusiones y adquisiciones. (Fuente: Libro Rojo 220.02.2) 4. Cuando el director ejecutivo de auditora pretenda utilizar y confiar en el trabajo de un proveedor de servicios externos, debe evaluar la competencia, independencia y objetividad de dicho proveedor con respecto al trabajo asignado a realizar. Esta evaluacin se debe hacer tambin cuando el proveedor de servicios externos es seleccionado por la alta direccin o el Consejo, y el director ejecutivo de auditora pretende utilizar y confiar en el trabajo de aqul. Cuando la seleccin se efecte por otras personas y la evaluacin realizada por el director ejecutivo de auditora llega a la conclusin de que no se debera utilizar ni confiar en el trabajo del proveedor de servicios externos, los resultados de dicha evaluacin deben comunicarse a la alta direccin y al Consejo, segn proceda. (Fuente: Libro Rojo 220.02.3) 5. El director ejecutivo de auditora debe determinar que el proveedor de servicios externos posee los necesarios conocimientos, tcnicas y dems competencias para realizar el trabajo. Al evaluar la competencia profesional, el director ejecutivo de auditora debe considerar lo siguiente: La certificacin profesional, licencia u otro reconocimiento de la competencia del proveedor de servicios externos en la disciplina relevante. La calidad de asociado a una organizacin profesional adecuada y la adhesin a su cdigo de tica, por parte del proveedor de servicios externos. La reputacin del proveedor de servicios externos. Esto puede requerir ponerse en contacto con terceros que estn familiarizados con el trabajo de aqul. La experiencia del proveedor de servicios externos en el tipo de trabajo que se est considerando. El grado de estudios y la formacin recibida por el proveedor de servicios externos en aquellas disciplinas relacionadas con el trabajo especfico asignado. El conocimiento y la experiencia del proveedor de servicios externos dentro del sector en el que opera la organizacin. (Fuente: Libro Rojo 220.02.4.) 6. El director ejecutivo de auditora debe evaluar la relacin del proveedor de servicios externos con la organizacin y con la actividad de auditora interna para asegurar que la independencia y objetividad se mantengan durante todo el trabajo. Al realizar la evaluacin, el director ejecutivo de auditora debe determinar que no exista ninguna relacin financiera, de organizacin o personal que impida al proveedor de servicios externos emitir juicios y opiniones imparciales y sin prejuicios cuando realiza el trabajo o informa sobre el mismo. (Fuente: Libro Rojo 220.02.5) 7. Al evaluar la independencia y objetividad del proveedor de servicios externos, el director ejecutivo de auditora debe considerar lo siguiente: Los intereses financieros que el proveedor pueda tener en la organizacin. La asociacin personal o profesional que el proveedor pueda tener con el Consejo, la alta direccin o con otras personas. La relacin que el proveedor pueda haber tenido con la organizacin o con las actividades objeto de revisin. La medida en que el proveedor pueda realizar otros servicios continuos para la organizacin. Los honorarios u otros incentivos que pueda tener el proveedor. (Fuente: Libro 39

Rojo 220.02.6) 8. En el caso de que el proveedor de servicios externos sea tambin el auditor externo de la organizacin y la naturaleza del trabajo asignado consista en ampliar los servicios de auditora, el director ejecutivo de auditora debe garantizar que el trabajo realizado no menoscabe la independencia del auditor externo. La ampliacin de los servicios de auditora se refiere a aquellos servicios ms all de los requerimientos de las normas de auditora generalmente aceptadas por los auditores externos. Si los auditores externos de la organizacin actan o parece que actan como miembros de la alta direccin, la administracin o como empleados de la organizacin, entonces su independencia est afectada. Adems, los auditores externos pueden proporcionar a la organizacin otros servicios tales como tributacin y consultora. Sin embargo, la independencia debe evaluarse con respecto a la gama completa de servicios prestados a la organizacin. (Fuente: Libro Rojo 220.02.7) 9. El director ejecutivo de auditora debe obtener informacin suficiente respecto al alcance del trabajo del proveedor de servicios externos, lo cual es necesario para garantizar que el alcance del trabajo es adecuado para los propsitos de la actividad de auditora interna. Puede ser conveniente documentar esta y otras cuestiones en una carta o contrato. El director ejecutivo de auditora debe revisar con el proveedor de servicios externos los siguientes puntos: Objetivos y alcance del trabajo. Temas especficos que esperan cubrirse en las comunicaciones del trabajo. Acceso a los registros, a las personas y a las propiedades fsicas relevantes. Informacin sobre los supuestos y procedimientos a emplear. Propiedad y custodia de los papeles de trabajo, si corresponde. Confidencialidad y restricciones sobre la informacin obtenida durante el trabajo. (Fuente: Libro Rojo 220.02.9) 10. En aquellos casos en que el proveedor de servicios externos desempee actividades de auditora interna, el director ejecutivo de auditora debe especificar y garantizar que el trabajo cumple con las Normas para el Ejercicio Profesional de la Auditora Interna. Al revisar el trabajo de un proveedor de servicios externos, el director ejecutivo de auditora debe evaluar la idoneidad del trabajo realizado. Esta evaluacin debe incluir la estimacin de si la informacin obtenida es suficiente para proporcionar una base razonable tanto a las conclusiones alcanzadas como a la resolucin de excepciones significativas u otras cuestiones inusuales. (Fuente: Libro Rojo 220.02.11) 11. Cuando el director ejecutivo de auditora emite comunicaciones sobre el trabajo, y se hayan utilizado los servicios de un proveedor de servicios externos, el director ejecutivo de auditora puede indicar los servicios prestados, si lo considera adecuado. El proveedor de servicios externos debe estar informado y, si corresponde, llegar a un acuerdo con el mismo antes de incluir dicha referencia en las comunicaciones del trabajo. (Fuente: Libro Rojo 220.02.13)
Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher. January 5, 2001

40

Consejo para la Prctica 1210.A2-1: Identificacin de Fraude

Interpretacin de la Norma 1210.A2 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 1210.A2 Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias referidas a la identificacin de fraude. Esta gua no pretende abarcar todas las consideraciones que pueden ser necesarias, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

El auditor interno debe tener suficientes conocimientos para identificar los indicadores de fraude, pero no es de esperar que tenga conocimientos similares a los de aquellas personas cuya responsabilidad principal es la deteccin e investigacin del fraude. (Fuente: Libro Rojo 280.04)

1. El fraude abarca una gama completa de irregularidades y actos ilegales, caracterizada por un engao intencionado. El fraude puede ser perpetrado en beneficio o en detrimento de la organizacin y puede ser efectuado tanto por personas de fuera como de dentro de la misma. (Fuente: Libro Rojo 280.01.1) 2. El fraude planeado en beneficio de la organizacin generalmente produce este beneficio aprovechndose de una situacin injusta o deshonesta que tambin puede perjudicar a terceros ajenos a la organizacin. Los que efectan tales fraudes, generalmente obtienen un beneficio personal indirecto. Algunos ejemplos de fraudes en beneficio de la organizacin son: Venta o asignacin de activos ficticios o falseados. Pagos impropios, tales como aportaciones polticas ilegales, cohechos, sobornos o pagos a funcionarios del gobierno, intermediarios de funcionarios del gobierno, clientes o proveedores. Presentacin o valoracin premeditada e irregular de transacciones, activos, pasivos o beneficios. Precios de transferencia premeditados e irregulares (por ej.: valoracin de bienes intercambiados entre sociedades relacionadas). Estructurando, de forma interesada, tcnicas de precio no adecuadas, la direccin puede mejorar los resultados operativos de una organizacin involucrada en la transaccin, en detrimento de otra organizacin. Transacciones premeditadas e irregulares entre partes relacionadas entre s, en las cuales una de las partes percibe algn beneficio, que no se puede obtener en una transaccin sin trato a favor. Errores intencionales en el registro o publicacin de informacin relevante con el objeto de mejorar la presentacin financiera de la organizacin frente a terceros. Actividades de negocio prohibidas, tales como las que violan las leyes, normas, reglamentos o contratos. Fraude fiscal. (Fuente: Libro Rojo 280.01.2) 3. El fraude perpetrado en detrimento de una organizacin, generalmente es para el beneficio directo o indirecto de un empleado, de un tercero ajeno o de otra organizacin. Algunos ejemplos son: 41

 Aceptacin de sobornos o cohechos. Desviacin hacia un empleado o un tercero ajeno, de una transaccin potencialmente lucrativa que, normalmente, generara beneficios para la organizacin. Desfalco, tipificado como la apropiacin fraudulenta de dinero o propiedades, y la subsiguiente falsificacin de los registros financieros para encubrir el hecho, haciendo difcil su deteccin. Ocultacin o falsificacin intencionada de hechos o datos. Reclamaciones cursadas por bienes o servicios no suministrados realmente a la organizacin. (Fuente: Libro Rojo 280.01.3) 4. La disuasin consiste en aquellas acciones tomadas para evitar la realizacin del fraude y a limitar los riesgos, si el fraude se consuma. El principal mecanismo para la disuasin del fraude es el control. La responsabilidad principal para el establecimiento y mantenimiento del control recae sobre la direccin. (Fuente: Libro Rojo 280.01.4) 5. Los auditores internos son responsables de ayudar en la disuasin del fraude mediante el examen y evaluacin de la adecuacin y efectividad del sistema de control interno, considerando el grado de exposicin o riesgo potenciales en los diferentes segmentos de las operaciones de la organizacin. Para llevar a cabo esta responsabilidad, los auditores internos debern, por ejemplo, determinar si: El ambiente de la organizacin favorece la conciencia de control. Se fijan metas y objetivos realistas para la organizacin. Existen polticas escritas (por ej.: cdigo de conducta) que describan las actividades prohibidas y las acciones requeridas cuando se descubre cualquier violacin. Se han establecido y mantenido polticas apropiadas de autorizacin para las transacciones. Se han desarrollado polticas, prcticas, procedimientos, informes y otros mecanismos para vigilar las actividades y salvaguardar los activos, especialmente en reas de alto riesgo. Los canales de comunicacin proporcionan informacin adecuada y confiable a la direccin. Es necesario hacer recomendaciones para establecer o mejorar controles eficientes para colaborar en la disuasin del fraude. (Fuente: Libro Rojo 280.01.5) 6. Cuando el auditor interno sospeche de la existencia de irregularidades, debe informar a las autoridades responsables de la organizacin. El auditor interno puede recomendar cualquier investigacin que considere necesaria en tales circunstancias. Posteriormente, el auditor debe efectuar un seguimiento para asegurarse de que las responsabilidades de la actividad de auditora interna se han cumplido. (Fuente: Libro Rojo 280.03) 7. La investigacin del fraude consiste en la realizacin de procedimientos tan amplios como sea necesario para determinar si el fraude, segn se deduce de los indicadores, ha ocurrido. Dentro de la investigacin se incluye la obtencin de evidencia suficiente sobre los detalles especficos del fraude descubierto. Auditores internos, abogados, investigadores, personal de seguridad y otros especialistas, tanto de dentro como de fuera de la organizacin, son las personas que usualmente dirigen o participan en las investigaciones del fraude. (Fuente: Libro Rojo 280.03.1) 8. Al dirigir la investigacin del fraude, los auditores internos deben: (Fuente: Libro Rojo 280.03.2) 42

Evaluar el grado de probabilidad y la extensin de la complicidad en el fraude dentro de la organizacin. Esto puede ser crucial para asegurarse de que el auditor interno evite dar informacin a personas que pudieran estar involucradas, u obtener informacin falseada de estas. Determinar los conocimientos, las tcnicas y dems competencias, necesarios para llevar a cabo eficazmente la investigacin. Se debe realizar una evaluacin de las cualificaciones y las tcnicas de los auditores internos y de los especialistas disponibles para participar en la evaluacin, con el fin de asegurar que stas sean realizadas por personas que poseen la clase y nivel de experiencia tcnica apropiados. Debe asegurarse tambin sobre cuestiones tales como certificaciones profesionales, licencias, reputacin y que no existe relacin con los que estn siendo investigados, o con cualquiera de los empleados o directivos de la organizacin. Disear los procedimientos a seguir para intentar la identificacin de los perpetradores, la amplitud del fraude, las tcnicas utilizadas y las causas del fraude. Coordinar las actividades con el personal directivo, asesor legal y otros especialistas, segn resulte necesario durante el curso de la investigacin. Conocer los derechos de los presuntos perpetradores, los derechos de las personas afectadas por la investigacin y la reputacin de la organizacin como tal. (Fuente: Libro Rojo 280.03.2)

9. Una vez que la investigacin del fraude ha concluido, los auditores internos deben evaluar los hechos conocidos para: Determinar si es necesario implantar controles o reforzar los ya existentes, para reducir la vulnerabilidad en el futuro. Disear pruebas de trabajo que ayuden a detectar la existencia de fraudes similares en el futuro. Ayudar a cumplir las responsabilidades del auditor interno, para mantener un conocimiento suficiente acerca del fraude y, por lo tanto, poder identificar indicadores de fraude en el futuro. (Fuente: Libro Rojo 280.03.3) 10. La informacin sobre el fraude comprende las diversas comunicaciones, orales o escritas, intermedias o finales, dirigidas a la direccin y relativas a la situacin y a los resultados de las investigaciones. El director ejecutivo de auditora tiene la responsabilidad de informar de inmediato cualquier incidente de fraude significativo a la alta direccin y al Consejo. Debe realizarse investigacin suficiente para establecer una certeza razonable de que ha ocurrido un fraude antes de emitir cualquier informe de fraude. La realizacin de un informe preliminar o final puede ser conveniente al terminar la fase de deteccin. El informe debe incluir las conclusiones del auditor interno sobre si existe suficiente informacin para proceder a una investigacin completa. Tambin debe incluir las observaciones y recomendaciones que sirven de base para tal decisin. Un informe escrito puede realizarse a continuacin de cualquier resumen verbal dado a la direccin y al Consejo para documentar los hallazgos. (Fuente: Libro Rojo 280.03.4 & PSPR 9617) 11. La seccin 2400 de las Normas proporciona interpretaciones aplicables a las comunicaciones del trabajo emitidas como resultado de investigaciones de fraude. Las pautas interpretativas adicionales sobre el informe del fraude son las siguientes: Cuando la incidencia de un fraude significativo ha sido establecida con un grado razonable de certeza, se debe comunicar inmediatamente a la alta direccin y al Consejo. 43

 Los resultados de la investigacin de un fraude pueden indicar que el fraude ha tenido con anterioridad un efecto adverso importante y no descubierto, sobre la posicin financiera y los resultados de las operaciones de una organizacin durante uno o ms aos, por los cuales se han emitido ya los estados financieros. Los auditores internos deben informar a la alta direccin y al Consejo de tal descubrimiento. Se debe emitir un informe escrito u otro tipo de comunicacin formal al concluir la fase de investigacin. Debe incluir todas las observaciones, conclusiones, recomendaciones y acciones correctivas que se hayan tomado. Un borrador de las comunicaciones finales propuestas sobre el fraude debe ser sometido a la asesora jurdica para su revisin. En aquellos casos en que el auditor interno quiera invocar los derechos del cliente, debe tenerse en cuenta la posibilidad de remitir el informe a la asesora jurdica. (Fuente: Libro Rojo 280.03.6) 12. La deteccin del fraude consiste en identificar indicadores de fraude suficientes para justificar la recomendacin de una investigacin. Estos indicadores pueden aparecer como resultado de los controles establecidos por la direccin, por pruebas realizadas por los auditores y por otras fuentes tanto internas como externas de la organizacin. (Fuente: Libro Rojo 280.02.1) 13. En el desarrollo de su trabajo, las responsabilidades del auditor interno en la deteccin del fraude son: Tener conocimientos suficientes sobre el fraude para poder identificar los indicadores de que el fraude pudiera haberse cometido. Estos conocimientos comprenden la necesidad de conocer las caractersticas del fraude, las tcnicas utilizadas para cometerlo y los tipos de fraude relacionados con las actividades en revisin. Estar alerta a las situaciones, tales como debilidades de control, que podran permitir el fraude. Si se detectan debilidades de control significativas, los procedimientos adicionales realizados por los auditores internos deberan incluir pruebas dirigidas a identificar otros indicadores de fraude. Algunos ejemplos de indicadores son: transacciones no autorizadas, elusin de controles, excepciones de precios no explicadas y prdidas anormales e importantes de productos. Los auditores internos deben reconocer que la presencia de ms de un indicador al mismo tiempo aumenta la probabilidad de que el fraude pudiera haber ocurrido. Evaluar los indicadores de que el fraude pudiera haberse cometido y decidir si es necesaria alguna actuacin posterior o si se debe recomendar una investigacin. Notificar a las autoridades apropiadas dentro de la organizacin si se ha llegado a la conclusin de que hay suficientes indicios de la comisin de un fraude como para recomendar una investigacin. (Fuente: Libro Rojo 280.02.2)

14. No es de esperar que los auditores internos tengan conocimientos similares a los de aquellas personas cuya responsabilidad principal es la deteccin e investigacin del fraude. Asimismo, los procedimientos de auditora por s solos, incluso cuando se llevan a cabo con el debido cuidado profesional, no garantizan que el fraude ser detectado. (Fuente: Libro Rojo 280.02.3) 44

Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher.

January 5, 2001

45

Consejo para la Prctica 1210.A2-2: Responsabilidad en la Deteccin de Fraude

Interpretacin de la Norma 1210.A2 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 1210.A2 El auditor interno debe tener suficientes conocimientos para identificar los indicadores de fraude, pero no es de esperar que tenga conocimientos similares a los de aquellas personas cuya responsabilidad principal es la deteccin e investigacin del fraude. (Fuente: Libro Rojo 280.01) Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias referidas a la deteccin del fraude. Esta gua no pretende abarcar todas las consideraciones que pueden ser necesarias, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

1. La direccin y la actividad de auditora interna tienen funciones diferentes con respecto a la deteccin del fraude. El desarrollo normal del trabajo para la actividad de auditora interna es proporcionar una valoracin, examen y evaluacin independientes, sobre las actividades de una organizacin como un servicio a la misma. El objetivo de auditora interna en la deteccin del fraude es ayudar a los miembros de la organizacin en el cumplimiento eficaz de sus responsabilidades, proporcionndoles anlisis, valoraciones, recomendaciones, consejo e informacin respecto de las actividades en revisin. El objetivo del trabajo incluye promover el control eficaz a un costo razonable. (Fuente: PSPR 96-15) 2. La direccin tiene la responsabilidad de establecer y mantener un sistema de control eficaz a un costo razonable. En el grado en que el fraude pueda estar presente en las actividades cubiertas en el normal desarrollo del trabajo tal como se lo define anteriormente, los auditores internos tienen la responsabilidad de ejercer el debido cuidado profesional segn se define especficamente en la Norma 1220respecto de la deteccin del fraude. Los auditores internos deben tener suficientes conocimientos sobre fraude, que les permitan identificar los indicadores de fraude que pudieran haberse cometido, estar alertas a las oportunidades que pudieran permitir el fraude, evaluar la necesidad de una investigacin adicional, y notificar a las autoridades apropiadas. (Fuente: PSPR 96-15) 3. Un sistema de control interno bien diseado no debe conducir al fraude. Las pruebas realizadas por los auditores, junto a controles razonables establecidos por la direccin, mejoran la posibilidad de que cualquier indicador de fraudes sea detectado y tenido en cuenta para continuar la investigacin. (Fuente: PSPR 96-15)
Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher. January 5, 2001

46

Consejo para la Prctica 1220-1: Debido Cuidado Profesional

Interpretacin de la Norma 1220 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 1220 Debido Cuidado Profesional Los auditores internos deben cumplir su trabajo con el cuidado y la pericia que se esperan de un auditor interno razonablemente prudente y competente. El debido cuidado profesional no implica infalibilidad. (Fuente: Libro Rojo 280) Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias al evaluar el debido cuidado profesional. Esta gua no pretende abarcar todas las consideraciones que pueden ser necesarias durante dicha evaluacin, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

1. El debido cuidado profesional exige la aplicacin del cuidado y conocimientos que se esperan de un auditor interno razonablemente prudente y competente en iguales o similares circunstancias. El cuidado profesional, por tanto, debe ser el apropiado para las complejidades del trabajo en ejecucin. Al ejercer el debido cuidado profesional, los auditores internos deben estar alertas a la posibilidad de existencia de hechos intencionadamente incorrectos, errores y omisiones, ineficiencias, despilfarros, ineficacias, y conflictos de intereses. Tambin deben estar alertas a aquellas condiciones y actividades en las que es ms probable que se produzcan irregularidades. Adems, deben identificar los controles inadecuados y recomendar mejoras para promover el cumplimiento de procedimientos y prcticas aceptables. (Fuente: Libro Rojo 280.01) 2. El debido cuidado implica una prudencia y competencia razonables, no la infalibilidad ni una actuacin extraordinaria. El debido cuidado exige que el auditor lleve a cabo exmenes y verificaciones hasta un grado razonable, pero no requiere una revisin detallada de todas las transacciones. Por ello, el auditor interno no puede ofrecer la seguridad absoluta de que no existan irregularidades e incumplimientos. Sin embargo, al emprender un trabajo de auditora interna, el auditor interno siempre debe considerar la posible existencia de incumplimientos e irregularidades significativas. (Fuente: Libro Rojo 280.02)
Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher. January 5, 2001

47

Consejo para la Prctica 1220-2 Tcnicas de Auditora Asistidas por Computador (TAAC)
Interpretacin de la Norma 1220.A2 de las Normas Internacionales para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 1220.A2 Debido Cuidado Profesional Al ejercer el debido cuidado profesional el auditor interno debe considerar la utilizacin de herramientas de auditora asistidas por computador y otras tcnicas de anlisis de datos. Este Consejo para la Prctica ha sido adoptado del documento Uso de Tcnicas de Auditora Asistidas por Computador (TAAC), Documento G3 emitido por la Asociacin de Auditora y Control de Sistemas de Informacin (Information Systems Audit and Control Association ISACA) en diciembre de 1998. El uso y adopcin del presente documento han sido realizados con el debido permiso y conocimiento de ISACA. Se deja constancia de que en caso de que este Consejo para la Prctica difiera de cualquier forma del Documento o Procedimiento emitido por ISACA, esa organizacin no garantiza la veracidad de los cambios ni los aprueba. Naturaleza de este Consejo para la Prctica: Los auditores internos deben tener en cuenta las siguientes sugerencias al realizar una revisin de controles de sistemas informticos. Esta gua no pretende abarcar todos los procedimientos necesarios para realizar una auditora de sistemas de informacin, sino ser simplemente un conjunto de tareas centrales y de nivel superior recomendadas para el auditor, que complementan las tareas de planificacin. El cumplimiento de este Consejo para la Prctica es opcional. 1. NECESIDAD DE UNA GUA Las Tcnicas de Auditora Asistidas por Computador (TAAC) -Computer Assisted Audit Techniques (CAATs)- son importantes herramientas para la realizacin de auditoras por parte del auditor. Las TAAC incluyen muchos tipos de herramientas y tcnicas, tales como el software genrico de auditora, programas utilitarios, ensayos con datos de prueba, anlisis de trazabilidad y anlisis de correspondencia de aplicaciones (application software tracing and mapping), y la utilizacin de sistemas expertos para la auditora. Las TAAC pueden ser empleadas en la ejecucin de mltiples procedimientos de auditora, tales como: Pruebas de detalles de transacciones y saldos. Procedimientos de revisin analtica. Pruebas de cumplimiento de controles generales de sistemas informticos (SI) Pruebas de cumplimiento de controles de aplicacin de SI. Pruebas de penetrabilidad.

Las TAAC pueden producir un gran porcentaje de toda la evidencia de auditora obtenida en las auditoras. Como consecuencia, el auditor deber planificar cuidadosamente su uso y aplicar el debido cuidado profesional. 2. PLANIFICACIN Factores de Decisin para el Empleo de TAAC En la planificacin de la auditora, el auditor debe considerar una adecuada combinacin de tcnicas manuales y TAAC. Los factores a tener en cuenta para decidir el empleo de TAAC incluyen: Conocimientos informticos, familiaridad y experiencia del auditor. Disponibilidad de TAAC e instalaciones informticas. Eficiencia y eficacia comparativa de las TAAC respecto de las tcnicas manuales. Restricciones de tiempo. Integridad del SI y del entorno informtico.

48

Nivel de riesgo de auditora.

Fases de Planificacin para el Empleo de TAAC Los pasos principales que debe llevar a cabo el auditor interno en su preparacin para la aplicacin de las TAAC seleccionadas son los siguientes: Establecer los objetivos de auditora de las TAAC. Determinar la accesibilidad y disponibilidad de las instalaciones informticas de la organizacin, sus programas, sistemas y datos. Definir los procedimientos a llevar a cabo (por ejemplo, muestreo estadstico, reclculos, confirmaciones, etc.) Definir los requisitos de salida de resultados. Determinar las caractersticas de los recursos a emplear; por ejemplo, personal, TAAC, entorno de proceso (instalaciones informticas de la organizacin o de auditora). Obtener acceso a las instalaciones informticas de la organizacin, sus programas, sistemas y datos, incluyendo las descripciones de archivos. Documentar las TAAC a utilizar, incluyendo objetivos, flujogramas de niveles superiores e instrucciones de ejecucin.

Acuerdos con el Auditado Los archivos de datos, tales como los archivos de transacciones, son frecuentemente conservados por un breve perodo de tiempo. Teniendo en cuenta esto, el auditor debe realizar los acuerdos que garanticen la retencin de los datos por el perodo que abarque la auditora. El acceso a las instalaciones informticas de la organizacin, sus programas y sistemas, y sus datos, debe ser previsto y acordado con la suficiente antelacin de modo de minimizar los efectos en el entorno de produccin de la organizacin. El auditor debe evaluar los efectos que los cambios en los programas y sistemas de produccin puedan tener en las TAAC, as como la integridad de los programas, sistemas y datos utilizados por el auditor. Prueba de las TAAC El auditor debe obtener aseguramiento razonable de la integridad, confiabilidad, utilidad y seguridad de las TAAC mediante la adecuada planificacin, diseo, prueba, proceso y revisin de la documentacin. Esto debe ser realizado antes de basar ningn trabajo en las TAAC. La naturaleza, oportunidad y alcance de las pruebas depender de la disponibilidad comercial y estabilidad de las TAAC. Seguridad de los Datos y las TAAC Cuando se empleen TAAC para extraer informacin para su posterior anlisis, el auditor deber verificar la integridad del sistema de informacin y del entorno informtico del cual se extraen los datos. Las TAAC pueden utilizarse para extraer informacin de programas y sistemas de naturaleza sensitiva que debe conservar su confidencialidad. El auditor deber proteger dicha informacin con el nivel de confidencialidad y seguridad apropiado. Para llevar a cabo lo mencionado, el auditor debe considerar el nivel de confidencialidad y seguridad requerido por la organizacin propietaria de los datos y toda legislacin relevante al respecto. El auditor debe utilizar y documentar los resultados de los procedimientos apropiados que garanticen el mantenimiento de la integridad, confiabilidad, utilidad y seguridad de las TAAC. Esto puede incluir, por ejemplo, una revisin de los controles de mantenimiento de aplicaciones y cambios en los mdulos de auditora incluidos en sistemas y aplicaciones, para determinar que slo se efectan en las TAAC los cambios debidamente autorizados. Cuando las TAAC se encuentren en un entorno que escape al control del auditor, debe existir un nivel de control suficiente que permita identificar los cambios. Si las TAAC son modificadas, el auditor deber asegurarse de su integridad, confiabilidad, utilidad y seguridad mediante la planificacin, diseo, pruebas, ejecucin y revisin de documentacin, antes de depositar en ellas confianza alguna.

49

3. REALIZACIN DEL TRABAJO DE AUDITORA Obtencin de Evidencia de Auditora La utilizacin de TAAC debe estar controlada en todo momento por el auditor, para proporcionar garanta razonable de que se cumplen los objetivos de auditora y las especificaciones de las TAAC. El auditor debe: Efectuar una conciliacin de totales de control, si es necesario. Revisar la razonabilidad de los resultados de salida. Efectuar una revisin de la lgica, parmetros u otras caractersticas de las TAAC. Revisar los controles informticos de la organizacin que pueden contribuir a la integridad de las TAAC (por ejemplo: controles de cambios de programas y accesos al sistema, programas y archivos de datos). Software Genrico de Auditora Cuando se emplee software genrico de auditora para acceder a los datos de produccin, el auditor deber tomar las medidas adecuadas para proteger la integridad de los datos de la organizacin. En los mdulos de auditora incluidos en sistemas y aplicaciones, el auditor debe participar en el diseo del sistema, y las tcnicas tendrn que ser desarrolladas y mantenidas dentro de los programas y sistemas de aplicacin de la organizacin. Programas Utilitarios Cuando se emplean programas utilitarios, el auditor debe asegurarse de que no se hayan realizado acciones no planificadas durante el procesamiento y que el software utilitario haya sido obtenido de las libreras del sistema apropiadas. Adems, el auditor debe tomar las medidas necesarias para proteger la integridad de los sistemas y archivos de la organizacin, dado que estos utilitarios pueden daarlos fcilmente. Datos de Prueba Cuando se empleen datos de prueba, el auditor debe tener en cuenta que los mismos slo permiten descubrir el potencial de errores de procesamiento. Esta tcnica no evala datos de produccin reales. El auditor tambin tiene que considerar que los anlisis con datos de prueba pueden ser extremadamente complejos y demandar una gran cantidad de tiempo, dependiendo de la cantidad de transacciones procesadas, la cantidad de programas verificados y la complejidad de los programas y sistemas. Antes de utilizar datos de prueba, el auditor debe verificar que los mismos no afectarn de manera permanente al sistema en produccin. Anlisis de Trazabilidad y Anlisis de Correspondencia de Aplicaciones (Appication Software Tracing and Mapping) Cuando se empleen tcnicas de anlisis de trazabilidad y de correspondencia de aplicaciones, el auditor debe confirmar que el cdigo fuente evaluado ha generado el programa objeto en produccin. El auditor debe considerar que las tcnicas de anlisis de trazabilidad y correspondencia slo descubren el potencial de procesamiento errneo, y no evalan datos de produccin reales. Sistemas Expertos de Auditora

50

Cuando de empleen sistemas expertos de auditora, el auditor debe estar suficientemente familiarizado con el funcionamiento del sistema a fin de garantizar que las estructuras de decisin seguidas son las adecuadas para ese entorno o situacin de auditora.

4. DOCUMENTACIN DE LAS TAAC Papeles de Trabajo Todos los pasos del empleo de TAAC deben estar suficientemente documentados para proporcionar la evidencia de auditora adecuada. Especficamente, los papeles de trabajo deben contener suficiente documentacin que describa la aplicacin de las TAAC, incluyendo los detalles que se sealan en las siguientes secciones. Planificacin La documentacin debe incluir: Objetivos de las TAAC. TAAC a emplear. Controles a ejercer. Dotacin de personal y tiempo. Ejecucin La documentacin debe incluir: Preparacin de las TAAC y procedimientos de pruebas y controles. Detalle de las pruebas efectuadas mediante TAAC. Detalles de las entradas (por ejemplo: datos utilizados, estructura de archivos), procesamiento (por ejemplo: flujogramas de nivel superior de las TAAC, lgica) y salidas de resultados (por ejemplo, archivos de log, informes). Listado de parmetros o cdigos fuente relevantes. Evidencia de Auditora La documentacin debe incluir: Resultados producidos. Descripcin de los anlisis de auditora efectuados sobre los resultados. Hallazgos de auditora. Conclusiones de auditora. Recomendaciones de auditora. 5. INFORME Descripcin de las TAAC La seccin del informe referida a objetivos, alcance y metodologa debe contener una clara descripcin de las TAAC utilizadas. Esta descripcin no debe ser excesivamente detallada, pero debe proporcionar un buen resumen para el lector. La descripcin de las TAAC utilizadas tambin debe incluirse en el cuerpo principal del informe, donde se coloca el hallazgo especfico relacionado con el uso de las TAAC. Si la descripcin de las TAAC utilizadas es aplicable a varios hallazgos o es demasiado detallada, debe mencionarse brevemente en la seccin del informe referida a objetivos, alcance y metodologa, y tratarse en mayor detalle en un anexo.

51

Anexo - Glosario Anlisis de Trazabilidad y Anlisis de Correspondencia de Aplicaciones (Application Software Tracing and Mapping): Son herramientas especializadas que pueden utilizarse para analizar el flujo de datos mediante el proceso de lgica del software de aplicacin y la documentacin de la lgica, caminos, condiciones de control y secuencias de proceso. Tanto el lenguaje de comando o declaraciones de control de trabajos y el lenguaje del programa pueden ser analizados. Esta tcnica incluye programas y sistemas: mapeo, trazabilidad, instantneas, simulaciones en paralelo y comparaciones de cdigo. Sistemas Expertos de Auditora (Audit Expert Systems): Sistemas de soporte de decisiones o expertos que pueden utilizarse para asistir a los auditores en el proceso de toma de decisiones mediante la automatizacin de los conocimientos de expertos en el campo. Esta tcnica incluye anlisis de riesgos automatizados, software de sistemas y paquetes de software de objetivos de control. Tcnicas de Auditora Asistidas por Computador TAAC- (Computer Assisted audit. Techniques CAATs-): Cualquier tcnica automatizada de auditora, tal como software genrico de auditora, software utilitario, datos de prueba, anlisis de trazabilidad y anlisis de correspondencia de aplicaciones (application software tracing and mapping), y sistemas expertos de auditora. Software Genrico de Auditora: Un programa de computacin o una serie de programas diseados para realizar determinadas funciones automatizadas. Estas funciones incluyen la lectura de archivos de computacin, seleccin de datos, manipulacin de datos, clasificacin de datos, resumen de datos, realizacin de clculos, seleccin de muestras e impresin de informes o cartas en un formato especificado por el auditor. Esta tcnica incluye software adquirido o preparado para propsitos de auditora, y software incluido en sistemas de produccin. Datos de Prueba: Transacciones simuladas que pueden utilizarse para probar la lgica del proceso, clculos y controles realmente programados en aplicaciones informticas. Programas individuales o un sistema completo que puede ser probado. Esta tcnica incluye Instalaciones de Prueba Integradas (Integrated Test Facilities - ITFs) y Evaluaciones de Sistemas de Caso Base (Base Case System Evaluations - BCSEs). Software Utilitario: Programas informticos proporcionados por un proveedor de hardware informtico o un proveedor de software y utilizados en la ejecucin del sistema. Esta tcnica puede ser utilizada para examinar la actividad de procesamiento, probar programas, actividades del sistema y procedimientos operativos, evaluar la actividad de archivos de datos, y analizar datos contables de trabajo. Copyright 1998 - Este producto contiene guas de auditora de sistemas informticos, que son utilizadas con permiso de la Information Systems Audit and Control Association (ISACA). 1998 Information Systems Audit and Control Association. Todos los derechos reservados. En cumplimiento de leyes y acuerdos de derechos de autor, no podr reproducirse ninguna parte de esta publicacin, almacenarse en sistemas de archivo o transmitirse en cualquier forma y por cualquier medio, ya sea electrnico, mecnico, de fotocopiadora, registro o cualquier otro, sin el permiso escrito previo de ISACA y del editor. Origen: 22 de abril de 2005.

52

Consejo para la Prctica 1230-1: Desarrollo Profesional Continuado

Interpretacin de la Norma 1230 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 1230 Desarrollo Profesional Continuado Los auditores internos deben perfeccionar sus conocimientos, aptitudes y otras competencias mediante la capacitacin profesional continua.(Fuente: Libro Rojo 270) Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias en relacin con el desarrollo profesional continuado. Esta gua no pretende abarcar todas las consideraciones que pueden ser necesarias durante dicha evaluacin, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

1. Los auditores internos son responsables de continuar su formacin a fin de mantener su competencia profesional. Deben mantenerse informados de las mejoras y de la evolucin de las normas, procedimientos y tcnicas de auditora interna La formacin continua se puede obtener hacindose miembro y participando en organizaciones profesionales; mediante la asistencia a conferencias, seminarios, cursos universitarios y programas internos de formacin, y mediante la participacin en proyectos de investigacin. (Fuente: Libro Rojo 270.01) 2. Se alienta a los auditores internos a demostrar su pericia mediante la obtencin de la apropiada certificacin profesional, tal como la designacin CIA (Certified Internal Auditor Auditor Interno Certificado) y otras designaciones ofrecidas por el Instituto de Auditores Internos. (Fuente: Nuevo) 3. Los auditores internos con certificaciones profesionales deben obtener la suficiente formacin profesional continua para satisfacer los requerimientos de la certificacin profesional que poseen. (Fuente: Nuevo) 4. Se aconseja a los auditores internos que actualmente no posean certificaciones profesionales apropiadas a seguir un programa de formacin que les ayude a obtener las mismas. (Fuente: Nuevo)
Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher. January 5, 2001

53

Consejo para la Prctica 1300-1: Programa de Aseguramiento y Mejora de la Calidad

Interpretacin de la Norma 1300 de las Normas Internacionales para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 1300 Programa de Aseguramiento de Calidad y Cumplimiento El director ejecutivo de auditora debe desarrollar y mantener un programa de aseguramiento de calidad y mejora que cubra todos los aspectos de la actividad de auditora interna y revise continuamente su eficacia. Este programa incluye evaluaciones de calidad externas e internas peridicas y supervisin interna continua. Cada parte del programa debe estar diseada para ayudar a la actividad de auditora interna a aadir valor y a mejorar las operaciones de la organizacin y a proporcionar aseguramiento de que la actividad de auditora interna cumple con las Normas y el Cdigo de tica. Naturaleza de este Consejo para la Prctica: Los auditores internos deben tener en cuenta las siguientes sugerencias al desarrollar o evaluar programas de calidad. Esta gua no pretende abarcar todos los procedimientos necesarios para desarrollar programas integrales de calidad o su evaluacin, sino ser simplemente un conjunto de prcticas recomendadas de evaluacin de calidad. El cumplimiento de este Consejo para la Prctica es opcional. 1. Resea de un Programa de Aseguramiento y Mejora de la Calidad (PAMC) El director ejecutivo de auditora (DEA) es el responsable de establecer una actividad de auditora interna cuyo alcance de trabajo incluya todas las actividades establecidas en las Normas y en la definicin de auditora interna proporcionada por el Instituto de Auditores Internos (Normas Introduccin P. 3, primer prrafo). Para asegurar que esto ocurra, la Norma 1300 exige que el DEA desarrolle y mantenga un programa de aseguramiento y mejora de la calidad (PAMC). 2. Implantacin de un PAMC El DEA es el responsable de implantar procesos que proporcionen un aseguramiento razonable a las diversas partes interesadas en la actividad de auditora interna, de que la misma: Se desempea de acuerdo con su Estatuto, el cual debe ser consistente con las Normas Internacionales para el Ejercicio Profesional de la Auditora Interna y el Cdigo de tica, Opera de forma eficaz y eficiente, y Es percibida por aquellas partes interesadas como un elemento que agrega valor y mejora las operaciones de la organizacin. Estos procesos deben incluir supervisin adecuada, evaluaciones internas peridicas y supervisin continua del aseguramiento de calidad, y evaluaciones externas peridicas. 3. Naturaleza y Alcance del PAMC El PAMC debe ser suficientemente integral de modo de abarcar todos los aspectos de la operacin y gerencia de una actividad de auditora interna, segn se establece en las Normas y en las mejores prcticas de la profesin. Los procesos del PAMC deben ser desempeados por el DEA o bajo su supervisin directa. Excepto en las actividades de auditora interna de pequeo tamao, el DEA generalmente delegar la mayora de las responsabilidades del PAMC a sus subordinados. En ambientes de gran tamao o complejos (por ejemplo, varias unidades de negocio o localizaciones), el DEA debe establecer una funcin del PAMC formal e independiente de los segmentos de auditora y consultora de la actividad de auditora interna. Esta funcin independiente debe estar encabezada por un ejecutivo de auditora. Este personal ejecutivo (y limitado) normalmente no desempear todas las responsabilidades del PAMC, pero administrar y vigilar estas actividades. 4. Elementos Clave del PAMC El PAMC debe estar estructurado de modo de alcanzar un nivel ptimo de competencia profesional y las revisiones deben ser administradas, hasta donde sea posible, independientemente de las funciones y actividades a revisar. Los siguientes elementos clave de la actividad de auditora interna (desempeados por el DEA, o administrados por una persona o unidad funcional bajo su direccin) deben ser considerados por la funcin del PAMC:

54

Supervisar el desarrollo e implantacin de polticas y procedimientos de auditora interna, administrar y mantener el manual de polticas y procedimientos de la actividad de auditora interna. Ayudar al DEA y a la gerencia de auditora interna en los presupuestos y en la administracin financiera de la actividad de auditora interna. Mantener y actualizar el universo de riesgo de auditora integral, incluyendo la obtencin e incorporacin de informacin nueva que impacta en dicho universo; supervisar la divisin de responsabilidades entre auditora interna, auditora externa y otras funciones de evaluacin e investigacin. Administrar la operacin general del sistema para la evaluacin del riesgo de auditora y la planificacin a largo plazo, ayudando al DEA y a la gerencia de auditora en esta rea. Ayudar en el proceso general de programacin de trabajos de auditora y consultora, y el control de tiempos correspondiente. Ayudar a la gerencia de auditora interna en la adquisicin, mantenimiento y empleo de herramientas de auditora y otros usos de la tecnologa. Administrar la captacin externa y la participacin de la actividad de auditora interna en la rotacin del personal interno y los programas de desarrollo gerencial de la organizacin. Supervisar la capacitacin y desarrollo del personal (por ejemplo, seleccin o desarrollo de cursos de formacin, y administracin de los procesos relacionados de planificacin de carrera y evaluacin de desempeo, incluyendo el sistema de seguimiento para el desarrollo profesional de cada miembro del personal). Supervisar los sistemas de estadsticas y mediciones de auditora interna y de postauditora y otras encuestas (por ejemplo, encuestas de clientes y otras partes interesadas en la actividad de auditora interna). Administrar y vigilar las actividades de aseguramiento de calidad y mejora de procesos, incluyendo las evaluaciones formales de calidad internas y externas. Supervisar y administrar la obtencin de informacin y la preparacin de los informes peridicos resumidos por parte de la actividad de auditora interna para la alta direccin y el comit de auditora (incluyendo los informes de resultados de las evaluaciones de calidad internas y externas). Administrar y mantener la base de datos integral de seguimiento de las recomendaciones y planes de accin resultantes de los trabajos de auditora interna, del trabajo de los auditores externos, y de otras funciones de evaluacin e investigacin internas. Ayudar al DEA, a la gerencia de auditora interna y a su personal a mantenerse al corriente de las Normas, otros cambios y mejores prcticas emergentes de la profesin de auditora interna, asuntos de regulaciones, y otros asuntos y oportunidades emergentes, bajo la direccin de la gerencia de auditora interna.

Las palabras ayudar, administrar, supervisar, vigilar y mantener pretenden indicar que la persona o las personas que trabajan en la funcin del PAMC no necesariamente desempearn la mayora de este trabajo. ste ser asignado, ya sea ad-hoc para ciertas tareas en particular o en base a plazos ms prolongados, a otros ejecutivos y personal de auditora interna, pero ser supervisado, administrado, etc., mediante el PAMC. Fecha de origen: 25 de mayo de 2004. Todos los contenidos de este sitio web, excepto en los casos expresamente indicados, son de propiedad intelectual de The Institute of Internal Auditors, Inc. (The IIA). Poltica de Privacidad (Privacy Policy)

55

Consejo para la Prctica 1310-1: Evaluaciones del Programa de Calidad

Interpretacin de la Norma 1310 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 1310 Evaluaciones del Programa de Calidad La actividad de auditora interna debe adoptar un proceso para supervisar y evaluar la eficacia general del programa de calidad. Este proceso debe incluir tanto evaluaciones internas como externas. (Fuente: Libro Rojo 560.01) Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias al desarrollar o evaluar programas de calidad. Esta gua no pretende abarcar todas las consideraciones que pueden ser necesarias durante dicha evaluacin, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

1. El objetivo de un programa de calidad es proporcionar una seguridad razonable de que el trabajo de auditora interna se realiza conforme a las Normas para el Ejercicio Profesional de la Auditora Interna, al Cdigo de tica, al Estatuto de la actividad de auditora interna y dems normas aplicables. Un programa de calidad debe incluir los siguientes elementos: Supervisin. Evaluaciones internas. Evaluaciones externas. (Fuente: Libro Rojo 560.01)

2. La seguridad razonable mencionada en este Consejo para la Prctica es til a diversos estamentos adems de al director ejecutivo de auditora. Estos pueden incluir a la alta direccin, a los auditores externos, al Consejo y a los organismos reguladores, cada uno de los cuales pueden tener razones para confiar en la actuacin de la actividad de auditora interna. (Fuente: Libro Rojo 560.01.1) 3. La conformidad con las normas aplicables es algo ms que el simple cumplimiento de las polticas y procedimientos establecidos. Incluye el desempeo de la actividad de auditora interna con un alto nivel de eficiencia y eficacia. La calidad es esencial tanto para alcanzar dicho desempeo, como para mantener la credibilidad de la actividad de auditora interna ante aquellos a los que sirve. (Fuente: Libro Rojo 560.01.2) 4. Un criterio clave para medir a la actividad de auditora interna es su Estatuto. El examen del Estatuto de la actividad de auditora interna debe incluir tambin una evaluacin del mismo en los trminos de los elementos especificados en la Seccin 1000 de las Normas. (Fuente: Libro Rojo 560.01.3) 5. A continuacin se citan algunos ejemplos de otras normas aplicables y de criterios de medicin potenciales que deben considerarse al evaluar el desempeo de la actividad de auditora interna: El Cdigo de tica. 56

Los objetivos, polticas y procedimientos de la actividad de auditora interna.

Las polticas y procedimientos de la organizacin aplicables a la actividad de auditora interna. Las leyes, reglamentos y normas del gobierno o del sector industrial que establezcan requerimientos sobre la auditora y la informacin. Los mtodos para identificar las actividades a auditar, para evaluar los riesgos y para determinar la frecuencia y el alcance del trabajo. Los documentos de la planificacin del trabajo, especialmente aquellos propuestos a la alta direccin y al Consejo. El esquema de organizacin, las declaraciones de requerimientos de trabajo, las descripciones de puestos y los planes de desarrollo profesional de la actividad de auditora interna. (Fuente: Libro Rojo 560.01.4)
Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher. January 5, 2001

57

Consejo para la Prctica 1311-1: Evaluaciones Internas

Interpretacin de la Norma 1311 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 1311 Evaluaciones Internas Las evaluaciones internas deben incluir: Revisiones continuas del desempeo de la actividad de auditora interna, y Revisiones peridicas mediante autoevaluacin o mediante otras personas dentro de la organizacin, con conocimiento de las prcticas de auditora interna y de las Normas. (Fuente: Libro Rojo 560.03.5) Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias al revisar evaluaciones internas. Esta gua no pretende abarcar todas las consideraciones que pueden ser necesarias durante dicha evaluacin, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

1. La supervisin del trabajo de los auditores internos debe efectuarse para asegurar su conformidad con las normas de auditora interna, las polticas y los programas de auditora. Una supervisin adecuada es el elemento ms importante de un programa de garanta de calidad. Proporciona una base sobre la que las evaluaciones internas y externas pueden desarrollarse posteriormente. La naturaleza y responsabilidad de la supervisin estn establecidas en la Seccin 2340 de las Normas y guas relacionadas. (Fuente: Libro Rojo 560.02) 2. Las evaluaciones internas formales deben ser realizadas peridicamente por personal de auditora interna, para evaluar la calidad del trabajo de auditora realizado. Estas evaluaciones deben ser realizadas de la misma forma que cualquier otro trabajo y generalmente son desempeadas por un equipo o por una persona seleccionada por el director ejecutivo de auditora. Las entidades de auditora interna de gran tamao pueden tener una persona designada como gerente de garanta de calidad o con una denominacin y responsabilidades similares. (Fuente: Libro Rojo 560.03) 3. Las evaluaciones de calidad internas sirven en primer lugar a las necesidades del director ejecutivo de auditora, pero tambin pueden proporcionar a la alta direccin y al Consejo una evaluacin de la actividad de auditora interna. Estas evaluaciones deben estar estructuradas de manera que indiquen el grado de cumplimiento de las Normas para el Ejercicio Profesional de la Auditora Interna, el nivel de eficacia de la auditora y en qu medida se cumplen las polticas y normas. Tambin deben proporcionar recomendaciones para la mejora. (Fuente: Libro Rojo 560.03.2) 4. Un programa de evaluaciones internas, particularmente en funciones de auditora interna de menor tamao, requerir adaptaciones que tengan en cuenta la estructura de la actividad de auditora interna y el grado de implicacin del director ejecutivo de auditora en cada trabajo. (Fuente: Libro Rojo 560.03.3)

58

5. El director ejecutivo de auditora debe iniciar y supervisar el proceso de evaluacin interna. Al seleccionar y dar instrucciones al equipo que realiza una evaluacin interna, el director ejecutivo de auditora debe asegurarse de que el equipo est cualificado y sea tan independiente como sea factible. El director ejecutivo de auditora debe revisar los resultados de cada evaluacin interna formal y asegurarse de que se haya tomado accin correctiva apropiada. Aunque el propsito de las evaluaciones internas es evaluar la eficacia de la actividad de auditora interna, para fines internos, puede ser apropiado que el director ejecutivo de auditora comparta los resultados con personas fuera de la actividad, tales como la alta direccin, el Consejo y los auditores externos. Las evaluaciones internas tambin pueden ser tiles como parte del proceso de autoevaluacin en la preparacin para una evaluacin externa. (Fuente: Libro Rojo 560.03.6) 6. Los siguientes mtodos pueden proporcionar elementos de evaluacin, para complementar las revisiones internas formales: Revisiones por el director ejecutivo de auditora, por gerentes de auditora o por supervisores, de una muestra de los trabajos (y de las reas de administracin de auditora), realizados bajo la direccin de otros gerentes o supervisores. Como un proceso continuo, esto puede proporcionar formacin, intercambio de ideas y mayor uniformidad, as como aportar seguridad al director ejecutivo de auditora. Respuestas de parte de los clientes del trabajo (adems de las que se obtienen por el contacto personal) mediante el uso de cuestionarios o encuestas, bien de forma rutinaria despus de cada trabajo o peridicamente para trabajos seleccionados. Este proceso permitir obtener la percepcin que tiene la direccin de la actividad de auditora interna y tambin puede dar lugar a sugerencias que la hagan ms eficaz y sensible a las necesidades de la direccin. (Fuente: Libro Rojo 560.03.4)
January 5, 2001

Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher.

59

60

Consejo para la Prctica 1312-1: Evaluaciones Externas

Interpretacin de la Norma 1312 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 1312 Evaluaciones Externas Deben realizarse evaluaciones externas, tales como revisiones de aseguramiento de calidad, al menos una vez cada cinco aos por un revisor o equipo de revisin cualificado e independiente, proveniente de fuera de la organizacin. (Fuente: Libro Rojo 560.03) Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias referidas a las evaluaciones externas. Esta gua no pretende abarcar todas las consideraciones que pueden ser necesarias, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

1. Las evaluaciones externas de la actividad de auditora interna deben ser realizadas para evaluar la calidad de sus operaciones. Al trmino de la evaluacin, se debe emitir un informe u otro tipo de comunicacin formal. El informe debe expresar una opinin sobre el cumplimiento por parte de la actividad de auditora interna de las Normas para el Ejercicio Profesional de la Auditora Interna y, segn sea apropiado, debe incluir recomendaciones para mejoras. (Fuente: Libro Rojo 560.04) 2. Las evaluaciones externas pueden proporcionar un valor considerable al director ejecutivo de auditora y a otros miembros de la actividad de auditora interna. Otro propsito importante es proporcionar una garanta de la calidad independiente para la alta direccin, para el Consejo y para otros, tales como los auditores externos, que confan en el trabajo de la actividad de auditora interna. El director ejecutivo de auditora debe tratar con la alta direccin y con el Consejo la naturaleza de una evaluacin externa en el contexto de un programa de garanta de la calidad completo y debe implicarlos en la seleccin del revisor externo. (Fuente: Libro Rojo 560.04.2) 3. Las revisiones externas deben ser realizadas por personas cualificadas, que sean independientes de la organizacin y que no tengan conflictos de intereses ni reales ni aparentes. Personas cualificadas son aquellas con un nivel de pericia tcnica y formacin apropiados a las actividades de auditora que sern revisadas y pueden incluir auditores internos de fuera de la organizacin o proveedores de servicios externos. Independientes de la organizacin significa que no formen parte, o no estn bajo el control de la organizacin a la cual pertenece la actividad de auditora interna. Los grupos de evaluadores pueden incluir a auditores internos de fuera de la organizacin, consultores externos, o auditores externos. En la seleccin del revisor externo, deben tenerse en cuenta los posibles conflictos de intereses reales o aparentes que pueda tener el revisor, debidos a las relaciones actuales o pasadas con la organizacin o con su actividad de auditora interna. (Fuente: Libro Rojo 560.04.3) 4. Las evaluaciones conducidas por personas que pertenecen a otro departamento de la organizacin (por ejemplo, personas de los departamentos legales o de contralora), si bien son independientes de la actividad de auditora interna desde el punto de vista de la organizacin, no son consideradas independientes para los fines de una evaluacin externa. Adems, estas personas pueden tener un conflicto de intereses real o aparente. Por tanto, dichas evaluaciones generalmente 61

no satisfaran las guas para las evaluaciones externas establecidas en las Normas. (Fuente: PSPR 97-2)

5. Las organizaciones de auditores externos en varios pases tienen establecidos ciertos procedimientos de revisin limitados, que deben tener en cuenta en la evaluacin y utilizacin del trabajo de la actividad de auditora interna. Hacen referencia principalmente a la calidad del trabajo y al grado de independencia respecto de los clientes de auditora. Estos procedimientos de revisin limitados por parte de los auditores externos, usualmente se refieren slo a sus auditoras de los estados financieros de la organizacin y generalmente no constituyen una evaluacin externa. (Fuente: Libro Rojo 560.04.4)
Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher. Janurary 5, 2001

62

Consejo para la Prctica 1312-2: Evaluaciones Externas: Autoevaluacin con Validacin Independiente
Interpretacin de la Norma 1312 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 1312 Evaluaciones Externas Deben realizarse evaluaciones externas, tales como revisiones de aseguramiento de calidad, al menos una vez cada cinco aos por un revisor o equipo de revisin cualificado e independiente, proveniente de fuera de la organizacin. Naturaleza de este Consejo para la Prctica Naturaleza de este Consejo para la Prctica: Los auditores internos deben tener en cuenta estas sugerencias cuando planifican y contratan la realizacin de une evaluacin externa de su actividad de auditora interna. Esta gua no pretende representar todas las consideraciones necesarias para una evaluacin externa sino ser simplemente un conjunto de consideraciones recomendadas de alto nivel respecto de la evaluacin externa. El cumplimiento de este Consejo para la Prctica es opcional.

1. Resea de un Programa de Aseguramiento y Mejora de la Calidad (PAMC) El director ejecutivo de auditora (DEA) es el responsable de establecer una actividad de auditora interna cuyo alcance de trabajo incluya todas las actividades establecidas en las Normas y en la definicin de auditora interna proporcionada por el Instituto de Auditores Internos (Normas - Introduccin - P.3, primer prrafo). Para asegurar que esto ocurra, la Norma 1300 requiere que el DEA desarrolle y mantenga un Programa de Aseguramiento y Mejora de la Calidad (PAMC). El PAMC debe incluir una evaluacin externa peridica, realizada al menos una vez cada cinco aos por un revisor o equipo de revisin cualificado e independiente. Estas evaluaciones externas deben cubrir el amplio espectro del trabajo de auditora y consultora desempeado por la actividad de auditora interna y no debe estar limitado a la evaluacin de su PAMC. Vase el Consejo para la Prctica 1300-1. 2. Autoevaluacin con Validacin Independiente En respuesta a la inquietud respecto de que una evaluacin externa realizada por una persona o equipo independientes pueda resultar onerosa para actividades de auditora interna de pequeo tamao, el Instituto de Auditores Internos ha establecido un proceso alternativo denominado "autoevaluacin con validacin (externa) independiente", que tiene las siguientes caractersticas: Un proceso amplio y totalmente documentado, que debe emular el proceso de evaluacin externa, al menos con respecto a la evaluacin de cumplimiento de las Normas. Una validacin independiente realizada en la localizacin por un revisor cualificado. Requerimientos econmicos de tiempo y recursos (por ejemplo, el enfoque principal estara en el cumplimiento de las Normas). Podr reducirse u omitirse la atencin dada a otras reas tales como el "benchmarking", la revisin y consulta respecto de la utilizacin de mejores prcticas, y entrevistas con la alta direccin y la gerencia operativa (cuyos puntos de vista ya son conocidos por el DEA y el personal de la actividad de auditora interna). Por otro lado, se aplicaran los mismos requerimientos y criterios establecidos en el Consejo para la Prctica 1312-1 para lo siguiente:: Consideraciones generales. Calificaciones del validador independiente (revisor externo). Independencia, integridad y objetividad, competencia, aprobacin por parte de la direccin y el Consejo, alcance (excepto para reas tales como el empleo de herramientas, 63

tcnicas, otras mejores prcticas, desarrollo de carrera y actividades de valor agregado). Comunicacin de resultados (incluyendo las acciones correctivas y su cumplimiento). 3. Un equipo bajo la direccin del DEA ser el encargado de desempear y documentar totalmente el proceso de autoevaluacin. El Manual de Evaluacin de Calidad publicado por el IIA contiene una resea del proceso, incluyendo guas y herramientas para la autoevaluacin. Debe preparase un borrador de informe, similar al de una evaluacin externa. 4. Un validador independiente y cualificado debe desempear pruebas limitadas de la autoevaluacin con el fin de validar los resultados y expresar una opinin sobre el nivel indicado de cumplimiento de las Normas que tenga la actividad. Esta validacin independiente debe seguir el proceso indicado en el Manual de Evaluacin de Calidad del IIA o en un proceso integral similar. 5. Al completar la validacin independiente, que incluye una revisin rigurosa de la evaluacin realizada por el equipo de autoevaluacin respecto del cumplimiento de las Normas y el Cdigo de tica: El validador independiente debe revisar el borrador de informe mencionado en el punto 3 anterior, y tratar de reconciliar los temas no resueltos, si hubiera alguno. Si est de acuerdo con la evaluacin del cumplimiento de las Normas y el Cdigo de tica, el validador independiente debe agregar en el informe su acuerdo con la evaluacin y, en la medida que se considere apropiado, con las observaciones, conclusiones y recomendaciones del informe. Si no est de acuerdo con la evaluacin, el validador independiente debe agregar en el informe su desacuerdo, especificando cules son los puntos del informe con los que no est de acuerdo y, en la medida que se considere apropiado, con las observaciones, conclusiones y recomendaciones significativas del informe. Alternativamente, el validador independiente puede preparar un informe de la validacin independiente por separado, expresando su acuerdo o desacuerdo segn lo mencionado anteriormente, para acompaar al informe de autoevaluacin. El informe o informes finales de la autoevaluacin con validacin independiente debern, finalmente, estar firmados por el equipo de autoevaluacin y por el validador independiente y emitidos por el DEA para la alta direccin y el Consejo. 6. Mientras que una revisin externa completa logra un mximo beneficio para la actividad y debe incluirse en el programa de calidad de la actividad, la autoevaluacin con validacin independiente proporciona un medio alternativo para cumplir totalmente con la Norma 1312. Sin embargo, en la medida de lo posible, con el fin de lograr un proceso de aseguramiento y mejora de calidad con ptimos beneficios, la actividad de auditora interna debe considerar a la autoevaluacin con validacin independiente como una medida interina y esforzarse por realizar una evaluacin externa completa en los perodos siguientes.
Fecha de origen: 25 de mayo de 2004. Todos los contenidos de este sitio web, excepto en los casos expresamente indicados, son de propiedad intelectual de The Institute of Internal Auditors, Inc. (The IIA). Poltica de Privacidad ( Privacy Policy).

64

Consejo para la Prctica 1320-1: Reporte sobre el Programa de Calidad

Interpretacin de la Norma 1320 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 1320 Reporte sobre el Programa de Calidad El director ejecutivo de auditora debe comunicar los resultados de las evaluaciones externas al Consejo. (Fuente: Libro Rojo 560.04) Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias en ocasin de reportar sobre el programa de calidad. Esta gua no pretende abarcar todas las consideraciones que pueden ser necesarias, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

1. Al finalizar una evaluacin externa, el equipo revisor debe emitir un informe formal que contenga una opinin sobre el cumplimiento por parte de la actividad de auditora interna de las Normas, del Estatuto y de otras normas aplicables, e incluir recomendaciones apropiadas de mejora. El informe debe ser remitido a la persona u organizacin que solicit la evaluacin. El director ejecutivo de auditora debe preparar un plan de accin por escrito en respuesta a los comentarios y recomendaciones significativos contenidos en el informe de evaluacin externa, y es responsable de realizar un seguimiento adecuado del mismo. (Fuente: Libro Rojo 560.04.5) 2. La evaluacin del cumplimiento de las Normas es un componente crtico de la evaluacin externa. El equipo revisor debe conocer las Normas de modo que pueda evaluar y opinar sobre el cumplimiento por parte de la actividad de auditora interna. Sin embargo, segn se expresa en el Consejo para la Prctica 1310-1, hay criterios adicionales que deben considerarse al evaluar el desempeo de la actividad de auditora interna. (Fuente: PSPR 97-5)
Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher. January 5, 2001

65

Consejo para la Prctica 1330-1: Utilizacin de Realizado de Acuerdo con las Normas
Interpretacin de la Norma 1330 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 1330 Utilizacin de Realizado de Acuerdo con las Normas Se anima a los auditores internos a informar que sus actividades son realizadas de acuerdo con las Normas para el Ejercicio Profesional de la Auditora Interna. Sin embargo, los auditores internos podrn utilizar esta declaracin slo si las evaluaciones del programa de mejoramiento de calidad demuestran que la actividad de auditora interna cumple con las Normas. (Fuente: Nuevo) Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias al utilizar la frase realizado de acuerdo con las Normas. Esta gua no pretende abarcar todas las consideraciones que pueden ser necesarias, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

1. En todo el mundo, la auditora interna se practica en ambientes diversos y en organizaciones que difieren en propsito, tamao y estructura. Adems, las leyes y costumbres difieren de un pas a otro. Estas diferencias pueden afectar la prctica de la auditora interna en cada caso. La aplicacin de las Normas para el Ejercicio Profesional de la Auditora Interna quedar, por tanto, condicionada por el entorno en el cual la actividad de auditora interna lleva a cabo sus responsabilidades. El cumplimiento de los conceptos enunciados por las Normas para el Ejercicio Profesional de la Auditora Interna es esencial para que los auditores internos puedan cumplir con sus responsabilidades. (Fuente: PSPR 96-2) 2. Las Normas proporcionan un marco dentro del cual los auditores internos deben ejercer su prctica profesional. Acompaando a las Normas se encuentran los Consejos para la Prctica que interpretan y describen medios adecuados para cumplir con dichas normas. El trmino cumplimiento significa que la actividad de auditora interna y los auditores internos han adoptado los medios adecuados para cumplir con las Normas. (Fuente: PSPR 96-2) 3. El director ejecutivo de auditora debe determinar si la actividad de auditora interna cumple con las Normas para el Ejercicio Profesional de la Auditora Interna. El director ejecutivo de auditora puede utilizar las tcnicas identificadas en las Normas 1300 1340 y en las guas relacionadas, para determinar el cumplimiento de las Normas. (Fuente: PSPR 96-3)
Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher. Janurary 5, 2001

66

Consejo para la Prctica 2000-1: Administracin de la Actividad de Auditora Interna

Interpretacin de la Norma 2000 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada 2000 Administracin de la Actividad Auditora Interna de Naturaleza de este Consejo para la Prctica: Los auditores internos deben tener en cuenta las siguientes sugerencias referidas a la administracin de la actividad de auditora interna. Esta gua no pretende abarcar todas las consideraciones que pueden ser necesarias, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

El director ejecutivo de auditora interna debe gestionar efectivamente la actividad de auditora interna para asegurar que aada valor a la organizacin. (Fuente: Libro Rojo 500)

1. El director ejecutivo de auditora es responsable de administrar adecuadamente la actividad de auditora interna, de forma que: El trabajo de auditora cumpla los objetivos generales y las responsabilidades descriptos en el Estatuto, aprobados por la alta direccin, y aceptados por el Consejo. Los recursos de la actividad de auditora interna sean empleados con eficiencia y eficacia. El trabajo de auditora cumpla con las Normas para el Ejercicio Profesional de la Auditora Interna. (Fuente: Libro Rojo 500.01)

Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher.

January 5, 2001

67

Consejo para la Prctica 2010-1: Planificacin

Interpretacin de la Norma 2010 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2010 Planificacin El director ejecutivo de auditora debe establecer planes basados en los riesgos, a fin de determinar las prioridades de la actividad de auditora interna. Dichos planes debern ser consistentes con las metas de la organizacin. (Fuente: Libro Rojo 520) Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias al planificar la actividad de auditora interna. Esta gua no pretende abarcar todas las consideraciones que pueden ser necesarias, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

1. La planificacin de la actividad de auditora interna debe ser coherente con su Estatuto y con las metas de la organizacin. El proceso de planificacin implica el establecimiento de: Metas. Programas de trabajo. Planes de personal y presupuestos financieros. Informes de actividad. (Fuente: Libro Rojo 520.02) 2. Las metas de la actividad de auditora interna deben poderse llevar a cabo dentro de los planes operativos y presupuestos especificados y, en lo posible, deben ser susceptibles de medicin. Deben estar acompaadas de criterios de medicin y fechas estimadas de realizacin. (Fuente: Libro Rojo 520.03) 3. Los programas de trabajo deben incluir lo siguiente:

qu actividades sern desempeadas, cundo sern realizadas, y el tiempo estimado requerido, teniendo en cuenta el alcance del trabajo planificado y la naturaleza y extensin del trabajo realizado por otros. 4. Los aspectos que deben considerarse al establecer las prioridades del programa de trabajo incluyen: fechas y resultados del ltimo trabajo, evaluaciones actualizadas de riesgos, y eficacia de la gestin de riesgos y de los procesos de control, requerimientos de la alta direccin, del comit de auditora, y del cuerpo de gobierno, temas actuales referidos al gobierno de la organizacin, cambios significativos en el negocio, operaciones, programas, sistemas y controles de la empresa, oportunidades de alcanzar beneficios operativos, y cambios y capacidades del personal de auditora. Los programas de trabajo deben ser lo suficientemente flexibles para que la actividad de auditora interna pueda responder a solicitudes no previstas. (Fuente: Libro Rojo 520.04)
Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher. January 5, 2001

68

69

Consejo para la Prctica 2010-2: Enlace del Plan de Auditora con los Riesgos y Exposiciones
Interpretacin de la Norma 2010 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2010 Planificacin El director ejecutivo de auditora debe establecer planes basados en los riesgos, a fin de determinar las prioridades de la actividad de auditora interna. Dichos planes debern ser consistentes con las metas de la organizacin. (Fuente: Libro Rojo 300) Naturaleza de este Consejo para la Prctica: La estrategia de riesgos de la organizacin debe estar reflejada en el diseo del plan de trabajo de la actividad de auditora interna. Debe aplicarse un enfoque coordinado para aumentar las sinergias entre la gestin de riesgos de la organizacin y los procesos de auditora interna. Podrn requerirse consideraciones adicionales, ms all de las contenidas en este Consejo. El cumplimiento de este Consejo para la Prctica es opcional.

1. El plan de trabajo de la actividad de auditora interna debe estar basado en una evaluacin de riesgos y exposiciones que puedan afectar a la organizacin. El objetivo final de auditora es proporcionar a la direccin la informacin que pueda mitigar las consecuencias negativas asociadas con el cumplimiento de los objetivos de la organizacin. El grado o materialidad de la exposicin puede ser visto como riesgo mitigado al establecer actividades de control. 2. El universo de auditora puede incluir componentes del plan estratgico de la organizacin. Al incorporar esos componentes, el universo de auditora considerar y reflejar los objetivos del plan general de negocios. Los planes estratgicos probablemente tambin reflejarn la actitud de la organizacin hacia el riesgo y el grado de dificultad para cumplir con los objetivos planificados. Se aconseja evaluar el universo de auditora al menos una vez al ao, con el fin de reflejar las estrategias y direccin de la organizacin ms actualizadas. El universo de auditora puede estar influenciado por los resultados del proceso de gestin de riesgos. Al confeccionar los planes de auditora, debern tenerse en cuenta los resultados del proceso de gestin de riesgos. 3. El calendario de trabajo de auditora debe estar basado, entre otros factores, en las prioridades de una evaluacin de riesgos y exposiciones. Establecer prioridades es necesario para tomar decisiones al asignar los recursos relativos basados en la significatividad del riesgo y la exposicin. Existe una gran variedad de modelos de riesgo para ayudar al director de auditora interna a establecer prioridades entre las reas potenciales a auditar. La mayora de los modelos de riesgo utilizan factores de riesgo para establecer la prioridad de los trabajos, tales como: materialidad medida en moneda corriente; liquidez de activos; competencia de la gerencia; calidad de los controles internos; grado de cambio o estabilidad; tiempo transcurrido desde la ltima auditora; complejidad; relaciones del personal y gubernamentales; etc. 4. Los cambios en la direccin de la gestin, objetivos, nfasis y enfoques, deben reflejarse en las actualizaciones del universo de auditora y el plan de trabajo relacionado. 5. Al llevar a cabo trabajos de auditora los mtodos y tcnicas de pruebas y validaciones de exposiciones deben reflejar la materialidad del riesgo y la probabilidad de ocurrencia. 6. La informacin y comunicacin a la direccin deben transmitir conclusiones de gestin de riesgos y recomendaciones para reducir las exposiciones. Con el fin de que la direccin comprenda claramente 70

el grado de exposicin, es indispensable que el informe de auditora identifique la importancia y consecuencias de la actividad de riesgo para lograr los objetivos. 7. El director ejecutivo de auditora debe preparar un estado de la adecuacin de los controles internos para mitigar los riesgos, al menos una vez al ao. Este estado debe tambin contener comentarios sobre la significatividad de los riesgos no mitigados y la aceptacin de los mismos por parte de la gerencia o direccin.
Copyright 2001, The Institute of Internal Auditors Origen: 7 de marzo de 2001

71

Consejo para la Prctica 2020-1: Comunicacin y Aprobacin

Interpretacin de la Norma 2020 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2020 Comunicacin y Aprobacin El director ejecutivo de auditora debe comunicar los planes y requerimientos de recursos de la actividad de auditora interna, incluyendo los cambios provisorios significativos, a la alta direccin y al Consejo para la adecuada revisin y aprobacin. El director ejecutivo de auditora tambin debe comunicar el impacto de cualquier limitacin de recursos. (Fuente: Libro Rojo 110.01.5) Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias al comunicar y requerir aprobacin de los planes y recursos para la actividad de auditora interna. Esta gua no pretende abarcar todas las consideraciones que pueden ser necesarias, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

1. El director ejecutivo de auditora debe presentar anualmente a la alta direccin, para su aprobacin, y al Consejo para su informacin, un resumen de la programacin de trabajos, del plan de personal y del presupuesto financiero de la actividad de auditora interna. El director ejecutivo de auditora debe tambin presentar todos los cambios eventuales significativos para su aprobacin e informacin. La programacin de trabajos, el plan de personal y el presupuesto financiero deben informar a la alta direccin y al Consejo el alcance del trabajo de auditora interna y cualquier limitacin puesta sobre dicho alcance. (Fuente: Libro Rojo 110.01.5) 2. La programacin de trabajos, el plan de personal y el presupuesto financiero aprobados, junto con todos los cambios eventuales significativos, deben contener la informacin suficiente para permitir que el Consejo determine si los objetivos y planes de la actividad de auditora interna apoyan a los de la organizacin y el Consejo. (Fuente: Libro Rojo 110.01.5.a)
Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher. January 5, 2001

72

Consejo para la Prctica 2030-1: Administracin de Recursos

Interpretacin de la Norma 2030 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2030 Administracin de Recursos El director ejecutivo de auditora debe asegurar que los recursos de auditora interna sean adecuados, suficientes y efectivamente asignados para cumplir con el plan aprobado. (Fuente: Libro Rojo 520, 220) Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias al evaluar los recursos de auditora interna. Esta gua no pretende abarcar todas las consideraciones que pueden ser necesarias durante dicha evaluacin, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

1. Los planes de personal y presupuestos conocimientos, tcnicas y competencias determinados partiendo de la planificacin exigencias de formacin y preparacin, y auditora. (Fuente: Libro Rojo 520.05)

financieros, incluyendo la cantidad de auditores y los exigidos para desempear su trabajo, deben ser de trabajos, de las actividades administrativas, de las de los esfuerzos de desarrollo e investigacin sobre

2. El director ejecutivo de auditora debe establecer un programa para la seleccin y el desarrollo de los recursos humanos de la actividad de auditora interna. El programa debe contemplar: La descripcin escrita de los puestos de trabajo, para cada nivel del personal de auditora. La seleccin de personal cualificado y competente.

La formacin, y proporcionar oportunidades de educacin continua para cada auditor interno. La evaluacin del desempeo de cada auditor interno, al menos una vez al ao.

Proporcionar consejo a los auditores internos sobre su desempeo y desarrollo profesional. (Fuente: Libro Rojo 540, 540.01)
Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher. January 5, 2001

73

Consejo para la Prctica 2040-1: Polticas y Procedimientos

Interpretacin de la Norma 2040 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: Procedimientos 2040 Polticas y Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias al establecer polticas y procedimientos. Esta gua no pretende abarcar todas las consideraciones que pueden ser necesarias, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

El director ejecutivo de auditora debe establecer polticas y procedimientos para guiar la actividad de auditora interna. (Fuente: Libro Rojo 530)

1. El formato y el contenido de las polticas y procedimientos deben ser apropiados al tamao y a la estructura de la actividad de auditora interna y a la complejidad de su trabajo. No todas las entidades de auditora interna necesitan de manuales formales administrativos y tcnicos de auditora. Una actividad de auditora interna de pequeo tamao puede ser administrada informalmente. Su personal de auditora puede ser dirigido y controlado mediante una estrecha supervisin diaria y mediante memoranda por escrito. En una actividad de auditora interna de gran tamao son esenciales las polticas y los procedimientos para orientar al personal de auditora en el cumplimiento coherente de las normas de desempeo de la actividad de auditora interna. (Fuente: Libro Rojo 530.01)
Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher. January 5, 2001

74

Consejo para la Prctica 2050-1: Coordinacin

Interpretacin de la Norma 2050 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2050 Coordinacin El director ejecutivo de auditora debe compartir informacin y coordinar actividades con otros proveedores internos y externos de aseguramiento y servicios de consultora relevantes para asegurar una cobertura adecuada y minimizar la duplicacin de esfuerzos. (Fuente: Libro Rojo 550) Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias al coordinar actividades con otros proveedores de aseguramiento y servicios de consultora relevantes. Esta gua no pretende abarcar todas las consideraciones que pueden ser necesarias, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

1. El trabajo de auditora interna y externa debe ser coordinado para asegurar una cobertura adecuada de auditora y minimizar la duplicidad de esfuerzos. El alcance del trabajo de auditora interna abarca un enfoque sistemtico y disciplinado para evaluar y mejorar la eficacia de los procesos de gestin de riesgo, control y gobierno. Dicho alcance est descripto en la Seccin 2100 de las Normas. Por otra parte, el examen ordinario de los auditores internos est encaminado a obtener evidencia suficiente que soporte una opinin sobre la confiabilidad general de los estados financieros anuales. El alcance del trabajo de los auditores externos est determinado por sus normas profesionales, y ellos son los responsables de juzgar la adecuacin de los procedimientos aplicados y la evidencia obtenida con el propsito de expresar su opinin sobre los estados financieros anuales. (Fuente: Libro Rojo 550.01.1) 2. La supervisin del trabajo de los auditores externos, incluida la coordinacin con la actividad de auditora interna, generalmente es responsabilidad del Consejo. La coordinacin de hecho debe ser responsabilidad del director ejecutivo de auditora, quien requerir el apoyo del Consejo para lograr una eficaz coordinacin del trabajo de auditora. (Fuente: Libro Rojo 550.01.2) 3. Al coordinar el trabajo de los auditores internos con el trabajo de los auditores externos, el director ejecutivo de auditora debe asegurar que el trabajo a realizar por los auditores internos en cumplimiento de la Seccin 2100 de las Normas no se duplica con el trabajo de los auditores externos, que deben confiar, a estos efectos, en la cobertura de la auditora interna. En la medida en que las responsabilidades de informacin de tipo profesional o de la organizacin lo permitan, los auditores internos deben realizar sus trabajos de forma que permitan una coordinacin y eficacia mxima de la auditora. (Fuente: Libro Rojo 550.01.3) 4. El director ejecutivo de auditora puede acordar la realizacin de trabajos para los auditores externos referidos a su auditora anual de los estados financieros. Este trabajo de apoyo a los auditores externos en el cumplimiento de su responsabilidad estar de acuerdo con todos los contenidos relevantes de las Normas para el Ejercicio Profesional de la Auditora Interna. (Fuente: Libro Rojo 550.01.4) 5. El director ejecutivo de auditora debe realizar evaluaciones peridicas de la coordinacin entre auditores internos y externos. Estas evaluaciones pueden incluir tambin evaluaciones de la eficiencia y efectividad general de las funciones de auditora interna y externa, incluyendo los costos totales de auditora. (Fuente: Libro Rojo 550.01.5) 6. En el ejercicio de su funcin de supervisin, el Consejo puede requerir al director ejecutivo de auditora que evale el desempeo de los auditores externos. Estas evaluaciones deben ser hechas en el contexto de la funcin del director ejecutivo de auditora como coordinador de las actividades de 75

auditora interna y externa, y slo se ampliaran a otros temas de su actuacin a pedido especfico de la alta direccin o del Consejo. Las evaluaciones del desempeo de los auditores externos con respecto a la coordinacin de las actividades de auditora interna y externa deben reflejar los criterios indicados en este Consejo para la Prctica. (Fuente: Libro Rojo 550.01.7) 7. Las evaluaciones del desempeo de los auditores externos que se amplen a otros temas, adems de la coordinacin con los auditores internos, pueden referirse a factores adicionales como: Conocimiento y experiencia profesionales. Conocimiento del sector de la organizacin. Independencia. Disponibilidad de servicios especializados. Anticipacin y respuesta a las necesidades de la organizacin. Continuidad razonable del personal clave contratado. Mantenimiento de relaciones laborales adecuadas. Cumplimiento de compromisos contractuales. Aportacin de valor aadido a la organizacin. (Fuente: Libro Rojo 550.01.8)

8. El director ejecutivo de auditora debe comunicar los resultados de las evaluaciones de la coordinacin entre auditores internos y externos a la alta direccin y al Consejo y, en caso de ser necesario, incluir cualquier comentario relevante sobre el desempeo de los auditores externos. (Fuente: Libro Rojo 550.01.9) 9. Las normas profesionales de los auditores externos pueden requerirles que se aseguren de que ciertos temas sean comunicados al Consejo. El director ejecutivo de auditora debe comunicarse con los auditores externos con respecto a estos temas para tener un conocimiento de los asuntos. Entre estos pueden citarse los siguientes: Cuestiones que puedan afectar la independencia de los auditores externos. Debilidades de control significativas. Errores e irregularidades. Actos ilegales. Criterios de la direccin y estimaciones contables. Ajustes de auditora significativos. Desacuerdos con la direccin. Dificultades encontradas al realizar la auditora. (Fuente: Libro Rojo 550.01.10)

10. La coordinacin de esfuerzos de auditora implica la realizacin de reuniones peridicas para discutir asuntos de mutuo inters. (Fuente: Libro Rojo 550.02) Cobertura de auditora. Las actividades de auditora planificadas de los auditores internos y externos deben ser discutidas para asegurar que la cobertura de auditora est coordinada y se minimiza la duplicidad de esfuerzos. Se deben programar las reuniones suficientes durante el proceso de auditora para asegurar la coordinacin del trabajo de auditora y la finalizacin eficiente y en tiempo de las actividades de auditora, y para determinar si las observaciones y recomendaciones del trabajo realizado hasta la fecha requieren que el alcance planificado sea modificado. (Fuente: Libro Rojo 550.02.1) Acceso mutuo a los programas de auditora y papeles de trabajo . El acceso a los programas y papeles de trabajo de los auditores externos puede ser importante para que los auditores internos queden satisfechos de la conveniencia de confiar, para los fines de auditora interna, en el trabajo de los 76

auditores externos. Dicho acceso conlleva la responsabilidad para los auditores internos de respetar la confidencialidad de aquellos programas y papeles de trabajo. Igualmente, se debe permitir el acceso de los auditores externos a los programas y papeles de trabajo de los auditores internos para que los auditores externos queden satisfechos de la conveniencia de confiar, para los fines de la auditora externa, en el trabajo de los auditores internos. (Fuente: Libro Rojo 550.02.2) Intercambio de informes de auditora y de cartas de la direccin. Las comunicaciones finales de auditora interna, las respuestas de la direccin a dichas comunicaciones y su seguimiento posterior por la auditora interna deben ponerse a disposicin de los auditores externos. Estas comunicaciones les ayudan a determinar y adecuar el alcance del trabajo. Adems, los auditores internos deben tener acceso a las cartas de direccin de los auditores externos. Los temas tratados en estas cartas ayudan a los auditores internos a planificar las reas a enfatizar en futuros trabajos de auditora interna. Despus de la revisin de dichas cartas y del inicio de cualquier accin correctiva por parte de la direccin y del Consejo, el director ejecutivo de auditora debe asegurar que se realice un seguimiento adecuado y que se hayan tomado las medidas correctivas. (Fuente: Libro Rojo 550.02.3) Entendimiento comn de las tcnicas, mtodos y terminologa de auditora. En primer trmino, el director ejecutivo de auditora debe comprender el alcance del trabajo planificado por los auditores externos y debe estar satisfecho con que dicho trabajo, en conexin con el planificado por la auditora interna, satisface los requerimientos de la Seccin 2100 de las Normas. Esta satisfaccin requiere un entendimiento del nivel de materialidad utilizado por los auditores externos en su planificacin y de la naturaleza y extensin de los procedimientos planificados por los auditores externos. En segundo trmino, el director ejecutivo de auditora debe asegurar que las tcnicas, mtodos y terminologa de los auditores externos sean suficientemente comprendidos por los auditores internos y le permitan: (1) coordinar el trabajo de auditora interna y externa, (2) evaluar, para tener confianza, el trabajo de los auditores externos, y (3) asegurar que los auditores internos que desempeen trabajos para cumplir con los objetivos de los auditores externos puedan comunicarse de manera eficaz con stos. Finalmente, el director ejecutivo de auditora debe proporcionar informacin suficiente que permita a los auditores externos entender las tcnicas, mtodos y terminologa que facilite la confianza de aquellos en el trabajo realizado utilizando dichas tcnicas, mtodos y terminologa. Podra ser ms eficiente para los auditores internos y externos la utilizacin de tcnicas, mtodos y terminologa similares para coordinar de forma efectiva sus trabajos y confiar cada uno en el trabajo del otro. (Fuente: Libro Rojo 550.02.4)

Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise without prior written permission of the publisher.

January 7, 2001

77

Consejo para la Prctica 2050-2: Adquisicin de Servicios de Auditora Externa

Interpretacin de la Norma 2050 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: Norma 2050 Coordinacin El director ejecutivo de auditora debe compartir informacin y coordinar actividades con otros proveedores internos y externos de aseguramiento y servicios de consultora relevantes para asegurar una cobertura adecuada y minimizar la duplicacin de esfuerzos. Naturaleza de este Consejo para la Prctica: La siguiente gua debe ser tenida en cuenta por los directores ejecutivos de auditora cuando se les solicite o asigne la responsabilidad de adquirir servicios de auditora externa. Esta gua tambin puede ser til para el comit de auditora y la direccin financiera cuando estn a cargo de obtener servicios de auditora externa. Las consideraciones contenidas en este Consejo para la Prctica no pretenden abarcar una lista completa de todas las consideraciones que puedan ser necesarias en cada situacin. Los directores ejecutivos de auditora deben adaptar y ajustar esta gua cuando sea necesario, para cada caso especfico. Este Consejo para la Prctica es especialmente til en el caso de contratacin de servicios de auditora externa para las auditoras de estados contables, pero tambin puede ser til en la obtencin de servicios de auditora externa para otro tipo de trabajos. Vase el Consejo para la Prctica 2050-1: Coordinacin, para obtener gua referida a la coordinacin de las actividades entre auditora interna y externa. El cumplimiento de este Consejo para la Prctica es opcional.

1. La participacin del auditor interno en la seleccin, evaluacin, o retencin de los auditores externos de la organizacin puede variar, desde no tener ningn rol, hasta aconsejar a la direccin o al comit de auditora, brindar asistencia o participacin en el proceso, direccin del proceso, o auditor el proceso. Dado que las Normas del IIA requieren a los auditores internos compartir informacin y coordinar actividades con otros proveedores internos y externos de aseguramiento y servicios de consultora relevantes, es aconsejable que los auditores internos tengan algn rol o participacin relevante en la seleccin o retencin de los auditores externos y en la definicin del alcance de su trabajo. 2. Una poltica aprobada por el Consejo de Administracin o el comit de auditora puede facilitar la solicitud peridica de servicios de auditora externa y posicionar estas prcticas como actividades normales del negocio, de modo que los actuales prestadores de estos servicios no vean la decisin de solicitud de propuestas como una seal de que la organizacin no est satisfecha con los servicios prestados actualmente. Si no existe una poltica especfica, el auditor interno debe determinar si tales servicios estn sujetos a alguna otra poltica de compras existente en la organizacin. En ausencia de polticas apropiadas, el auditor interno debe propiciar que se confeccionen polticas para este fin. 3. Las polticas apropiadas para la seleccin o retencin de servicios de auditora externa deben tener el cuenta los siguiente atributos:

Aprobacin de la poltica por el Consejo de Administracin o el comit de auditora. Naturaleza y tipo de servicios contemplados en la poltica.

Duracin del contrato, frecuencia de la solicitud formal de servicios y determinacin de mantener a

los prestadores actuales.

78

 Participantes o miembros del equipo de seleccin y evaluacin. Cualquier criterio fundamental o importante que deba ser tenido en cuenta en la evaluacin. Limitaciones a los honorarios de estos servicios y procedimientos para aprobar excepciones a la

poltica. pases.

Exigencias de reglamentaciones o de otro tipo que gobiernen particularmente el tipo de industrias o

4. Una poltica del Consejo de Administracin tambin puede referirse a la adquisicin de servicios distintos de la auditora de estados contables, que sern prestados por las firmas de auditora externa. Estos servicios podran ser:
Servicios tributarios. Consultora y otros servicios distintos de auditora. Servicios de outsourcing (tercerizacin) y co-sourcing (tercerizacin conjunta) de auditora

interna. (Para una gua ms especfica, vase el Consejo para la Prctica 2030-2: Requerimientos de Independencia del Auditor Externo para Prestar Servicios de Auditora Interna, Exigidos por la SEC Securities and Exchange Commission-).

Otro tipo de servicios de outsourcing y co-sourcing. Servicios especiales, segn lo acordado en contratos al efecto. Servicios de valuacin, estimacin y actuariales. Servicios temporarios, tales como la bsqueda de personal, contabilidad, tecnologa. Servicios legales.

5. Debe mantenerse la documentacin apropiada concerniente a la decisin formal y peridica de retener al prestador actual del servicio y a desistir o demorar las solicitudes de otros potenciales prestadores del servicio. 6. Debe confeccionarse un plan para el proceso de seleccin que identifique a los participantes del comit de seleccin, los entregas clave y las fechas de culminacin de cada fase del proceso, los candidatos a quienes solicitar las propuestas, la naturaleza y extensin de los servicios a solicitar, y cmo se comunicar la informacin a los potenciales candidatos. A menudo, al comienzo del proceso de seleccin, la organizacin puede hacer una reunin integral con todos los candidatos potenciales, en la cual la direccin hace una presentacin formal cubriendo la informacin pertinente al servicio solicitado y le entrega a los candidatos un paquete de informacin formal o un informe que describa los servicios solicitados. A esta reunin general le pueden seguir reuniones individuales con cada candidato, e incluir a representantes de la gerencia apropiados. Otros tipos de combinacin de reuniones y paquetes informativos sern tambin tiles o apropiados para situaciones especiales. 7. Puede ser necesaria una solicitud de dos fases para facilitar el proceso de seleccin de modo de reducir los potenciales prestadores de servicios a una cantidad final razonable. Las solicitudes de informacin iniciales deben centrarse en obtener estados adecuados de las calificaciones, incluyendo los antecedentes y otra informacin general sobre los candidatos potenciales. Debe obtenerse informacin tal como la historia de la firma, su tamao, los recursos disponibles, su filosofa y enfoque de auditora, su experiencia particular, la oficina local que estara a cargo del trabajo, su 79

experiencia respecto de la industria, los currculums de los principales miembros del equipo que estaran asignados al trabajo. 8. Despus del proceso inicial de seleccin, a aquellos candidatos seleccionados para continuar a la fase siguiente se les debe enviar una segunda solicitud de informacin que proporcione datos ms especficos sobre los servicios requeridos. Es decir, una solicitud de servicios que detalle todas las entregas y fechas de terminacin esperadas. Se les debe requerir a los candidatos que proporcionen detalles especficos, incluyendo el precio de los servicios. Se les puede entregar un calendario recordatorio del proceso, con las fechas de entrega de aqulla informacin adicional requerida, las reuniones para presentaciones hechas por los candidatos al comit de seleccin, y la fecha de la seleccin final. Esta solicitud de servicios detallada debe ser especfica para cada uno de los servicios requeridos y debe indicar si los servicios podrn ser otorgados como un nico paquete o particionados entre mltiples candidatos. 9. Puede ser conveniente comparar y resumir los atributos de los candidatos de acuerdo con criterios clave, y exponerlo en un formato que facilite la evaluacin consistente de todos los prestadores. Tambin se pueden hacer preguntas que estimulen las apreciaciones y centren la evaluacin en criterios clave. Un formulario de evaluacin puede facilitar la recoleccin del anlisis y las conclusiones que cada participante efecte sobre cada candidato. La informacin de antecedentes tales como la historia de la organizacin con los diversos candidatos, los tipos de servicios prestados en el pasado y los honorarios pagados, pueden dar al equipo de seleccin una perspectiva apropiada para comenzar la evaluacin. 10. Los acuerdos por los trabajos de auditora externa deben documentarse por escrito y estar firmados por el prestador del servicio y el cliente del trabajo. 11. Si como resultado del proceso de seleccin se produce un cambio en los prestadores del servicio, deben confeccionarse planes apropiados de transicin, con el fin de facilitar un cambio ordenado y fluido. 12. Los auditores internos deben determinar la forma en que la organizacin supervisar los servicios en curso prestados por los auditores externos. El cumplimiento de los trminos del contrato y otros acuerdos del servicio deben evaluarse en forma oportuna. La evaluacin de la independencia de los auditores externos debe incluir la participacin de auditora interna, deber ser realizada al menos una vez al ao y comunicada al comit de auditora. Las organizaciones que estn sujetas a los requerimientos de informacin de la SEC deben ver el Consejo para la Prctica 2030-2: Requerimientos de Independencia del Auditor Externo para Prestar Servicios de Auditora Interna, Exigidos por la SEC (Securities and Exchange Commission).
Copyright 2002, The Institute of Internal Auditors Origen: 7 de febrero de 2002.

80

Consejo para la Prctica 2060-1: Informe al Consejo y a la Direccin Superior

Interpretacin de la Norma 2060 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2060 Informe al Consejo y a la Direccin Superior El director ejecutivo de auditora debe informar peridicamente al Consejo y a la alta direccin sobre la actividad de auditora interna en lo referido a propsito, autoridad, responsabilidad y desempeo de su plan. El informe tambin debe incluir exposiciones de riesgo relevantes y cuestiones de control, cuestiones de gobierno corporativo y otras cuestiones necesarias o requeridas por el Consejo y la alta direccin. (Fuente: Libro Rojo 110.01.2) Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias al informar al Consejo y a la direccin superior. Esta gua no pretende abarcar todas las consideraciones que pueden ser necesarias, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

1. El director ejecutivo de auditora debe presentar informes de sus actividades a la alta direccin y al Consejo, al
menos anualmente. Estos informes deben destacar las observaciones y recomendaciones significativas y deben asimismo informar cualquier desviacin significativa que haya surgido en los programas de trabajo, en el plan de personal, y en los presupuestos financieros, y las razones de las mismas. (Fuente: Libro Rojo 110.01.6)

2. Las observaciones significativas surgidas del trabajo son aquellas situaciones que, a juicio del director
ejecutivo de auditora, pueden afectar adversamente a la organizacin. Pueden incluir situaciones referidas a irregularidades, actos ilegales, errores, ineficiencias, desperdicios, ineficacias, conflictos de intereses, y debilidades de control. Despus de revisar dichas situaciones con la alta direccin, el director ejecutivo de auditora debe comunicar las observaciones y recomendaciones significativas al Consejo, tanto si han sido resueltas satisfactoriamente, como si no lo han sido. (Fuente: Libro Rojo 110.01.6b)

3. Es responsabilidad de la direccin tomar las decisiones sobre las medidas apropiadas a adoptar en relacin con
las observaciones y recomendaciones significativas surgidas del trabajo. La alta direccin puede decidir asumir el riesgo de no corregir la situacin informada debido a su costo o a otras consideraciones. Debe informarse al Consejo de las decisiones de la alta direccin sobre todas las observaciones y recomendaciones significativas. (Fuente: Libro Rojo 110.01.6c)

4. El director ejecutivo de auditora debe evaluar si es adecuado volver a informar al Consejo sobre aquellas
observaciones y recomendaciones significativas que ya se comunicaron anteriormente y en las que la alta direccin y el Consejo asumieron el riesgo de no corregir la situacin informada. Esto puede ser especialmente necesario cuando ha habido cambios en la organizacin, el Consejo, la alta direccin u otros cambios. (Fuente: Libro Rojo 110.01.6d)

5. Adems de los temas mencionados anteriormente, los informes de actividad deben comparar: (a) lo realizado
respecto a las metas de la actividad de auditora interna y a los programas de trabajo, y (b) los gastos con los presupuestos financieros. Estos informes deben explicar las razones de las desviaciones significativas e indicar las medidas necesarias tomadas o por tomar. (Fuente: Libro Rojo 520.06)
Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher. January 5, 2001

81

82

Consejo para la Prctica 2060-2: Relaciones con el Comit de Auditora

Interpretacin de la Norma 2060 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2060 Informe al Consejo y a la Direccin Superior El director ejecutivo de auditora debe informar peridicamente al Consejo y a la alta direccin sobre la actividad de auditora interna en lo referido a propsito, autoridad, responsabilidad y desempeo de su plan. El informe tambin debe incluir exposiciones de riesgo relevantes y cuestiones de control, cuestiones de gobierno corporativo y otras cuestiones necesarias o requeridas por el Consejo y la alta direccin. Naturaleza de este Consejo para la Prctica: Los auditores internos deben tener en cuenta las siguientes sugerencias con respecto a las relaciones entre la actividad de auditora interna y el comit de auditora del rgano de gobierno. Esta gua no pretende abarcar todas las consideraciones necesarias, sino simplemente resumir la informacin clave respecto de las relaciones apropiadas entre los comits de auditora y auditora interna. El cumplimiento de este Consejo para la Prctica es opcional.

1. El trmino "comit de auditora" utilizado en este documento se refiere al rgano de gobierno encargado de vigilar las funciones de auditora y control de la organizacin. Si bien estas tareas fiduciarias son a menudo delegadas en un comit de auditora del Consejo de Administracin, la informacin de este Consejo para la Prctica tambin est dirigida a ser aplicada por otros grupos de vigilancia que tengan autoridad y responsabilidad equivalentes, tales como fideicomisarios (sndicos), cuerpos legislativos, propietarios de una entidad manejada por ellos mismos, comits de control interno, o Consejos de Administracin completos. 2. El Instituto de Auditores Internos reconoce que los comits de auditora y los auditores internos tienen metas entrelazadas. Mantener una slida relacin con el comit de auditora es esencial para que cada uno de ellos cumpla con sus responsabilidades ante la alta direccin, el Consejo de Administracin, los accionistas, y otros terceros. Este Consejo para la Prctica resume los puntos de vista del Instituto con respecto a los aspectos y atributos de una apropiada relacin entre un comit de auditora y la funcin de auditora interna. El Instituto reconoce que las responsabilidades del comit de auditora comprenden actividades que van ms all del alcance de este Consejo, y no pretende de ninguna manera hacer aqu una descripcin integral de las responsabilidades del comit de auditora. 3. Existen tres reas de actividades clave para una relacin eficaz entre el comit de auditora y la funcin de auditora interna, principalmente por el Director Ejecutivo de Auditora (DEA):

Prestar asistencia al comit de auditora con el fin de asegurar que su Estatuto, actividades y procesos sean apropiados para cumplir sus responsabilidades. Asegurar que el Estatuto, rol y actividades de auditora interna sean claramente comprendidos y respondan a las necesidades del comit de auditora y del Consejo de Administracin. Mantener comunicaciones abiertas y eficaces con el comit de auditora y su Presidente.

Responsabilidades del Comit de Auditora 4. El DEA debe prestar asistencia al comit de auditora con el fin de que el Estatuto, rol y actividades del comit sean apropiados para que ste cumpla sus responsabilidades. El DEA puede jugar un rol importante al ayudar al comit a revisar peridicamente sus actividades y sugerir mejoras. De esta forma, el DEA sirve como un valioso asesor del comit en cuanto a las prcticas propias del comit y regulatorias. El DEA puede llevar a cabo, por ejemplo, las siguientes actividades:

Revisar el Estatuto del comit de auditora al menos una vez al ao y aconsejar al comit si el Estatuto cubre todas las responsabilidades dirigidas al comit en cualquier trmino de referencia o mandatos por parte del Consejo de Administracin. 83

Revisar o mantener una agenda de planificacin para las reuniones del comit de auditora, que detalle todas las actividades requeridas con el fin de asegurar que se completen, y que ayude al comit a informar al Consejo de Administracin anualmente que ha completado todas las tareas encomendadas.

Llevar la agenda de la reunin del comit de auditora para la revisin del Presidente, facilitar la distribucin del material entre los miembros del comit de auditora y preparar las minutas de sus reuniones.

Alentar al comit de auditora a realizar revisiones peridicas de sus actividades y prcticas comparadas con las mejores prcticas del momento, con el fin de asegurar que sus actividades sean coherentes con las prcticas lderes.

Reunirse peridicamente con el Presidente para comentar si los materiales e informacin que se le estn suministrando al comit cubren sus necesidades. Averiguar en el comit de auditora si alguna reunin o presentacin educativa o de informacin pudiera ser de utilidad, como ser el entrenamiento de nuevos miembros de comit sobre riegos y controles. Averiguar en el comit si la frecuencia y el tiempo dedicados al comit son suficientes.

Rol de la Actividad de Auditora Interna 5. La relacin del DEA con el comit de auditora debe girar en torno al rol central del DEA de asegurar que el comit de auditora comprenda, apoye y reciba toda la asistencia necesaria de parte de la funcin de auditora interna. El IIA apoya el concepto de que un gobierno slido depende de la sinergia generada entre los cuatro componentes principales de los sistemas de gobierno corporativo eficaces: Consejos de Administracin, direccin, auditores internos, y auditores externos. En esa estructura, los auditores internos y los comits de auditora se apoyan mutuamente. La consideracin del trabajo de los auditores internos por parte del comit de auditora es esencial para lograr un entendimiento completo de las operaciones de una organizacin. Un componente fundamental del rol del DEA con el comit de auditora es asegurar que se cumpla este objetivo, y que el comit vea al DEA como su consejero de confianza. El director ejecutivo de auditora puede realizar una serie de actividades para cumplir este rol, como ser:

Requerir que el comit revise y apruebe anualmente el Estatuto de auditora interna. (Un modelo de Estatuto para un departamento de auditora interna est disponible en la pgina web del Instituto: http://www.theiia.org/iia/index.cfm?doc_id=383 )

Revisar con el comit de auditora las lneas de reporte funcional y administrativo de auditora interna, con el fin de asegurar que la estructura de la organizacin permite la adecuada independencia de los auditores internos. (Consejo para la Prctica 1110-2: Lneas de Reporte del Director Ejecutivo de Auditora).

Incorporar en el Estatuto de auditora interna que el comit de auditora debe revisar las decisiones de contratacin del DEA, incluyendo su designacin, retribucin, evaluacin, retencin y despido. Incorporar en el Estatuto de auditora interna que el comit de auditora debe revisar y aprobar las propuestas para tercerizar cualquier actividad de auditora interna. Prestar asistencia al comit de auditora en la evaluacin de la adecuacin del personal y el presupuesto, y el alcance y resultados de las actividades de auditora interna, con el fin de asegurar que no haya limitaciones al alcance o presupuestarias que impidan la capacidad de la funcin de auditora interna de cumplir con sus responsabilidades.

Proporcionar informacin sobre la coordinacin y vigilancia de otras funciones de control y 84

supervisin (por ej: gestin de riesgos, cumplimiento, seguridad, continuidad de los negocios, legal, tica, medioambiental, auditora externa).

Informar sobre los asuntos significativos relacionados con los procesos para controlar las actividades de la organizacin y sus afiliadas, incluyendo mejoras potenciales para aquellos procesos y proporcionar informacin al respecto.

Proporcionar informacin sobre el estado y los resultados del plan anual de auditora, as como la suficiencia de los recursos del departamento, a la alta direccin y al comit de auditora. Confeccionar un plan anual de auditora flexible, utilizando una apropiada metodologa basada en riesgos, incluyendo cualquier inquietud sobre riesgos o control identificada por la direccin, y enviar el plan y sus actualizaciones peridicas al comit de auditora para su revisin y aprobacin.

Informar sobre la implantacin del plan de auditora anual, tal como fue aprobado, incluyendo, de ser apropiado, los trabajos especiales y proyectos solicitados por la direccin y el comit de auditora.

Incorporar al Estatuto de auditora interna la responsabilidad del departamento de auditora interna de informar al comit de auditora en forma oportuna cualquier sospecha de fraude que involucre a la direccin o a empleados que participen significativamente en los controles internos de la compaa. Colaborar en la investigacin de sospechas de actividades fraudulentas significativas dentro de la organizacin y notificar los resultados a la direccin y al comit de auditora.

Los comits de auditora deben conocer que las revisiones de evaluaciones de calidad de la actividad de auditora interna deben efectuarse cada cinco aos, de modo que la actividad de auditora pueda declarar que cumple con las Normas para el Ejercicio Profesional de la Auditora Interna del IIA (las Normas). Las revisiones de evaluaciones de calidad regulares asegurarn al comit de auditora y a la direccin que las actividades de auditora interna cumplen con las Normas. Comunicaciones con el Comit de Auditora 6. Si bien cualquiera de las actividades mencionadas anteriormente tiene su importancia, en la mayora de los casos la eficacia general de la relacin entre el DEA y el comit girar alrededor de las comunicaciones entre ambas partes. Los comits de auditora del presente desean un alto nivel de comunicaciones abiertas y francas. Si el DEA tiene que ser considerado como un consejero de confianza por el comit, las comunicaciones sern el elemento clave. Auditora interna, por definicin, puede ayudar al comit de auditora a cumplir sus objetivos aportando un enfoque sistemtico y disciplinado a sus actividades, pero a menos de que existan comunicaciones adecuadas, no ser posible lograr esto. El director ejecutivo de auditora debe tener en cuenta proporcionar comunicaciones al comit de auditora en las siguientes reas:

Los comits de auditora deben reunirse en privado con el DEA en forma habitual para comentar los temas delicados. Proporcionar un informe resumido anual o una evaluacin de los resultados de las actividades de auditora referidos a la misin y alcance del trabajo de auditora definidos. Emitir informes peridicos para el comit de auditora y la direccin resumiendo los resultados de las actividades de auditora. Mantener informado al comit de auditora sobre las tendencias emergentes y las prcticas exitosas en auditora interna. Junto a los auditores externos, discutir el cumplimiento de las necesidades de informacin del 85

comit.

Revisar la informacin enviada al comit de auditora, en cuando a su integridad y precisin.

Confirmar que exista una coordinacin eficaz de actividades entre los auditores internos y externos. Determinar si existe alguna duplicacin entre el trabajo de los auditores internos y externos, y explicar las razones de tal duplicacin.
Copyright 2002, The Institute of Internal Auditors, 247 Maitland Avenue, Altamonte Springs, Florida 32701-4201. USA. Todos los derechos reservados. De acuerdo con las leyes de derechos de autor, ninguna parte de este documento puede ser reproducida, almacenada en un sistema de copiado o transmitida en forma alguna por ningn medio electrnico, mecnico, fotocopiado, grabacin o cualquier otro- sin el previo permiso escrito del editor. Origen: 3 de diciembre de 2002.

86

Consejo para la Prctica 2100-1: Naturaleza del Trabajo

Interpretacin de la Norma 2100 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2100 Naturaleza del Trabajo La actividad de auditora interna evala y contribuye a la mejora de los sistemas de gestin de riesgos, control y gobierno. (Fuente: Libro Rojo 300) Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias al evaluar la naturaleza del trabajo de la actividad de auditora interna. Esta gua no pretende abarcar todas las consideraciones que pueden ser necesarias durante dicha evaluacin, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

1.El alcance del trabajo de auditora interna comprende un enfoque sistemtico y disciplinado para evaluar y mejorar la adecuacin y la eficacia de los procesos de gestin de riesgo, control y gobierno, y la calidad de la actuacin en el desempeo de las responsabilidades asignadas. El objetivo de evaluar la adecuacin de los procesos de gestin de riesgo, control y gobierno existentes en la organizacin, es proporcionar una seguridad razonable de que estos procesos estn funcionando de acuerdo con lo deseado y que permitirn alcanzar los objetivos y metas de la organizacin, y proporcionar recomendaciones para mejorar las operaciones de la organizacin, en cuanto al desempeo eficiente y eficaz. La alta direccin y el Consejo podran tambin proporcionar direccin general con respecto al alcance del trabajo y a las actividades a ser auditadas. (Fuente: Libro Rojo 300.02) 2.Existen procesos de gestin de riesgo, control y gobierno adecuados si la direccin los ha planificado y diseado de tal forma que se obtenga una seguridad razonable de que los objetivos y metas de la organizacin sern alcanzados eficiente y econmicamente. Un desempeo eficiente consigue los objetivos y metas de forma precisa, oportuna y econmica. Un desempeo econmico consigue los objetivos y metas con el mnimo uso de recursos (por ejemplo, costo) en consonancia con la exposicin al riesgo. Se consigue una seguridad razonable si se toman las acciones ms eficaces con respecto al costo en las etapas de diseo e implantacin que permitan reducir riesgos y limitar las desviaciones a un nivel aceptable. En consecuencia, el proceso de diseo comienza con el establecimiento de objetivos y metas. A esto le sigue la conexin o interrelacin de conceptos, partes, actividades y personas de manera que acten conjuntamente para cumplir los objetivos y metas establecidos. (Fuente: Libro Rojo 300.02.6) 3.Existen procesos de gestin de riesgo, control y gobierno eficaces si la direccin los dirige de forma tal que se obtenga una seguridad razonable de que los objetivos y metas de la organizacin sern alcanzados. Adems de conseguir los objetivos y las actividades planificadas, dirigir incluye autorizar actividades y transacciones, supervisar los resultados de la actuacin, y verificar que los procesos de la organizacin estn funcionando segn fueron diseados. (Fuente: Libro Rojo 300.03.2) 4. En sentido amplio, la direccin es responsable del mantenimiento de toda la organizacin y de la responsabilidad de las acciones, conductas y actuacin de la organizacin para con los propietarios, dems partes interesadas, reguladores y pblico en general. Especficamente, los objetivos principales del proceso de gestin global son lograr: Una informacin financiera y operativa relevante, confiable y creble. 87

 300.05)

El uso eficaz y eficiente de los recursos de la organizacin. La salvaguarda de los activos de la organizacin. El cumplimiento de leyes, regulaciones, normas ticas y de negocios, y contratos. La identificacin de la exposicin al riesgo y el uso de estrategias eficaces para controlarla. Los objetivos y metas establecidos para las operaciones o los programas. (Fuente: Libro Rojo

5.La direccin planifica, organiza y dirige la realizacin de las acciones suficientes para proporcionar una seguridad razonable de que los objetivos y metas sern alcanzados. La direccin revisa peridicamente sus objetivos y metas y modifica sus procesos para adecuarlos a los cambios en las condiciones internas y externas. La direccin tambin establece y mantiene una cultura de la organizacin, incluyendo un ambiente tico que favorezca el control. (Fuente: Libro Rojo 300.07) 6.Un control es cualquier medida tomada por la direccin para aumentar la probabilidad de que los objetivos y metas establecidos sern alcanzados. Los controles pueden ser de prevencin (para evitar hechos no deseados), de deteccin (para detectar y corregir hechos no deseados que han ocurrido) o de direccin (para provocar o promover que sucedan hechos deseados). El concepto de un sistema de control es el conjunto integrado de componentes y actividades de control utilizados por una organizacin para lograr sus objetivos y metas. (Fuente: Libro Rojo 300.06) 7.Los auditores internos evalan la totalidad del proceso de gestin de planificacin, organizacin y direccin para determinar si existe una seguridad razonable de que los objetivos y metas sern alcanzados. Los auditores internos deben estar atentos a los cambios reales o potenciales en las condiciones internas o externas que afecten a la capacidad de proporcionar seguridad desde una perspectiva de futuro. En estos casos, los auditores internos deben sealar el riesgo de que los resultados puedan deteriorarse. (Fuente: Libro Rojo 300.08) 8. Estas evaluaciones de auditora interna, en conjunto, proporcionan informacin para valorar el proceso de gestin global. Todos los sistemas, procesos, operaciones, funciones y actividades de negocio dentro de la organizacin estn sujetos a las evaluaciones de los auditores internos. El alcance integral del trabajo de auditora interna debe proporcionar una seguridad razonable de que: El sistema de gestin de riesgo de la direccin es eficaz. El sistema de control interno de la direccin es eficaz y eficiente. El proceso de gobierno de la direccin es eficaz en el establecimiento y preservacin de valores, establecimiento de metas, supervisin de actividades y desempeo, y definicin de medidas de responsabilidad.
Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher. January 5, 2001

88

Consejo para la Prctica 2100-2: Seguridad de la Informacin

Interpretacin de la Norma 2100 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2100 Naturaleza del Trabajo La actividad de auditora interna evala y contribuye a la mejora de los sistemas de gestin de riesgos, control y gobierno. Naturaleza de este Consejo para la Prctica: Los auditores internos deben tener en cuenta las siguientes sugerencias al evaluar las actividades de gobierno de una organizacin relacionadas con la seguridad de la informacin. Esta gua no pretende abarcar todos los procedimientos necesarios para un trabajo de seguramiento o consultora integrales relacionados con la seguridad de la informacin, sino ser simplemente un conjunto de recomendaciones de las responsabilidades de alto nivel del auditor para complementar las responsabilidades relacionadas con el Consejo de Administracin y la direccin. El cumplimiento de este Consejo para la Prctica es opcional.

1. Los auditores internos deben determinar que la direccin y el Consejo de Administracin, el comit de auditora, u otro rgano de gobierno entiendan claramente que la seguridad de la informacin es una responsabilidad de la direccin. Esta responsabilidad incluye toda la informacin crtica para la organizacin, sin importar en qu medios est archivada la misma. 2. El director ejecutivo de auditora debe determinar que la actividad de auditora interna posea o tenga acceso a recursos de auditora competentes para evaluar la seguridad de la informacin y las exposiciones relacionadas con sus riesgos. Esto incluye tanto las exposiciones a riesgos internos como externos, y comprende las exposiciones producidas por las relaciones de la organizacin con entidades externas. 3. Los auditores internos deben determinar que el Consejo de Administracin, el comit de auditora, u otro rgano de gobierno haya procurado aseguramiento de parte de la direccin de que las violaciones en la seguridad de la informacin y las condiciones que podran representar una amenaza para la organizacin sern dadas a conocer de inmediato a quienes desempean la actividad de auditora interna. 4. Los auditores internos deben evaluar la eficacia de las medidas para prevenir, detectar y mitigar ataques ocurridos en el pasado, en la medida que se considere apropiado, y futuros intentos o incidentes probables. Los auditores internos deben confirmar que el Consejo de Administracin, el comit de auditora, u otro rgano de gobierno, haya sido adecuadamente informado de las amenazas, incidentes, vulneraciones ocurridas y medidas correctivas. 5. Los auditores internos deben evaluar peridicamente las prcticas de seguridad de informacin en la organizacin y recomendar, si corresponde, mejoras o implantaciones de nuevos controles y protecciones. Despus de cada evaluacin se debe emitir un informe de aseguramiento para el Consejo de Administracin, el comit de auditora, u otro rgano de gobierno apropiado. Tales evaluaciones pueden ser realizadas como trabajos por separado o como mltiples trabajos integrados en otras auditoras o trabajos que formen parte del plan de auditora aprobado.
Copyright 2001, The Institute of Internal Auditors Origen: 1 de febrero de 2001.

89

Consejo para la Prctica 2100-3: El Rol de Auditora Interna en el Proceso de Gestin de Riesgos
Interpretacin de la Norma 2100 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2100 Naturaleza del Trabajo La autoridad de auditora interna evala y contribuye a la mejora de los sistemas de gestin de riesgos, control y gobierno. Naturaleza de este Consejo para la Prctica: La definicin de auditora interna requiere "...un enfoque sistemtico y disciplinado para evaluar y mejorar la eficacia de los procesos de gestin de riesgos, control y gobierno." Los auditores internos tienen que cumplir una funcin clave en el proceso de gestin de riesgos de la organizacin de modo de ejercer la auditora interna de acuerdo a las Normas. Este Consejo pretende brindar a los auditores internos una gua para establecer su rol en el proceso de riesgos de la organizacin y para cumplir las Normas. Podrn necesitarse consideraciones adicionales a las expresadas en este Consejo. El cumplimiento de este Consejo para la Prctica es opcional.

1. La gestin de riesgos es una responsabilidad clave de la direccin. Para alcanzar sus objetivos de negocio, la direccin debe asegurar que existan y funcionen procesos de gestin de riesgos slidos. Los Consejos de Administracin y comits de auditora cumplen una funcin de vigilancia para determinar que existan procesos de gestin de riesgos apropiados y que esos procesos sean adecuados y eficaces. Los auditores internos deben colaborar con la direccin y el comit de auditora mediante el examen, evaluacin, informe, y recomendacin de mejoras sobre la adecuacin y eficacia de los procesos de gestin de riesgos. La direccin y el Consejo de Administracin son los responsables de los procesos de gestin de riesgos y controles de su organizacin. Sin embargo, los auditores internos cumpliendo un rol de consultores pueden ayudar a la organizacin a identificar, evaluar e implantar metodologas de gestin de riesgos y controles para tratar aquellos riesgos. 2. La elaboracin de evaluaciones e informes sobre los procesos de gestin de riesgos de la organizacin es, generalmente, de alta prioridad para auditora. Evaluar los procesos de riesgos de la direccin es distinto del requerimiento de que los auditores utilicen anlisis de riesgos para planificar sus auditoras. Sin embargo, la informacin originada en un proceso de gestin de riesgos integral, incluyendo la identificacin de las inquietudes de la direccin y el Consejo de Administracin, puede ayudar al auditor interno en la planificacin de las actividades de auditora. 3. El director ejecutivo de auditora debe obtener un entendimiento de las expectativas de la direccin y el Consejo respecto de la actividad de auditora interna en el proceso de gestin de riesgos de la organizacin. Este entendimiento debe estar codificado en los Estatutos de la actividad de auditora interna y del comit de auditora. Las responsabilidades y actividades deben estar coordinadas entre los distintos grupos y personas que tengan un rol en el proceso de gestin de riesgos de la organizacin. Estas responsabilidades y actividades deben estar apropiadamente documentadas en los planes estratgicos, polticas del Consejo, directivas de gestin, procedimientos operativos, y otros tipos de instrumentos de gobierno de la organizacin. A continuacin se indican ejemplos de algunas de las actividades y responsabilidades que deben estar documentadas:
El establecimiento de directivas estratgicas puede ser facultad del Consejo o de un comit;

4.

90

 La "propiedad" de los riesgos puede ser asignada al nivel de direccin superior; La aceptacin del riesgo residual puede ser facultad del nivel de direccin ejecutiva; Las actividades continuas de identificacin, evaluacin, mitigacin y vigilancia pueden ser

asignadas al nivel operativo; y auditora interna.

La evaluacin y aseguramiento peridicos hacia los dems deben ser facultad de la actividad de

5.

Se espera que los auditores internos identifiquen y evalen las exposiciones al riesgo significativas en el curso normal de sus tareas. El rol de la actividad de auditora interna en el proceso de gestin de riesgos de una organizacin puede variar a travs del tiempo y puede encontrarse en algn punto en el rango que va desde:
no cumplir ninguna funcin, a auditar el proceso de gestin de riesgos como parte del plan de auditora interna, a una colaboracin y participacin activa y continua en el proceso de gestin de riesgos, tal como

6.

la participacin en comits de vigilancia, actividades de supervisin, e informes de situacin, a

manejar y coordinar el proceso de gestin de riesgos.

7. Finalmente, es funcin de la direccin ejecutiva y del comit de auditora determinar el rol de auditora interna en el proceso de gestin de riesgos. La visin del rol de auditora interna que tenga la direccin estar posiblemente determinada por factores tales como la cultura de la organizacin, la habilidad del personal de auditora interna, y las costumbres y condiciones locales del pas. 8. Se puede encontrar gua adicional en los siguientes Consejos para la Prctica:

PA 2100-4 El Rol de Auditora Interna en Organizaciones sin Proceso de Gestin de Riesgos PA 1130.A1-2 Responsabilidad de Auditora Interna en Funciones Distintas de Auditora PA 2110-1 Evaluacin de la Adecuacin de los Procesos de Gestin de Riesgos PA 2010-2 Enlace del Plan de Auditora con los Riesgos y Exposiciones

Copyright 2001, The Institute of Internal Auditors Origen: 7 de marzo de 2001.

91

Consejo para la Prctica 2100-4: El Rol de Auditora Interna en Organizaciones sin Proceso de Gestin de Riesgos
Interpretacin de la Norma 2100 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2100 Naturaleza del Trabajo La actividad de auditora interna evala y contribuye a la mejora de los sistemas de gestin de riesgos, control y gobierno. (Fuente: Libro Rojo 300) Naturaleza de este Consejo para la Prctica: La definicin de auditora interna requiere "... un enfoque sistemtico y disciplinado para evaluar y mejorar la eficacia de los procesos de gestin de riesgos, control y gobierno." Los auditores internos tienen que cumplir una funcin clave en el proceso de gestin de riesgos de la organizacin de modo de ejercer la auditora interna de acuerdo a las Normas, Sin embargo, algunas organizaciones pueden no tener un proceso de gestin de riesgos establecido. Este Consejo pretende brindar a los auditores internos una gua para determinar su rol en una organizacin sin proceso de gestin de riesgos establecido. Podrn necesitarse consideraciones adicionales a las expresadas en este Consejo. El cumplimiento de este Consejo para la Prctica es opcional.

1. La gestin de riesgos es una responsabilidad clave de la direccin. Para alcanzar sus objetivos de negocio, la direccin debe asegurar que existan y funcionen procesos de gestin de riesgos slidos. Los Consejos de Administracin y comits de auditora cumplen una funcin de vigilancia para determinar que existan procesos de gestin de riesgos apropiados y que esos procesos sean adecuados y eficaces. Los auditores internos deben colaborar con la direccin y el comit de auditora mediante el examen, evaluacin, informe, y recomendacin de mejoras sobre la adecuacin y eficacia de los procesos de gestin de riesgos. La direccin y el Consejo de Administracin son los responsables de los procesos de gestin de riesgos y controles de su organizacin. Sin embargo, los auditores internos cumpliendo un rol de consultores pueden ayudar a la organizacin a identificar, evaluar e implantar metodologas de gestin de riesgos y controles para tratar aquellos riesgos. 2. La elaboracin de evaluaciones e informes sobre los procesos de gestin de riesgos de la organizacin es, generalmente, de alta prioridad para auditora. Evaluar los procesos de riesgos de la direccin es distinto del requerimiento de que los auditores utilicen anlisis de riesgos para planificar sus auditoras. Sin embargo, la informacin originada en un proceso de gestin de riesgos integral, incluyendo la identificacin de las inquietudes de la direccin y el Consejo de Administracin, puede ayudar al auditor interno en la planificacin de las actividades de auditora. 3. El director ejecutivo de auditora debe obtener un entendimiento de las expectativas de la direccin y el Consejo respecto de la actividad de auditora interna en el proceso de gestin de riesgos de la organizacin. Este entendimiento debe estar codificado en los Estatutos de la actividad de auditora interna y del comit de auditora. 4. Si una organizacin no ha establecido un proceso de gestin de riesgos, el auditor interno debe presentar este hecho ante la direccin junto con sugerencias para establecer tal proceso. El auditor interno debe buscar directivas de parte de la direccin y del Consejo de Administracin en cuanto al rol de la actividad de auditora en el proceso de gestin de riesgos. Los Estatutos de la actividad de auditora y del comit de auditora deben documentar el rol de cada uno de ellos en el proceso de auditora interna. 92

5. Si se lo solicitan, los auditores internos pueden cumplir un rol proactivo colaborando con el establecimiento inicial de un proceso de gestin de riesgos para la organizacin. Un rol ms proactivo es el que suplementa las actividades tradicionales de aseguramiento con un enfoque de consultor para mejorar los procesos fundamentales. Si tal enfoque excede las actividades normales de aseguramiento y consultora realizadas por los auditores internos, puede verse comprometida la independencia. En estas situaciones, los auditores internos deben cumplir con los requerimientos de declaracin de las Normas. Tambin puede encontrarse gua adicional en el Consejo para la Prctica 1130.A1-2: Responsabilidad de Auditora Interna en Funciones Distintas de Auditora. 6. Un rol proactivo en el desempeo y manejo de un proceso de gestin de riesgos no es lo mismo que el rol de "ser el propietario de los riesgos". Para evitar el mencionado rol de "ser el propietario de los riesgos", los auditores internos deben obtener la confirmacin de la direccin de que sta es la responsable de identificar, mitigar, vigilar, y "ser la propietaria" de los riesgos. 7. En resumen, los auditores internos pueden facilitar o permitir los procesos de gestin de riesgos, pero no deberan "aduearse" o ser responsables de la gestin de los riesgos identificados.
Copyright 2001, The Institute of Internal Auditors Origen: 7 de marzo de 2001.

93

Consejo para la Prctica 2100-5: Consideraciones Legales en la Evaluacin de Programas de Cumplimiento de Reglamentaciones
Interpretacin de la Norma 2100 de las Normas para el Ejercicio Profesional de la Auditora Interna

Norma Relacionada: 2100 Naturaleza del Trabajo La actividad de auditora interna evala y contribuye a la mejora de los sistemas de gestin de riesgos, control y gobierno. (Fuente: Libro Rojo 300)

Naturaleza de este Consejo para la Prctica: Los auditores internos deben tener en cuenta las siguientes sugerencias al evaluar programas de cumplimiento de reglamentaciones de una organizacin. Esta gua no pretende abarcar todos los procedimientos que puedan ser necesarios para trabajos de aseguramiento consultora integrales relacionados con el cumplimiento de reglamentaciones. El cumplimiento de este Consejo para la Prctica es opcional.

Advertencia Se alienta a los auditores internos a buscar consejo legal en todos los asuntos con implicaciones legales, dado que los requerimientos pueden variar significativamente en las distintas jurisdicciones. La gua contenida en este Consejo para la Prctica est basada fundamentalmente en el sistema legal de los Estados Unidos de Norteamrica. 1. Los programas de cumplimiento ayudan a las organizaciones a prevenir violaciones inadvertidas de los empleados, detectar actividades ilegales y desalentar violaciones no intencionadas de los empleados. Tambin pueden ayudar a probar reclamaciones de seguros, determinar la responsabilidad de directores y ejecutivos, crear o mejorar la identidad corporativa, y decidir si una indemnizacin por daos y perjuicios es apropiada. Para evaluar los programas de cumplimiento de reglamentaciones de una organizacin en forma eficaz, los auditores internos deben tener en cuenta los siguientes pasos sugeridos. 2. La organizacin debe establecer normas y procedimientos de cumplimiento para ser seguidos por sus empleados y otros agentes, que sean capaces de reducir razonablemente las expectativas de conductas delictivas.

La organizacin debe confeccionar un cdigo de conducta en los negocios por escrito, que identifique claramente las actividades prohibidas. Este cdigo debe estar escrito en un lenguaje que todos los empleados puedan comprender, evitando la terminologa legal.

Un buen cdigo proporciona gua a los empleados sobre cuestiones relevantes. Los checklists, las secciones de preguntas y respuestas, las referencias a otras fuentes de informacin, todos estos elementos harn que el cdigo sea ms fcil de utilizar.

La organizacin debe crear un organigrama que identifique a los miembros del Consejo de Administracin, a los ejecutivos principales, al ejecutivo principal de cumplimiento, y al personal de departamento que sea responsable de implantar programas de cumplimiento.

Los cdigos de conducta que son considerados por los empleados como legalistas y unilaterales pueden aumentar el riesgo de que los empleados incurran en comportamientos ilegales o no ticos. Por el contrario, los cdigos que son considerados como rectos y justos tienden a reducir el riesgo de que los empleados incurran en ese tipo de actividades.

Las compaas que utilizan sistemas de premios o bonificaciones que relacionan los incentivos econmicos con comportamientos aparentemente ilegales o no ticos, pueden esperar un pobre ambiente de cumplimiento. 94

Las compaas con operaciones internacionales deben establecer un programa de cumplimiento en forma global, y no simplemente para determinados sitios geogrficos. Dichos programas deben reflejar las condiciones, leyes y reglamentaciones locales apropiadas. 3. A determinada persona o personas dentro del personal de alto nivel jerrquico de la organizacin se les debe asignar la responsabilidad general de supervisar el cumplimiento regulador de normas y procedimientos.

Personal de alto nivel jerrquico en la organizacin significa personas que tengan un control sustancial de la organizacin o que tengan un rol sustancial en la elaboracin de polticas dentro de la organizacin.

Personal de alto nivel jerrquico en la organizacin puede ser: un director; un ejecutivo; una persona a cargo de un negocio o unidad funcional importantes de la organizacin, tal como ventas, administracin o finanzas; o una persona con un inters sustancial de pertenencia.

Para que sea absolutamente eficaz, el Director General (chief executive officer CEO) y otros directores principales tienen que tener una participacin significativa en el programa. En algunas organizaciones, asignar las responsabilidades ejecutivas de cumplimiento al asesor legal de la compaa puede indicar a los empleados que la direccin no est comprometida con el programa, que el mismo es importante slo para el departamento legal, no para la organizacin como un todo. En otras organizaciones, en cambio, puede ocurrir lo contrario.

En una compaa de gran tamao con varias unidades de negocio, las responsabilidades de cumplimiento deben asignarse a personal de alto nivel en cada unidad. No es suficiente para una compaa crear la posicin de director de cumplimiento y seleccionar a los dems componentes de la unidad de cumplimiento. La compaa tiene que asegurar tambin que aqul personal tenga el poder suficiente y los recursos necesarios para llevar a cabo su misin. El personal de cumplimiento debe tener un adecuado acceso a la alta direccin. El director de cumplimiento debe reportar directamente al Director General (chief executive officer CEO). 4. La organizacin debe tener el debido cuidado de no delegar autoridad discrecional sustantiva a personas de las que sepa, o deba saber a travs del ejercicio debido de sus funciones, que tienen propensin a realizar actividades ilegales.

Las compaas deben investigar si existe evidencia de malos comportamientos en los candidatos a empleados de todos los niveles, especialmente dentro de la industria de la compaa. Las solicitudes de empleo deben preguntar a los candidatos si han tenido condenas por delitos pasados. Se debe preguntar a los profesionales sobre cualquier historia disciplinaria que hayan tenido con rganos de regulacin.

Debe tenerse cuidado de que la compaa no est infringiendo los derechos legales de privacidad de los empleados y candidatos. Muchas jurisdicciones tienen leyes que limitan la cantidad de informacin que una compaa puede obtener al revisar los antecedentes de sus empleados. 5. La organizacin debe seguir los pasos necesarios para comunicar eficazmente sus normas y procedimientos a todos los empleados y otros agentes, por ej., solicitando la participacin en programas de formacin o difundiendo publicaciones que expliquen en forma prctica lo que se requiere.

La eficacia de un programa de cumplimiento depender de las formas en que sea comunicado a los empleados. Generalmente, un formato interactivo funciona mejor que una disertacin. Los programas comunicados personalmente tienden a funcionar mejor que los programas comunicados 95

totalmente mediante formatos de videos o juegos. Los programas que se repiten peridicamente funcionan mejor que los que se presentan por nica vez.

Los mejores programas incluyen una formacin del personal que les permita practicar nuevas tcnicas y utilizar nueva informacin. Tales actividades son especialmente apropiadas en relacin con la formacin gerencial, pero son eficaces en la formacin de los empleados de todos los niveles.

El lenguaje utilizado por el cdigo de conducta y el manual del empleado de una organizacin debe ser de fcil comprensin. En el caso de empleados que carezcan de una educacin ms formal, deben buscarse e implantarse mtodos alternativos para comunicar el cdigo y el manual del empleado.

Ayudas para el cumplimiento, declaraciones y advertencias deben ser difundidas entre los empleados utilizando todo tipo de medios disponibles: boletines, carteles, correo electrnico, cuestionarios y presentaciones.

Las organizaciones deben presentar el programa en diversas ocasiones a diferentes grupos de empleados, haciendo hincapi en cada caso en las reas importantes para cada grupo funcional de empleados. La informacin debe adecuarse a los requerimientos de trabajo de cada grupo. Por ejemplo, la informacin de cumplimiento medioambiental debe estar dirigida a aquellos departamentos, tales como manufactura o gerencia de bienes races, que tengan una mayor probabilidad de violar o detectar violaciones de tales leyes y reglamentaciones. Por otro lado, proporcionar dicha formacin a un departamento que no tenga esas responsabilidades podra ser perjudicial, provocando apata a los empleados o la creencia de que el programa no fue bien elaborado.

Los nuevos empleados deben recibir una formacin bsica de cumplimiento como parte de su orientacin. Ms adelante, podrn ser incorporados a los esfuerzos de cumplimiento que se estn realizando en sus departamentos.

A los agentes de la organizacin se les puede solicitar que asistan a una presentacin especialmente concebida para ellos. Es importante que la organizacin informe a sus agentes de los valores centrales de la misma, y de que las acciones de sus agentes que sean atribuidas a la compaa sern vigiladas de acuerdo con el programa de cumplimiento. La organizacin debe estar preparada a dejar de hacer negocios con los agentes que no se adhieran a las normas de cumplimiento de la organizacin.

La organizacin debe requerir a sus empleados que certifiquen peridicamente que han ledo, comprendido y cumplido el cdigo de conducta de la compaa. Esta informacin debe comunicarse anualmente a la alta direccin y al Consejo de Administracin.

Todos los documentos relacionados con la tica cdigos de conducta, polticas y manuales de recursos humanos, etc.- deben estar disponibles para todos los empleados sin demoras. Se sugiere que estn disponibles en forma continua, por ejemplo mediante la Intranet de la organizacin. 6. La organizacin debe seguir los pasos necesarios para cumplir con sus normas. Por ej., utilizando sistemas de vigilancia y auditora razonablemente diseados para detectar conductas delictivas por sus empleados y otros agentes; y poniendo en prctica y publicitando un sistema de informacin en el cual los empleados y otros agentes puedan reportar la conducta delictiva de otros dentro de la organizacin sin temor a represalias.

La organizacin debe dedicar una cierta cantidad de recursos al plan de auditora interna, adecuada al tamao de la compaa y a las dificultades de la tarea de auditora. El plan de auditora debe concentrarse en las actividades de cada uno de los negocios de la organizacin.

El plan de auditora debe incluir, adems, una revisin del programa de cumplimiento de la 96

organizacin y de sus procedimientos, incluyendo revisiones para determinar si: el material escrito es eficaz, las comunicaciones han sido recibidas por los empleados, las violaciones detectadas han sido apropiadamente manejadas, la disciplina ha sido imparcial, no se han tomado represalias contra los denunciantes, y la unidad de cumplimiento ha cumplido con sus responsabilidades. Los auditores deben revisar el programa de cumplimiento para determinar si puede ser mejorado, y requerir la opinin de los empleados al respecto.

Cada programa debe tener una lnea abierta (hotline) u otro sistema de informacin mediante el cual los empleados puedan informar las actividades que ellos consideren ilegales, no ticas o en contra del cdigo de conducta de la organizacin. Los empleados tienen que ser libres de informar tales comportamientos sin temor a represalias.

Si bien un abogado que vigile la lnea abierta est en mejor posicin de proteger la informacin confidencial, un estudio indic que los empleados tienen poca confianza en las lneas abiertas respondidas por el departamento legal o por un servicio externo. El mismo estudio indic que los empleados tienen an menos confianza en informes escritos o en un ombudsman (mediador) de fuera de la organizacin. Y en quien ms confan es en las lneas abiertas respondidas por un representante de adentro de la organizacin respaldado por una poltica que impida las represalias.

La utilizacin de un ombudsman (mediador) de adentro de la organizacin es ms eficaz si esta persona reporta directamente al director de cumplimiento o al Consejo de Administracin, si esta persona puede mantener el nombre de los denunciantes en secreto, si proporciona gua a los denunciantes y si realiza seguimientos para asegurar que no haya habido represalias. Adems, algunas jurisdicciones reconocen actualmente un privilegio limitado para estos mediadores, por el cual pueden no declarar las comunicaciones confidenciales que hayan recibido de los denunciantes.

Una herramienta eficaz para descubrir actividades ilegales o no ticas es el cuestionario de tica. Cada empleado de la organizacin debe recibir un cuestionario que pregunte si el empleado es consciente de las comisiones, los sobornos y otros malos comportamientos. Para proteger la confidencialidad, el cuestionario debe: ser enviado por el asesor legal de la organizacin; indicar que la confidencialidad del cuestionario est protegida; requerir que el empleado lo firme y entregue sin hacer copia del mismo; e indicar que la organizacin mantiene el derecho de divulgar la informacin proporcionada a organismos del gobierno o en casos de litigio. Tener en cuenta que la confidencialidad se perder si el cuestionario es divulgado a terceras partes. 7. Las normas deben ser aplicadas en forma consistente mediante mecanismos disciplinarios apropiados, incluyendo, si corresponde, la sancin para las personas responsables de no detectar un delito. Esto ltimo es un componente necesario para lograr la aplicacin. Sin embargo, la forma de sancin apropiada ser establecida en cada caso en particular.

El programa de cumplimiento debe contener un sistema disciplinario segn el cual aquellos que violen el cdigo de conducta reciban una sancin adecuada al delito, como puede ser una advertencia, la prdida de una paga, la suspensin, transferencia o despido. Pero si se encuentra que un empleado ha cometido algn acto ilegal, la organizacin podra despedirlo, de acuerdo con su obligacin de utilizar el debido cuidado de no delegar autoridad discrecional sustantiva a personas de las que sepa, o deba saber a travs del ejercicio debido de sus funciones, que tienen propensin a realizar actividades ilegales.

La disciplina bajo este programa debe ser aplicada con justicia. El programa tendr pocas posibilidades de xito si una actividad ilegal o no tica permanece sin castigo, especialmente si est relacionada con las actividades de la alta direccin o los ms poderosos. Ignorar los malos comportamientos de tales personas alentar al resto de los empleados a seguir el mismo camino. 97

El despido u otro tipo de sanciones para los empleados pueden estar limitados por las leyes referidas a los denunciantes, por excepciones a la regla del empleado permanente o con contrato indefinido, por contratos de los empleados o sindicatos, y por las responsabilidades del empleador respecto de la discriminacin, el despido injusto y las leyes o doctrinas de la mala fe del empleador.

El programa debe tener en cuenta sanciones a los gerentes y otras personas responsables que conocan o deban haber conocido la mala conducta y no la informaron. Si el programa falla en este aspecto, podra ocurrir que una corte no lo considerara eficaz, con lo cual no sera de utilidad en una sentencia.

Las organizaciones deben ser precisas y cuidadosas en la documentacin de la sancin del empleado. La organizacin debe poder probar que realiz todos sus esfuerzos para obtener informacin respecto de cualquier incidente y realiz las acciones apropiadas de acuerdo con la informacin disponible. 8. Una vez detectado un delito, la organizacin debe seguir todos los pasos razonables para responder apropiadamente al mismo y para prevenir futuros delitos similares, incluyendo cualquier modificacin necesaria a su programa para prevenir y detectar violaciones a la ley.

La organizacin debe responder apropiadamente ante cada delito detectado por el programa de cumplimiento. Por ejemplo, tomando medidas disciplinarias con los responsables de la mala conducta. En algunas circunstancias, una respuesta apropiada podra significar informar la violacin al gobierno, cooperar con investigaciones gubernamentales y aceptar responsabilidad por la violacin. Tener en cuenta que tanto como la existencia de un programa de cumplimiento eficaz, dar estas respuestas podra disminuir el monto de las sanciones aplicadas por una corte.

La no deteccin o prevencin de una violacin seria podra indicar que el programa de cumplimiento necesita una revisin de gran importancia. Como mnimo, despus de haber detectado una violacin, el personal de cumplimiento debe examinar el programa para determinar si es necesario hacerle modificaciones.

Un cambio que podra requerirse como consecuencia de una violacin podra se el reemplazo o el intercambio del personal de cumplimiento. En realidad, la organizacin podra necesitar sancionar o reemplazar a un gerente que falle en la deteccin o prevencin de una mala conducta en el rea de su responsabilidad, especialmente si se trata de una violacin que debera haber sido detectada por el mismo.
Copyright 2001, The Institute of Internal Auditors Origen: 27 de marzo de 2001.

98

Consejo para la Prctica 2100-6: Implicaciones de Control y Auditora de las Actividades de Comercio Electrnico
Interpretacin de la Norma 2100 de las Normas para el Ejercicio Profesional de la Auditora Interna

Norma Relacionada: 2100 Naturaleza del Trabajo

La actividad de auditora interna debe evaluar y contribuir a la mejora de los procesos de gestin de riesgos, control y gobierno, utilizando un enfoque sistemtico y Disciplinado.

Naturaleza de este Consejo para la Prctica: El crecimiento

del comercio electrnico contina en forma acelerada, tanto para las aplicaciones entre empresas (negocio a negocio) como para las aplicaciones entre empresas y consumidores (negocio a consumidor). Se requieren procesos y controles eficaces para el desarrollo e implantacin exitosos de una estrategia de comercio electrnico. Por lo tanto, un esfuerzo de evaluacin de comercio electrnico eficaz puede ser una parte fundamental del plan anual de auditora para muchas compaas. Este Consejo para la Prctica proporciona una visin general de las implicaciones de control y auditora. Tambin existen recursos adicionales para el auditor: el producto denominado Aseguramiento y Control de Sistemas (Systems Assurance and Control - SAC) y diversos informes sobre tecnologa emitidos por el IIA, as como publicaciones de ISACA. Ambas instituciones han elaborado guas y criterios profesionales para la evaluacin de sistemas y modelos electrnicos. El cumplimiento de este Consejo para la Prctica es opcional.

1. El comercio electrnico (e-commerce) se define generalmente como "la realizacin de actividades comerciales mediante Internet". Estas actividades comerciales pueden ser entre empresas, tambin denominadas "negocio a negocio" (business-to-business - B2B); entre empresas y consumidores, tambin denominadas "negocio a consumidor" (business-to-consumer - B2C); y entre empresas y empleados, tambin denominadas "negocio a empleado" (business-to-employee - B2E). El crecimiento del comercio electrnico ha sido impresionante y se espera que contine an con ms rapidez en los prximos aos. La reciente publicacin de "Aseguramiento y Control de Sistemas" (Systems Assurance and Control - SAC) por parte de la Fundacin de Investigaciones del IIA, y el xito de la pgina web www.ITAudit.org y de varios boletines electrnicos del IIA confirman que la tecnologa no slo soporta las estrategias de comercio electrnico sino que forma parte del mismo. Las pginas web y otro cambios tecnolgicos tienen un fuerte impacto en la sociedad, gobierno, economa, competencia, mercados, estructura de las organizaciones y defensa nacional. Est claro que estos cambios y el gran crecimiento del comercio electrnico crean significativos desafos de control y gestin que deben ser considerados por los auditores internos al desarrollar e implantar sus planes de auditora. Entender y Planificar un Trabajo de Comercio Electrnico 2. Los cambios continuos en la tecnologa ofrecen a la profesin de auditora interna una gran oportunidad as como un gran riesgo. Antes de intentar proporcionar aseguramiento sobre los sistemas y procesos, el auditor interno debe comprender los cambios en los negocios y sistemas de informacin, los riesgos relacionados, y la alineacin de las estrategias con el diseo de la empresa y los requerimientos del 99

mercado. El auditor interno debe revisar los procesos y decisiones de planificacin estratgica y evaluacin de riesgos de la direccin con respecto a lo siguiente: Qu riesgos son serios? Para cules de ellos se puede contratar un seguro? Qu controles actuales mitigarn los riesgos? Qu controles compensatorios adicionales sern necesarios? Qu tipo de vigilancia se requiere?

3. Los principales componentes de una auditora de actividades de comercio electrnico son los siguientes: Evaluar la estructura de control interno, incluyendo las pautas establecidas por la alta direccin; Proporcionar un aseguramiento razonable de que las metas y objetivos pueden ser alcanzados; Determinar si los riesgos son aceptables; Entender el flujo de informacin; Revisar las cuestiones de interfaces (tales como "hardware a hardware", "software a software", y "hardware a software"); y Evaluar los planes de continuidad de negocios y recuperacin de desastres.

4. Los problemas que se plantean al director ejecutivo de auditora al desempear un trabajo de comercio electrnico se relacionan con la competencia y capacidad de la actividad de auditora interna. Entre los posibles factores que pueden restringir la actividad de auditora interna se encuentran: Tiene la actividad de auditora interna suficientes habilidades? De no ser as, pueden adquirirse esas habilidades? Se necesita capacitacin u otros recursos? El nivel del personal, es suficiente para el corto y largo plazo? Podr cumplirse el plan de auditora esperado? 5. Preguntas del auditor interno durante la evaluacin de riesgos. La mencionada publicacin del IIA, SAC, puede ayudar al auditor interno en la planificacin de auditoras y la evaluacin de riesgos. Incluye una lista de reas de comercio electrnico de inters para el auditor interno que est llevando a cabo un trabajo y una evaluacin de riesgos. Las preguntas que debe considerar un auditor interno son las siguientes: Existe un plan de negocios para el proyecto o programa de comercio electrnico? El plan cubre la integracin de la planificacin, diseo e implantacin del sistema de comercio electrnico con las estrategias de la organizacin? Cul ser el impacto en el desempeo, seguridad, confiabilidad y disponibilidad del sistema? La funcionalidad cubrir las necesidades del usuario final (por ejemplo, empleados, clientes, socios del negocio) as como los objetivos de la direccin? Se han analizado y considerado los requerimientos gubernamentales y de regulaciones? Son seguros el hardware y el software? Impedirn o detectarn accesos no autorizados, usos inapropiados y otros efectos y prdidas dainos? El procesamiento de transacciones ser oportuno, preciso, completo e irrefutable? El ambiente de control permite a la organizacin cumplir sus objetivos de comercio electrnico a medida que avanza desde lo conceptual a los resultados? La evaluacin de riesgos incluye las fuerzas internas y externas? 100

Se han considerado los riesgos inherentes asociados con Internet y el proveedor de Internet (tales como la confiabilidad de las comunicaciones bsicas, la autenticacin de usuarios y quin tiene acceso)? Se han considerado otros asuntos (por ejemplo, divulgacin de informacin confidencial de negocios, mala utilizacin de la propiedad intelectual, violaciones a los derechos de autor, infracciones a las marcas registradas, declaraciones difamatorias en las pginas web, fraude, mal uso de las firmas electrnicas, violaciones a la privacidad y daos a la reputacin)? Si se utilizan proveedores externos, se ha realizado una evaluacin de "empresa en funcionamiento" por parte de un tercero fiable que est calificado para certificar al proveedor? Si los proveedores proporcionan servicios de alojamiento de web, tienen un plan de contingencia en los negocios que haya sido probado? Estos proveedores, han proporcionado un informe SAS70 reciente? (Los informes SAS-70 pueden ofrecer valiosa informacin sobre los controles internos para las organizaciones usuarias). Adems, se han resuelto los temas de privacidad? El contrato incluye derechos de auditora?

Riesgos y Problemas de Control en el Comercio Electrnico 6. El riesgo y el ambiente de control en el comercio electrnico son complejos y estn en evolucin. El riesgo puede definirse como la incertidumbre de que ocurra un hecho que pudiera tener un impacto negativo en el cumplimiento de los objetivos. El riesgo es inherente a cada negocio o entidad gubernamental. Los riesgos de oportunidad asumidos por la direccin son a menudo los conductores de las actividades de la organizacin. Ms all de estas oportunidades puede haber amenazas y otros peligros que no son claramente comprendidos y totalmente evaluados, y aceptados con demasiada facilidad como parte de hacer negocios. En la lucha por manejar los riesgos, es esencial entender los elementos del riesgo. Tambin es importante estar al corriente de las nuevas amenazas y cambios en la tecnologa que abren nuevos puntos vulnerables en la seguridad informtica. A los fines de la direccin, las siete preguntas que ofrecemos a continuacin pueden servir para identificar riesgos organizacionales y establecer formas potenciales de controlar o mitigar las exposiciones al riesgo. (Los expertos en riesgo utilizan diferentes enfoques de gestin de riesgos; estas preguntas ilustran sobre uno de los enfoques). Los elementos de riesgo asociados con las preguntas se presentan entre corchetes. (a) Identificacin y Cuantificacin de Riesgos: Qu pudiera ocurrir que afectara adversamente la habilidad de la organizacin para cumplir sus objetivos y ejecutar sus estrategias? [Eventos de Amenaza] Si ocurre, cul es el impacto financiero potencial? [Valor de Exposicin a la Prdida nica] Cun a menudo pudiera ocurrir? [Frecuencia] Cul es la probabilidad de respuesta para las tres primeras preguntas? [Incertidumbre] (b) Gestin y Mitigacin de Riesgos: Qu se puede hacer para prevenir y evitar, mitigar, y detectar riesgos y brindar notificacin? [Salvaguarda y Controles] Cunto costar? [Costos de Salvaguarda y Control] Sera eficiente? [Anlisis de Costo/Beneficio o de Retorno sobre la Inversin] 7. Algunos de los problemas ms crticos de riesgo y control que deben enfrentar los auditores internos son los siguientes: Riesgos de administracin de proyectos en general. Amenazas de seguridad especficas, tales como denegacin de servicio, ataques fsicos, virus, robo de identidad, y acceso no autorizado o divulgacin de datos. 101

Mantenimiento de la integridad de transacciones bajo una red compleja de enlaces a sistemas heredados y depsitos de datos. Revisin y aprobacin del contenido de la pgina web cuando hay cambios frecuentes y sofisticados elementos y capacidades que brindan servicio a los clientes las veinticuatro horas del da. Rpidos cambios tecnolgicos. Asuntos legales, tales como regulaciones en aumento en todo el mundo con el fin de proteger la privacidad individual; cumplimiento de contratos fuera del pas donde se encuentra la organizacin; y asuntos contables y tributarios. Cambios en los procesos de negocios circundantes y estructuras de la organizacin.

Auditora de las Actividades de Comercio Electrnico 8. El objetivo general de auditora debe ser asegurar que todos los procesos de comercio electrnico tengan controles internos eficaces. La administracin de las iniciativas de comercio electrnico debe estar documentada en un plan estratgico que est bien desarrollado y aprobado. Si se toma la decisin de no participar en el comercio electrnico, debera ser cuidadosamente analizada, documentada y aprobada por el rgano de gobierno de la organizacin. 9. Los objetivos de auditora para un trabajo de comercio electrnico pueden incluir: Evidencia de las transacciones de comercio electrnico. Disponibilidad y confiabilidad de sistemas de seguridad. Interfaces eficaces entre los sistemas de comercio electrnico y financieros. Seguridad de las transacciones monetarias. Eficacia del proceso de autenticacin de clientes. Adecuacin de los procesos de continuidad de negocios, incluyendo la reanudacin de las operaciones. Cumplimiento de las normas comunes de seguridad. Uso y control eficaz de las firmas digitales. Adecuacin de sistemas, polticas y procedimientos para controlar certificados de claves pblicas (utilizando tcnicas criptogrficas de claves pblicas). Adecuacin y oportunidad de datos e informacin operativos. Evidencia documentada de un sistema eficaz de control interno.

10. Los detalles del programa de auditora utilizado para auditar actividades de comercio electrnico en organizaciones especficas variarn segn el sector econmico de la organizacin, el pas, y los modelos legales y de negocios. El siguiente es un resumen de un posible protocolo de auditora de comercio electrnico para reas clave. (a) Organizacin del comercio electrnico - El auditor interno debe: Determinar el valor de las transacciones. Identificar las partes interesadas (externas e internas). Revisar el proceso de gestin del cambio. Examinar el proceso de aprobacin. Revisar el plan de negocio para las actividades de comercio electrnico. Evaluar las polticas sobre certificados de claves pblicas. Revisar los procedimientos de firma digital. 102

Examinar los acuerdos de nivel de servicio entre comprador, proveedor y autoridad de certificacin. Comprobar la poltica de aseguramiento de calidad. Evaluar la poltica de privacidad y el cumplimiento en las actividades de comercio electrnico. Evaluar la capacidad de respuesta ante incidentes.

(b) Fraude - El auditor interno debe estar alerta ante lo siguiente: Movimientos no autorizados de dinero (por ejemplo, transferencias a jurisdicciones donde la recuperacin de fondos sera dificultosa). Duplicacin de pagos. Rechazo de rdenes dadas o recibidas, de bienes recibidos, o de pagos efectuados. Informes y procedimientos de excepcin, y eficacia del seguimiento. Firmas digitales: se utilizan para todas las transacciones?, quin las autoriza?, quin tiene acceso a ellas? Protecciones contra virus y actividades de hackers (archivo histrico, uso de herramientas). Derechos de acceso: se revisan regularmente?, se revisan oportunamente cuando hay cambios en el personal? Historia de las transacciones interceptadas por personas no autorizadas. (c) Autenticacin - El auditor interno debe revisar las polticas de autenticacin de transacciones y evaluacin de controles. Evidencia de revisiones regulares. Herramientas de autoevaluacin de control utilizadas por la direccin. Verificaciones independientes regulares. Segregacin de funciones. Herramientas que la direccin debe tener en funcionamiento: filtros de seguridad - firewalls(multinivel a particin de comercio electrnico y otras actividades), administracin de claves de acceso, reconciliacin independiente y pistas de auditora. (d) Corrupcin de datos - El auditor interno debe evaluar los controles de integridad de datos. Quin puede modificar catlogos y precios o tarifas?, cul es el mecanismo de aprobacin? Alguien puede destruir pistas de auditora? Quin puede aprobar las modificaciones al tabln de anuncios (o foro de discusin)? Cules son los procedimientos para solicitar y registrar? El proceso de ofertas on-line proporciona adecuada documentacin? Las herramientas que deben estar en funcionamiento incluyen: gestin de la intrusin (software de vigilancia, interrupcin automtica y anlisis de tendencias), seguridad fsica para servidores de comercio electrnico, controles de cambio, y reconciliaciones. (e) Interrupciones de negocios El auditor interno debe revisar el plan de continuidad de los negocios y determinar si ha sido probado. La direccin debe haber dispuesto un medio alternativo para procesar las transacciones en caso de una interrupcin. La direccin debe tener un proceso establecido para afrontar las siguientes condiciones potenciales: Ataques de volumen Rechazo a los ataques del servicio 103

 Falta de adecuacin en interfaces entre los sistemas de comercio electrnico y de gestin financiera. Instalaciones de soporte (backup). Estrategias para contrarrestar: hacking, intrusin, cracking, virus, gusanos, caballos de Troya, y agujeros de seguridad o "puerta trasera". (f) Problemas de direccin - El auditor interno debe evaluar si las unidades de negocio estn manejando adecuadamente el proceso de comercio electrnico. Los siguientes son algunos temas relevantes. Revisiones de la direccin de proyectos en cuanto a las iniciativas individuales y proyectos en desarrollo. Revisiones del ciclo de vida de desarrollo de sistemas. Seleccin de proveedores, capacidades de los proveedores, confidencialidad de empleados, y garantas. Revisiones econmicas posteriores a la implantacin: Se estn logrando los beneficios que se esperaban?, qu mediciones se estn utilizando para medir los logros? Revisiones de proceso posteriores a la implantacin: Existen y estn funcionando eficazmente los nuevos procesos?
Copyright 2001, The Institute of Internal Auditors Origen: 12 de junio del 2003.

104

Consejo para la Prctica 2100-7: El Rol del Auditor Interno en la Identificacin e Informacin de Riesgos Medioambientales
Interpretacin de la Norma 2100 de las Normas para el Ejercicio Profesional de la Auditora Interna

Norma Relacionada: 2100 Naturaleza del Trabajo

La actividad de auditora interna debe evaluar y contribuir a la mejora de los procesos de gestin de riesgos, control y gobierno, utilizando un enfoque sistemtico y Disciplinado.

Naturaleza de este Consejo para la Prctica: El propsito de este Consejo para la Prctica es proporcionar orientacin a las organizaciones de auditora interna sobre asuntos de riesgo e independencia relacionados con actividades de auditora medioambiental. Los auditores internos deben estar alertas a los riesgos potenciales que puedan resultar de la ubicacin y las relaciones de reporte de los auditores medioambientales en la organizacin. Este Consejo para la Prctica sugiere las salvaguardas mnimas para asegurar que los temas importantes medioambientales sean informados en forma oportuna y al nivel apropiado. Los riesgos relacionados con el incumplimiento medio ambiental, multas y penalizaciones, y malas administraciones pueden resultar en prdidas significativas para la organizacin. El cumplimiento de este Consejo para la Prctica es opcional..

Riesgos Potenciales 1. El director ejecutivo de auditora (DEA) debe incluir los riesgos medioambientales, sanitarios y de seguridad (M,SyS) en toda evaluacin de gestin de riesgos para toda la empresa y evaluar las actividades de forma equilibrada con respecto a otros tipos de riesgo asociados con las operaciones de la entidad. Entre las exposiciones al riesgo que deben ser evaluadas se encuentran: estructuras de reporte de la organizacin; probabilidad de causar daos, multas y penalizaciones medioambientales; gastos ordenados por la Agencia de Proteccin Medioambiental (Environmental Protection Agency - EPA) u otras entidades gubernamentales; historial de lesiones y muertes; registro de prdidas de clientes, y episodios de publicidad negativa y prdida de imagen pblica y reputacin. 2. Si el DEA encuentra que la gestin de los riesgos de M,SyS depende en gran medida de una funcin de auditora medioambiental, el DEA tendr que considerar las implicaciones de esa estructura de la organizacin y sus efectos en las operaciones y los mecanismos de reporte. Si el DEA encuentra que las exposiciones al riesgo no estn adecuadamente gestionadas y existen riesgos residuales, esta conclusin normalmente producira cambios en el plan de trabajo y posteriores investigaciones de la actividad de auditora interna. 3. La mayora de las funciones de auditora medioambiental reportan al responsable o consejero general medioambiental de su organizacin, no al DEA. Los modelos tpicos para auditora medioambiental en las organizaciones estn dentro de los siguientes enfoques: El DEA y el jefe de auditora medioambiental estn en unidades funcionales separadas con poco contacto entre ellos. El DEA y el jefe de auditora medioambiental estn en unidades funcionales separadas y coordinan sus actividades. El DEA tiene la responsabilidad de auditar los asuntos medioambientales. 105

4. De acuerdo con un informe resumido del IIA sobre cuestiones de auditora del medio ambiente: Cerca de la mitad de los auditores medioambientales rara vez se rene con un comit del rgano de gobierno y slo el 40% tiene algn contacto con el DEA. El 70% de las organizaciones informaron que los asuntos medioambientales no se incluyen regularmente en la agenda del rgano de gobierno. Cerca del 40% de las organizaciones informaron que haban pagado multas o penalizaciones por violaciones medioambientales en los ltimos tres aos. Dos tercios de los que respondieron describieron sus riesgos medioambientales como materiales. 5. La Mesa Redonda sobre Auditora de Medio Ambiente, Sanidad y Seguridad (cuyo nuevo nombre es La Mesa Redonda de Auditora) encarg a Richard L. Ratcliff de la Universidad Estatal de Utah y a un grupo de investigadores realizar un estudio sobre auditora de medio ambiente, sanidad y seguridad. Las observaciones de los investigadores relacionadas con asuntos de riesgo e independencia son las siguientes: La funcin de auditora de M,SyS est en cierto modo aislada de las otras actividades de auditora de la organizacin. Est organizada en forma separada de auditora interna, se relaciona slo tangencialmente con las auditoras externas de los estados financieros, y reporta al ejecutivo de M,SyS ms que al rgano de gobierno o a la alta direccin. Esta estructura sugiere que la direccin cree que la auditora de M,SyS es un campo tcnico que est mejor ubicado dentro de la funcin de M,SyS de la organizacin. Con ese sitio dentro de la organizacin, los auditores de M,SyS quizs no puedan mantener su independencia, caracterstica que est considerada como uno de los principales requisitos de una funcin de auditora eficaz. Los gerentes de auditora de M,SyS generalmente reportan administrativamente a los ejecutivos responsables de las instalaciones fsicas que estn siendo auditadas. Por lo tanto, un mal desempeo de M,SyS sera mal visto por el equipo de gestin de esas instalaciones, que tratara de ejercer su influencia sobre lo que se informe en las observaciones de auditora, cmo se realicen las auditoras, o lo que se incluya en el plan de auditora. Esta subordinacin potencial del juicio profesional de los auditores, an cuando sea slo aparente, viola la independencia y objetividad del auditor. Tambin es comn que los informes escritos de auditora no sean distribuidos a niveles superiores a los altos ejecutivos de medio ambiente de la organizacin. Estos ejecutivos pueden tener un conflicto de intereses potencial, y podran cercenar la distribucin de las observaciones de auditora de M,SyS a la alta direccin y al rgano de gobierno de la organizacin. La informacin de auditora es usualmente clasificada como: (a) privilegiada entre cliente y abogado, o producto del trabajo del abogado, (b) secreta y confidencial, o (c) si no es confidencial, guardada celosamente. Esto ocasiona un acceso a la informacin de auditoras de M,SyS severamente restringido SUGERENCIAS PARA EL DIRECTOR EJECUTIVO DE AUDITORA 6. El DEA debe propiciar una relacin de trabajo cercana con el director de asuntos medioambientales y coordinar sus actividades con el plan de auditora medioambiental. En aquellas instancias en que la funcin de auditora de medio ambiente reporta a alguien distinto del DEA, ste debe ofrecer la revisin del plan de auditora y del desempeo de los trabajos. Peridicamente, el DEA debe programar una revisin de aseguramiento de calidad de la funcin de auditora medioambiental si sta fuera independiente en la organizacin de la actividad de auditora interna. La revisin debe determinar si los riesgos medioambientales se estn considerando adecuadamente. Un programa de auditora de M, SyS podra ser tanto (a) orientado al cumplimiento (por ejemplo, verificar el cumplimiento de leyes, regulaciones y de las propias polticas y procedimientos de M,SyS de la organizacin, y de sus objetivos 106

de desempeo), como (b) orientado a los sistemas de gestin (por ejemplo, proporcionar evaluaciones de los sistemas de gestin elaborados para asegurar el cumplimiento de los requerimientos legales e internos y la mitigacin de riesgos), o (c) una combinacin de ambos enfoques. 7. El DEA debe evaluar si los auditores medioambientales, que no forman parte de la organizacin del DEA, cumplen las normas de auditora profesionales reconocidas y un cdigo de tica reconocido. El Consejo de Certificaciones del Auditor de Medio Ambiente, Sanidad y Seguridad (Board of Environmental, Health & Safety Auditor Certifications - BEAC) y el IIA publican normas para el ejercicio profesional y cdigos de tica. 8. El DEA debe evaluar la ubicacin e independencia que tenga la funcin de auditora medioambiental dentro de la organizacin, de modo de que asegure que los asuntos significativos que resulten de riesgos serios para la empresa sean informados a la cadena de mando superior, ya sea el comit de auditora u otro comit del rgano de gobierno. El DEA tambin debe facilitar la informacin de riesgos y problemas de control significativos de M,SyS al comit de auditora u otro comit del consejo de gobierno.

107

Consejo para la Prctica 2100-8: El Rol del Auditor Interno al Evaluar el Marco de Privacidad de una Organizacin
Interpretacin de la Norma 2100 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2100 Naturaleza del Trabajo La actividad de auditora interna debe evaluar y contribuir a la mejora de los procesos de gestin de riesgos, control y gobierno, utilizando un enfoque sistemtico y Disciplinado. Naturaleza de este Consejo para la Prctica: Los auditores internos deben tener en cuenta las siguientes sugerencias al evaluar las actividades relacionadas con el enfoque de privacidad de una organizacin. Esta gua no pretende abarcar todos los procedimientos necesarios para un trabajo integral de aseguramiento o consultora relacionado con el enfoque de privacidad, sino ser simplemente un conjunto de recomendaciones sobre las responsabilidades de alto nivel que tiene el auditor para complementar las responsabilidades relacionadas del Consejo de Administracin y la direccin. El cumplimiento de este Consejo para la Prctica es opcional..

1. Las preocupaciones relacionadas con la proteccin de la privacidad personal estn siendo ms frecuentes, importantes y globales a medida que los avances en la tecnologa informtica y las comunicaciones van introduciendo nuevos riesgos y amenazas a la privacidad. Los controles de privacidad son requisitos legales para hacer negocios en casi todo el mundo. 2. Las definiciones de privacidad varan ampliamente dependiendo del pas, cultura, ambiente poltico y marco legal. La privacidad puede referirse a la privacidad personal (fsica y psicolgica); la privacidad de espacio (libertad de vigilancia); la privacidad de las comunicaciones (libertad de vigilancia); y la privacidad de la informacin (obtencin, uso y revelacin de informacin personal por parte de terceros). La informacin personal se refiere generalmente a informacin que puede estar asociada con un individuo determinado, o que tiene caractersticas identificativas que pudieran ser combinadas con otra informacin para ese efecto. Puede incluir cualquier informacin fctica o subjetiva, registrada o no, en cualquier formato o medio. La informacin personal puede incluir, por ejemplo: Nombre, direccin, nmeros de identificacin, ingresos, o tipo de sangre; Evaluaciones, comentarios, estado civil, o acciones disciplinarias; y Archivos de empleados, registros de crditos, registros de prstamos. 3. La privacidad es una cuestin de la gestin de riesgos. La falta de controles apropiados que protejan la privacidad e informacin personal puede tener consecuencias significativas para una organizacin. Por ejemplo, puede daar la reputacin de las personas y de la organizacin, generar obligaciones legales, y contribuir a la desconfianza de consumidores y empleados. 4. Existe gran cantidad de leyes y regulaciones en todo el mundo respecto de la proteccin de la informacin personal. Asimismo, existen polticas y prcticas de aceptacin general que pueden ser aplicables al asunto de la privacidad. 5. Est claro que las buenas prcticas de privacidad contribuyen al buen gobierno y a la responsabilidad. El rgano de gobierno (por ejemplo, el Consejo de Administracin, el mximo representante de un organismo o cuerpo legislativo) es el responsable final de asegurar que los riesgos principales de una organizacin hayan sido identificados y de que se hayan implantado sistemas apropiados para mitigarlos. Esto incluye el establecimiento del marco de privacidad necesario para la organizacin y la vigilancia de su implantacin. 108

6. El auditor interno puede contribuir a asegurar un buen gobierno y responsabilidad asumiendo un rol de ayuda a la organizacin para que cumpla con sus objetivos de privacidad. El auditor interno tiene una posicin excepcional para evaluar el marco de privacidad de su organizacin e identificar los riesgos significativos, proporcionando las recomendaciones apropiadas para su mitigacin. 7. Al realizar tal evaluacin del marco de privacidad, el auditor interno debe considerar los siguientes aspectos: Las diversas leyes, regulaciones y polticas referidas a la privacidad en sus respectivas jurisdicciones (incluyendo toda jurisdiccin donde la organizacin est haciendo negocios); Un enlace con un asesor legal del lugar para determinar la naturaleza exacta de tales leyes, regulaciones y otras normas y prcticas aplicables a la organizacin y al pas o pases en los cuales est haciendo negocios; Un enlace con especialistas de tecnologa informtica para asegurar que los controles sobre la seguridad informtica y la proteccin de datos existan y sean habitualmente revisados y evaluados respecto de su adecuacin; El nivel de madurez de las prcticas de privacidad de la organizacin. Dependiendo de ese nivel, el auditor interno puede asumir diferentes roles. El auditor puede facilitar el desarrollo e implantacin del programa de privacidad, realizar una evaluacin de riesgos de privacidad para determinar las necesidades y exposiciones de riesgo de la organizacin, o puede revisar y proporcionar aseguramiento respecto de la eficacia de las polticas, prcticas y controles de privacidad en toda la organizacin. Si el auditor interno asume una porcin de la responsabilidad de desarrollar e implantar un programa de privacidad, su independencia puede verse menoscabada. 8. Tpicamente, podra esperarse que el auditor interno identifique los tipos y adecuacin de la informacin obtenida por la organizacin que sea considerada personal o privada, el mtodo de obtencin utilizado, y si el uso que hace la organizacin de la informacin obtenida de ese modo est de acuerdo con el uso pretendido y con las leyes, en las reas en que la informacin es obtenida, mantenida y utilizada. 9. Dada la naturaleza altamente tcnica y legal de este tema, el auditor interno debe asegurarse de disponer de los profundos conocimientos y capacidades requeridos para realizar tal evaluacin del marco de privacidad, utilizando expertos externos si fuera necesario.
Copyright 2001, The Institute of Internal Auditors Origen: 7 de marzo de 2001.

109

Consejo para la Prctica 2100-9 Revisin de Sistemas de Aplicacin

Interpretacin de la Norma 2100 de las Normas Internacionales para el Ejercicio de la Auditora Interna

Norma Relacionada: 2100 Naturaleza del Trabajo La actividad de auditora interna evala y contribuye a la mejora de los sistemas de gestin de riesgos, control y gobierno. Este Consejo para la Prctica ha sido adoptado del documento Revisin de Aplicacin de Sistemas, Documento G14 emitido por la Asociacin de Auditora y Control de Sistemas de Informacin (Information Systems Audit and Control Association - ISACA) en noviembre de 2001. El uso y adopcin del presente documento han sido realizados con el debido permiso y conocimiento de ISACA. Se deja constancia de que en caso de que este Consejo para la Prctica difiera de cualquier forma del Documento o Procedimiento emitido por ISACA, esa organizacin no garantiza la veracidad de los cambios ni los aprueba. Naturaleza de este Consejo para la Prctica: Los auditores internos deben tener en cuenta las siguientes sugerencias al realizar una revisin sistemas de aplicacin. Esta gua no pretende abarcar todos los procedimientos necesarios para trabajo integral de aseguramiento o consultora referido a este tema, sino ser simplemente un conjunto tareas centrales y de nivel superior recomendadas para el auditor, que complementan las tareas planificacin de auditora. El cumplimiento de este Consejo para la Prctica es opcional. de un de de

1. El director ejecutivo de auditora debe determinar que la actividad de auditora interna posee recursos
de auditora independientes1 y competentes, o tiene acceso a los mismos, para realizar una revisin de sistemas de aplicacin y para evaluar la exposicin a los riesgos asociados. Consideraciones para la Planificacin 2. Una parte integrante de la planificacin es que el auditor comprenda suficientemente el entorno de sistemas de informacin (SI) de la organizacin, para determinar el tamao y complejidad de los sistemas y la magnitud de la dependencia de la organizacin respecto de los mismos. El auditor debe comprender la misin y los objetivos de negocio de la organizacin, el nivel y la forma en que la tecnologa informtica y los sistemas informticos se utilizan en la misma, y los riesgos y exposiciones asociados con dichos objetivos y sistemas informticos. Adems, debe conocer la estructura organizacional, incluyendo roles y responsabilidades del personal clave de SI y el dueo del proceso de negocio del sistema de aplicacin. Durante la planificacin de la auditora deben tenerse en cuenta los riesgos que existen dentro de las reas de negocio. Un objetivo principal de la planificacin es identificar el nivel de riesgos de la aplicacin. El nivel de riesgo relativo influir en el nivel de evidencias de auditora que se requerirn. El nivel de riesgos de la aplicacin en lo referido a sistemas y datos incluye lo siguiente: Riesgos de disponibilidad del sistema, relativos a la carencia de capacidad operativa del sistema. Riesgos de seguridad del sistema, relativos a accesos no autorizados a sistemas y datos. Riesgos de integridad del sistema, relativos al procesamiento de datos incompleto, inexacto, inoportuno o no autorizado. Riesgos de mantenimiento del sistema, relativos a la incapacidad de actualizacin del sistema, cuando sta sea requerida para seguir proporcionando al sistema disponibilidad, seguridad e integridad.
___________________________________________ 1 Independencia:

significa, por ejemplo, que el auditor no haya estado implicado en el desarrollo, adquisicin, implantacin o mantenimiento del sistema de aplicacin.

110

 Riesgos de datos, relativos a su integridad, consistencia, confidencialidad, privacidad, exactitud y oportunidad. Los controles de aplicacin para controlar los niveles de riesgo de la aplicacin pueden materializarse en controles computarizados construidos dentro del sistema, en controles manuales, o en una combinacin de ambos. Por ejemplo, el cotejo computarizado de documentos (orden de compra, factura e informe de bienes recibidos), la revisin y firma de un cheque generado por el computador, y la revisin de informes de excepcin por parte de la alta gerencia. Cuando se opte por basarse en controles programados, deben considerarse controles relevantes de tecnologa informtica (TI) generales, as como controles especficamente relevantes para el objetivo de auditoria. Los controles de TI generales podran ser objeto de una revisin por separado, que incluira, por ejemplo: controles fsicos, nivel de seguridad del sistema, gestin de red, recuperacin de datos y planes de contingencia. Dependiendo de los objetivos de control de la revisin, el auditor puede no necesitar revisar los controles generales, como cuando se est evaluando un sistema de aplicacin para su adquisicin. Cuando se est evaluando un paquete de sistema de aplicacin para su adquisicin, se pueden realizar revisiones de aplicacin de sistemas, antes de que ste entre en produccin (preimplementacin) y despus de que haya entrado en produccin (post-implementacin). El alcance de una revisin preimplementacin de un sistema de aplicacin incluye la seguridad de la arquitectura de la aplicacin, planes para al implementacin de la seguridad, la adecuacin de la documentacin de sistema y usuario, y la adecuacin de las prueba de aceptacin del usuario reales o planificadas. El alcance de la revisin postimplementacin incluye la seguridad de la aplicacin despus de implementada y puede cubrir la conversin del sistema si ha habido una transferencia de datos y archivos maestros desde el antiguo al nuevo sistema. Los objetivos y alcance de una Revisin de un Sistema de Aplicacin normalmente forman parte del Plan de Trabajo. La forma y el contenido de dicho plan pueden variar, pero deben incluir lo siguiente: Los objetivos y alcance de la revisin. El auditor o auditores que realizarn la revisin. Una declaracin de independencia por parte del auditor o auditores del proyecto. Cundo comenzar la revisin y su programacin de tiempos. Acuerdos para el informe y la reunin de cierre. Los objetivos deben ser desarrollados siguiendo los 7 criterios de informacin del COBIT y ser aceptados por la organizacin. Estos 7 criterios son los siguientes: Eficacia, Eficiencia, Confidencialidad, Integridad, Disponibilidad, Cumplimiento, y Confiabilidad de la Informacin. Cuando el auditor ha participado previamente en el desarrollo, adquisicin, implementacin o mantenimiento de un sistema de aplicacin y se le asigna un trabajo de auditora, su independencia puede verse menoscabada. El auditor deber guiarse por las directrices adecuadas para tales circunstancias. Realizacin del Trabajo de Auditora 3. a) Documentar el flujo de transacciones La informacin recogida debe incluir tanto aspectos computarizados como manuales del sistema. Debe enfocarse a la entrada de datos (ya sea automatizada o manual), el procesamiento, el almacenamiento y la salida que sean significativas para los objetivos de auditora. El auditor puede

111

encontrar que, dependiendo de los procesos de negocios y el uso de tecnologa, documentar el flujo de transacciones puede no ser prctico. En ese caso, el auditor debe preparar un diagrama de flujo de datos de nivel superior o una narrativa, y/o utilizar documentacin del sistema si est disponible. Tambin debe tenerse en cuenta la documentacin de las interfaces de la aplicacin con otros sistemas. El auditor debe confirmar la documentacin realizando procedimientos tales como una prueba de recorrido (walkthrough). b) Identificar y probar los controles del sistema de aplicacin Pueden identificarse controles especficos para mitigar los riesgos de la aplicacin y obtenerse suficiente evidencia de auditora para que el auditor se asegure de que los controles operativos estn funcionando como se plane. Esto puede lograrse mediante procedimientos tales como entrevistas y observacin, revisin de documentacin, y pruebas de los controles del sistema de aplicacin donde los controles programados son probados (puede tenerse en cuenta el uso de TAAC). La naturaleza, oportunidad y alcance de las pruebas deben basarse en el nivel de riesgos del rea bajo revisin y en los objetivos de auditora. En ausencia de fuertes controles generales de TI, el auditor puede hacer una evaluacin del efecto de esa debilidad sobre la confiabilidad de los controles automatizados de la aplicacin. Si el auditor encuentra debilidades significativas en los controles automatizados de la aplicacin, debe obtener aseguramiento (dependiendo del objetivo de auditora), de ser posible, de los controles manuales del proceso. La eficacia de los controles computarizados depende de que existan fuertes controles generales de TI. Por tanto, si los controles generales de TI no son revisados, la confianza en los controles de la aplicacin puede verse severamente limitada, y el auditor deber considerar procedimientos alternativos. Informe 4. La comunicacin de los resultados de un trabajo sobre sistemas de aplicacin debe describir claramente la naturaleza del trabajo y cualquier limitacin, restriccin u otros factores que deban conocer los usuarios de la informacin. El auditor debe incluir en su informe las recomendaciones apropiadas para fortalecer los controles. Las debilidades identificadas en la revisin de la aplicacin, tanto si son debidas a la ausencia de controles como a su incumplimiento, deben ser informadas al dueo del proceso del negocio y al gerente de sistemas de informacin responsable por el soporte de la aplicacin. Cuando las debilidades identificadas durante la revisin de sistemas de aplicacin sean consideradas significativas, debe advertirse de ello a la gerencia del nivel adecuado para que pueda emprender acciones correctivas de inmediato. Puesto que los controles de aplicacin computarizados eficaces dependen de los controles generales de TI, las debilidades en esta rea tambin debern ser informadas. En caso de que los controles generales de TI no sean revisados, debe incluirse este hecho en el informe.
Copyright 2001 - Este producto contiene guas de auditora de sistemas informticos, que son utilizadas con permiso de la Information Systems Audit and Control Association (ISACA). 2001 Information Systems Audit and Control Association. Todos los derechos reservados. En cumplimiento de leyes y acuerdos de derechos de autor, no podr reproducirse ninguna parte de esta publicacin, almacenarse en sistemas de archivo o transmitirse en cualquier forma y por cualquier medio, ya sea electrnico, mecnico, de fotocopiadora, registro o cualquier otro, sin el permiso escrito previo de ISACA y del editor.

Origen: 22 de abril de 2005.

112

Consejo para la Prctica 2100-10: Muestreo de Auditora

Interpretacin de la Norma 2100 de las Normas Internacionales para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2100 - Naturaleza del Trabajo La actividad de auditora interna evala y contribuye a la mejora de los sistemas de gestin de riesgos, control y gobierno. Este Consejo para la Prctica ha sido adoptado del documento Muestreo de Auditora, Documento G10 emitido por la Asociacin de Auditora y Control de Sistemas de Informacin (Information Sistemas audit. and Control Association - ISACA) en marzo de 2000. El uso y adopcin del presente documento han sido realizados con el debido permiso y conocimiento de ISACA. Se deja constancia de que en caso de que este Consejo para la Prctica difiera de cualquier forma del Documento o Procedimiento emitido por ISACA, esa organizacin no garantiza la veracidad de esos cambios ni los aprueba. Naturaleza de este Consejo para la Prctica: Los auditores internos deben tener en cuenta las siguientes sugerencias al utilizar tcnicas de muestreo de auditora en sus pruebas. Esta gua no pretende abarcar todos los procedimientos necesarios para efectuar un muestreo de auditora, sino ser simplemente un conjunto de tareas centrales y de nivel superior recomendadas para el auditor, que complementan las tareas de planificacin de auditora. El cumplimiento de este Consejo para la Prctica es opcional. I. REALIZACIN DEL TRABAJO DE AUDITORA Muestreo de Auditora Al utilizar mtodos de muestreo estadstico o no estadstico, el auditor debe disear y seleccionar una muestra de auditora, efectuar los procedimientos de auditora y evaluar los resultados de la muestra para obtener evidencia de auditora suficiente, confiable, relevante y til. En el proceso de formacin de una opinin de auditora, con frecuencia, los auditores no examinan toda la informacin disponible dado que sera poco prctico, pudiendo llegar a conclusiones vlidas utilizando muestras de auditora . El muestreo de auditora se define como la aplicacin de procedimientos de auditora a menos del 100% de la poblacin, con el fin de permitir al auditor evaluar la evidencia de auditora sobre ciertas caractersticas de los elementos seleccionados para llegar o contribuir a llegar a una conclusin respecto de la poblacin. El empleo estadstico implica la utilizacin de tcnicas de las cuales se pueden obtener conclusiones matemticas respecto de la poblacin. El muestreo no estadstico es aquel que no est basado en estadsticas y cuyos resultados no deben ser extrapolados a la poblacin, ya que es poco probable que la muestra sea representativa de la poblacin. Diseo de la Muestra Al disear el tamao y la estructura de una muestra de auditora, los auditores deben considerar los objetivos de auditora especficos, la naturaleza de la poblacin y los mtodos de muestreo y seleccin. El auditor debe considerar la necesidad de recurrir a los especialistas que sean necesarios para el diseo y anlisis de las muestras. Unidad de la Muestra - La unidad de la muestra depender del propsito del muestreo. Para pruebas de cumplimiento de controles, generalmente se utiliza el muestreo por atributos, en el cual la unidad de muestreo es un evento de la transaccin (por ejemplo: un control tal como la autorizacin de una factura). Para pruebas sustantivas, frecuentemente se utiliza muestreo variable o por estimacin, en el cual la unidad de la muestra generalmente es monetaria.

113

Objetivos de la auditora - El auditor debe tener en cuenta los objetivos de auditora especficos que deben alcanzarse y los procedimientos de auditora que ms probablemente alcanzarn los mismos. Cuando el muestreo de auditora sea apropiado, deber tenerse en cuenta la naturaleza de la evidencia de auditora buscada y las posibles condiciones de error. Poblacin - La poblacin es la totalidad del conjunto de datos de los cuales el auditor desea obtener una muestra con el fin de obtener una conclusin sobre el conjunto. Por tanto, la poblacin de la cual se obtiene la muestra debe ser apropiada y tiene que comprobarse su idoneidad para el objetivo de auditora en concreto. Estratificacin - La estratificacin puede ser apropiada para obtener un diseo de la muestra eficiente y eficaz. La estratificacin es el proceso de dividir la poblacin en subpoblaciones con caractersticas similares explcitamente definidas, de forma tal que cada unidad de la muestra pueda pertenecer a un nico estrato. Tamao de la muestra - Para determinar el tamao de la muestra, el auditor debe tener en cuenta el riesgo de la muestra (o riesgo debido al muestreo), el error tolerable y el error esperado. Riesgo de la muestra (o Riesgo debido al muestreo) - El riesgo debido al muestreo surge de la posibilidad de que la conclusin del auditor sea distinta de aquella a la que se llegara si se sometiera a toda la poblacin al mismo procedimiento de auditora. Existen dos tipos de riesgo debido al muestreo: Riesgo de aceptacin incorrecta: es el riesgo de se juzgue que un error importante es poco probable, cuando en realidad la poblacin tiene errores importantes. Riesgo de rechazo incorrecto: es el riesgo de que se juzgue que un error importante es probable, cuando en realidad la poblacin no tiene errores importantes.

El nivel de riesgo de muestreo que el auditor est dispuesto a aceptar afecta el tamao de la muestra. Los riesgos de muestreo deben considerarse en relacin con el modelo de riesgo de auditora y sus componentes: riesgo inherente, riesgo de control y riesgo de deteccin. Error tolerable - El error tolerable es el mximo error en la poblacin que los auditores estn dispuestos a aceptar y an as concluir que el objetivo de auditora se ha alcanzado. Para las pruebas sustantivas, el error tolerable est relacionado con el criterio del auditor respecto de la materialidad. En las pruebas de cumplimiento, es la tasa mxima de desviacin respecto de un procedimiento de control establecido, que el auditor est dispuesto a aceptar. Error esperado - Si el auditor cree que existen errores en la poblacin, deber examinar una muestra mayor que cuando cree que no existen errores y su conclusin es que el error real en la poblacin es inferior al error tolerable planeado. Los tamaos de muestra ms pequeos slo se justifican cuando se cree que la poblacin no tiene errores. Al determinar el error esperado en una poblacin, el auditor debe considerar hechos tales como los niveles de error identificados en auditoras anteriores, cambios en los procedimientos de la organizacin, y evidencias disponibles de una evaluacin de control interno y de resultados de procedimientos de revisin analticos. Seleccin de la Muestra Existen cuatro mtodos comnmente utilizados para obtener muestras: Mtodos de Muestreo Estadstico

Muestreo aleatorio - garantiza que todas las combinaciones de unidades en la poblacin tengan la misma probabilidad de ser seleccionadas.

114

Muestreo sistemtico - implica seleccionar las unidades de la muestra utilizando un intervalo fijo entre selecciones, teniendo el primer intervalo un comienzo aleatorio. Por ejemplo, Muestreo de Unidades Monetarias o Seleccin con Valores Ponderados donde a cada unidad monetaria de la poblacin (por ejemplo, $1) se le otorga la misma probabilidad de ser seleccionada para la muestra. Dado que una unidad monetaria, por lo general, no puede ser examinada separadamente, es el elemento que contiene tal unidad el que es seleccionado para su examen. Este mtodo sesga automticamente la seleccin hacia las unidades que tengan asignado un importe mayor, pero tambin otorga a cada valor monetario una misma oportunidad de seleccin. Otro ejemplo sera seleccionar cada ensimo elemento.

Mtodos de Muestreo No Estadstico

Muestreo indiscriminado ("haphazard") - en el cual el auditor selecciona la muestra sin emplear una tcnica estructurada, pero evitando cualquier desvo consciente o predecible. Sin embargo, el anlisis de una muestra indiscriminada no debe extrapolarse para formar una opinin sobre la poblacin. Muestreo de juicio o discrecional - en el cual el auditor coloca un desvo en la seleccin de la muestra (por ejemplo, todas las unidades superiores a determinado valor, todas las que cumplan un cierto tipo de excepcin, todas las negativas, todos los nuevos usuarios, etc.). Debe notarse que una muestra discrecional no est basada en la estadstica y sus resultados no deben ser extrapolados a la poblacin, dado que es improbable que la muestra sea representativa de la poblacin.

El auditor debe seleccionar los elementos de la muestra de forma tal que la misma sea representativa de la poblacin en lo que hace a las caractersticas a comprobar (por ejemplo, utilizando mtodos de muestreo estadstico). Para mantener la independencia de auditora, el auditor debe asegurar que la poblacin sea completa y que controla el proceso de seleccin de la muestra. Para que una muestra sea representativa de la poblacin, todas las unidades en la poblacin deben tener una misma o conocida probabilidad de seleccin (por ejemplo, mtodos de muestreo estadstico). Existen dos mtodos de seleccin comnmente utilizados: seleccin sobre registros y seleccin sobre campos numricos (por ejemplo: unidades monetarias). Para efectuar la seleccin sobre registros, los mtodos ms frecuentes son: Muestreo Aleatorio (estadstico) Muestreo Indiscriminado (no estadstico) Muestreo de Juicio o Indiscriminado (no estadstico, con alta probabilidad de derivar a una conclusin sesgada) Para efectuar la seleccin sobre campos numricos, los mtodos ms frecuentes son: Muestreo Aleatorio (estadstico, sobre unidades monetarias) Muestreo de Intervalo Fijo (estadstico, utilizando un intervalo fsico) Muestreo de Casillas o Muestreo de Intervalo Variable (estadstico, utilizando seleccin aleatoria dentro de cada intervalo) Documentacin Los papeles de trabajo de la auditora deben incluir detalles suficientes que describan claramente el objetivo y proceso de muestreo utilizados. Los papeles de trabajo deben contener informacin del origen de la poblacin, el mtodo de muestreo utilizado, los parmetros de muestreo (por ejemplo, nmero de arranque al azar o mtodo de generacin del arranque al azar, intervalo de muestra), elementos seleccionados, detalles de las pruebas de auditora realizadas y las conclusiones obtenidas.

115

Evaluacin de los Resultados de la Muestra Una vez que el auditor ha aplicado los procedimientos de auditora apropiados para un cierto objetivo de auditora sobre cada elemento de la muestra, deber analizar los posibles errores detectados en la muestra para determinar si son realmente errores y, si corresponde, su naturaleza y causa. Aquellos que sean considerados como errores debern ser proyectados a toda la poblacin, si el mtodo de muestreo utilizado es estadstico. Todos los posibles errores detectados deben ser revisados para determinar que son errores reales. El auditor debe considerar los aspectos cuantitativos de los mismos. Esto incluye la naturaleza y causa del error y su posible efecto sobre otras fases de la auditora. Los errores que son consecuencia de fallos en un proceso automatizado generalmente tienen mayores implicancias en las tasas de error que los errores humanos. Cuando no sea posible obtener la evidencia de auditora esperada de un elemento particular de la muestra, el auditor podr obtener evidencia de auditora suficiente realizando procedimientos alternativos sobre tal elemento. El auditor debe considerar extrapolar los resultados de la muestra a la poblacin siguiendo un mtodo de proyeccin que sea consistente con el mtodo utilizado para seleccionar la muestra. La extrapolacin puede implicar una estimacin de los probables errores en la poblacin y considerar cualquier otro error que pudo haber escapado a la deteccin debido a la imprecisin de la tcnica junto con los aspectos cualitativos de los errores detectados. El auditor debe considerar si los errores en la poblacin pudieran exceder el error tolerable, comparando el error extrapolado a la poblacin con el error tolerable, y teniendo en cuenta los resultados de otros procedimientos de auditora relevantes para el objetivo de auditora. Cuando el error extrapolado a la poblacin excede el error tolerable, el auditor debe reevaluar el riesgo debido al muestreo, y si ese riesgo fuera inaceptable debe plantearse extender el procedimiento de auditora o aplicar procedimientos de auditora alternativos.

Copyright 1999 - Este producto contiene guas de auditora de sistemas informticos, que son utilizadas con permiso de la Information Systems Audit and Control Association (ISACA). 1999 Information Systems Audit and Control Association. Todos los derechos reservados. En cumplimiento de leyes y acuerdos de derechos de autor, no podr reproducirse ninguna parte de esta publicacin, almacenarse en sistemas de archivo o transmitirse en cualquier forma y por cualquier medio, ya sea electrnico, mecnico, de fotocopiadora, registro o cualquier otro, sin el permiso escrito previo de ISACA y del editor.

Origen: 22 de abril de 2005.

116

Consejo para la Prctica 2100-11: Efecto de los Controles Universales de Sistemas de Informacin
Interpretacin de la Norma 2100 de las Normas Internacionales para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2100 Naturaleza del Trabajo La actividad de auditora interna evala y contribuye a la mejora de los sistemas de gestin de riesgos, control y gobierno. Este Consejo para la Prctica ha sido adoptado del documento Efecto de los Controles Universales de Sistemas de Informacin, Documento G11 emitido por la Asociacin de Auditora y Control de Sistemas de Informacin (Information Systems Audit and Control Association - ISACA) en marzo de 2000. El uso y adopcin del presente documento han sido realizados con el debido permiso y conocimiento de ISACA. Se deja constancia de que en caso de que este Consejo para la Prctica difiera de cualquier forma del Documento o Procedimiento emitido por ISACA, esa organizacin no garantiza la veracidad de los cambios ni los aprueba. Naturaleza de este Consejo para la Prctica: Los auditores internos deben tener en cuenta las siguientes sugerencias al realizar una revisin de controles de sistemas de informacin. Esta gua no pretende abarcar todos los procedimientos necesarios para realizar una auditora de sistemas de informacin, sino ser simplemente un conjunto de tareas centrales y de nivel superior recomendadas para el auditor, que complementan las tareas de planificacin. El cumplimiento de este Consejo para la Prctica es opcional. I. ESTRUCTURA DE CONTROLES Descripcin El COBIT define control como las polticas, procedimientos, prcticas y estructuras organizativas que proporcionan un aseguramiento razonable de que los objetivos del negocio sern alcanzados y de que ser posible prevenir, detectar y corregir hechos no deseados . En cada auditora de sistemas de informacin (SI), el auditor deber diferenciar entre aquellos controles generales que afectan a todos los sistemas de informacin y operaciones (controles universales de SI) y aquellos que operan en un nivel ms especfico (controles detallados de SI), con el fin de centrar los esfuerzos de la auditora en las reas de riesgo relevantes para el objetivo de la auditora. El propsito de la estructura de controles descrita aqu es ayudar al auditor en la consecucin de ese enfoque. Controles Universales de SI Algunos ejemplos de controles universales de SI son los controles sobre procesos de SI definidos en el COBIT dentro del dominio de Planificacin y Organizacin y del dominio de Vigilancia. Por ejemplo, P01 -Definir un Plan Estratgico de Tecnologa Informtica y M1 -Vigilar los Procesos. Los controles universales de SI son un subconjunto de los controles generales, siendo aquellos controles generales que se centran en la gestin y vigilancia de SI. El efecto de los controles universales de SI no est limitado a la confiabilidad de los controles de aplicacin en los sistemas financieros. Los controles universales de SI tambin afectan la confiabilidad de los controles detallados de SI sobre diversos elementos, por ejemplo: Desarrollo de programas Implementacin de sistemas Administracin de la seguridad

117

Procedimientos de copias de seguridad

Una gestin y vigilancia dbiles de SI (por ejemplo, controles universales de SI dbiles) deben alertar al auditor respecto de la posibilidad de un alto riesgo de que los controles diseados para operar en el nivel detallado puedan ser ineficaces. Controles Detallados de SI Los controles detallados de SI estn compuestos de controles de aplicaciones ms controles generales, no incluidos en los controles universales de SI. En el Marco de Referencia COBIT, controles detallados de SI son aquellos controles sobre la adquisicin, implementacin, entrega y mantenimiento de sistemas y servicios de SI. Algunos ejemplos de estos controles son: Implementacin de paquetes de software Parmetros de seguridad de sistemas Planeamiento de recuperacin ante desastres Validacin de entrada de datos Informes de excepciones en produccin Bloqueo de cuentas de usuario tras varios intentos fallidos de acceso

Los controles de aplicaciones son un subconjunto de los controles detallados de SI. La validacin de datos de entrada, por ejemplo, es tanto un control detallado de SI como un control de aplicaciones. La instalacin y acreditacin de sistemas (A15) es un control detallado de SI, pero no un control de aplicaciones. La relacin entre controles de SI se muestra en el siguiente esquema: Controles de SI Controles generales Controles universales de SI Controles detallados de SI Controles de aplicaciones

El auditor deber considerar el efecto de los controles que no sean de SI en el alcance y procedimientos de auditora. Interaccin entre Controles Universales y Detallados de SI El marco de referencia COBIT divide los procesos de control de SI en cuatro dominios: Planificacin y Organizacin Adquisicin e Implementacin Entrega y Mantenimiento Vigilancia

La eficacia de los controles en los dominios de Adquisicin e Implementacin (AI) y de Entrega y Mantenimiento (EM) est influida por la eficacia de los controles que operan en los dominios de Planificacin y Organizacin (PO) y de Vigilancia (M). La planificacin, organizacin y vigilancia inadecuadas por parte de la gerencia implican que los controles sobre la adquisicin, implementacin, entrega y mantenimiento, sern ineficaces. En sentido inverso, una planificacin, organizacin y vigilancia fuertes pueden identificar y corregir controles ineficaces sobre la adquisicin, implementacin, entrega y mantenimiento. Por ejemplo, controles detallados de SI eficaces sobre el proceso de Adquisicin y Mantenimiento de Software de Aplicaciones (Proceso de referencia AI2 de COBIT) estn afectados por la adecuacin de los controles universales de SI sobre los siguientes procesos:

118

Definicin del Plan Estratgico de TI (Proceso de referencia PO1 de COBIT) Gestin de Proyectos (Proceso de referencia PO10 de COBIT) Gestin de Calidad (Proceso de referencia PO11 de COBIT) Vigilancia de Procesos (Proceso de referencia M1 de COBIT)

Una auditora de la adquisicin de un sistema de aplicacin incluye la identificacin del efecto de la estrategia de SI, el enfoque de gestin del proyecto, la gestin de calidad y el enfoque de la vigilancia. Por ejemplo, cuando la gestin del proyecto sea inadecuada, el auditor deber considerar: Realizar trabajo adicional para asegurar que el proyecto en cuestin est gestionado de forma eficaz. Informar las debilidades en los controles universales de SI a la direccin.

Otro ejemplo es que los controles detallados de SI eficaces sobre el proceso Asegurar la Seguridad de Sistemas (Proceso de referencia DS5 de COBIT) estn afectados por la adecuacin de los controles universales de SI sobre los siguientes procesos: Definir la Organizacin y Relaciones de TI (Proceso de referencia PO4 de COBIT) Comunicar la Direccin y Aspiraciones de la Gerencia (Proceso de referencia de PO6 de COBIT) Evaluar Riesgos (Proceso de referencia PO9 de COBIT) Vigilar los Procesos (Proceso de referencia M1 de COBIT)

Una auditora de la adecuacin de los parmetros de seguridad en un sistema, por ejemplo, UNIX, Windows NT, RACF, debe tener en cuenta las polticas de seguridad de la direccin (PO6), la asignacin de responsabilidades de seguridad (PO4), los procedimientos de evaluacin de riesgos (PO9), y los procedimientos para vigilar el cumplimiento de sus polticas de seguridad (M1). An en aquellos casos en que los parmetros no cumplen con la visin de mejores prcticas que tenga el auditor, pueden ser evaluados como adecuados segn el riesgo identificado por la direccin y sus polticas, que son las que deciden cmo debe afrontarse ese nivel de riesgo. Las recomendaciones de auditora deben estar dirigidas a la gestin o poltica de riesgos, as como a los parmetros detallados en s. II. PLANIFICACIN Enfoque para los Controles Universales de SI La Gua de Auditora para la Planificacin de Auditoras de SI establece que el auditor debe llevar a cabo una evaluacin preliminar de control sobre la funcin auditada, que debe incluir la identificacin y evaluacin de los controles universales de SI relevantes. La prueba de los controles universales de SI puede tener lugar en un ciclo diferente de la auditora especfica que se va a realizar, dado que por su naturaleza puede cubrir muchos aspectos diferentes del uso de los SI. Por tanto, el auditor debe considerar si algn trabajo de auditora anterior en dicha rea puede ser utilizado para identificar y evaluar esos controles. Cuando la auditora indica que los controles universales de SI son insatisfactorios, el auditor debe considerar el efecto de este hallazgo en el enfoque planificado para alcanzar el objetivo de la auditora: Controles universales de SI fuertes pueden contribuir al aseguramiento que puede obtener un auditor en relacin con los controles detallados de SI. Controles universales de SI dbiles pueden debilitar los controles detallados de SI o exacerbar debilidades en el nivel de detalle.

Procedimientos de Auditora Suficientes

119

Cuando los controles universales de SI tienen un efecto potencial significativo en el objetivo de la auditora, no es suficiente planificar auditar slo los controles detallados. Cuando no es posible o prctico auditar los controles universales de SI, deber informarse la limitacin en el alcance. El auditor debe planificar probar los controles universales de SI relevantes si esto contribuye a alcanzar el objetivo de la auditora. Controles Relevantes Controles universales de SI relevantes son aquellos que tienen un efecto en los objetivos especficos del trabajo. Por ejemplo, cuando el objetivo de la auditora es informar sobre los controles en los cambios de una librera de programas especfica, los controles universales de SI relativos a polticas de seguridad (PO6) sern relevantes, pero los controles universales de SI relativos a la determinacin de la direccin tecnolgica (PO3) pueden no ser relevantes. Al planificar la auditora, el auditor debe identificar qu controles universales de SI de la poblacin total tienen efecto sobre los objetivos de auditora especficos, y planificar su inclusin en el alcance de la auditora. Los objetivos de control de COBIT para los dominios de Planificacin y Organizacin y Vigilancia pueden ayudar al auditor a identificar controles universales de SI relevantes. Evidencias de Auditora Los controles universales de SI no necesariamente tienen que estar documentados, pero el auditor debe planificar la obtencin de evidencias de auditora respecto de que los controles relevantes estn operando eficazmente. En la seccin de Realizacin del Trabajo de Auditora se mencionan algunas posibles pruebas. Enfoque para los Controles Detallados de SI Relevantes Cuando el trabajo de auditora indica que los controles universales de SI son satisfactorios, el auditor debe considerar reducir el nivel de pruebas planificado para los controles detallados de SI, dado que la evidencia de auditora de que existen controles universales de SI fuertes contribuye al aseguramiento que puede obtener un auditor en relacin con los controles detallados de SI. Cuando el trabajo de auditora indica que los controles universales de SI no son satisfactorios, el auditor debe llevar a cabo pruebas suficientes de los controles detallados de SI para proporcionar evidencias de auditora de que los mismos estn funcionando eficazmente a pesar de las debilidades en los controles universales de SI relevantes. III. REALIZACIN DEL TRABAJO DE AUDITORA Prueba de Controles Universales de SI El auditor debe llevar a cabo pruebas suficientes para asegurar que los controles universales de SI relevantes funcionaban eficazmente durante el perodo de la auditora o en un determinado momento. Los procedimientos de prueba pueden incluir: Observacin Encuestas corroborativas Revisin de documentacin importante (polticas, normas, actas de reuniones, etc.) Re-desempeo -rehacer la tarea o re-performance- (utilizando TAAC, por ejemplo)

Si las pruebas de controles universales de SI relevantes indican que son satisfactorios, el auditor debe proceder con la auditora planificada de los controles detallados de SI que son directamente aplicables al objetivo de auditora. El nivel de esas pruebas puede ser menor de lo que sera apropiado en el caso de que los controles universales de SI no estuvieran funcionando satisfactoriamente.

120

IV. INFORME Debilidades en los Controles Universales de SI Cuando el auditor ha identificado debilidades en los controles universales de SI, debern ser informadas a la direccin, an cuando dichas reas no estuvieron identificadas especficamente en el alcance de trabajo acordado. Limitaciones al Alcance Cuando los controles universales de SI pudieran tener un efecto significativo sobre la eficacia de los controles detallados de SI, si aquellos no fueron auditados, el auditor debe informar de esto a la direccin en su informe final, junto con una declaracin del efecto potencial sobre los hallazgos de auditora, conclusiones y recomendaciones. Por ejemplo, cuando un auditor est informando en una auditora la adquisicin de un paquete de software, pero no ha obtenido la estrategia de SI de la organizacin al respecto, deber incluir en el informe una declaracin de que la estrategia no se ha obtenido o que no existe. Si es relevante, el auditor debe informar el efecto potencial sobre los hallazgos de auditora, conclusiones y recomendaciones. Por ejemplo, una declaracin que exponga que no es posible afirmar que el paquete de software es consistente con la estrategia de SI y que es adecuado para la consecucin de los planes de la empresa para el futuro.
Copyright 1999 - Este producto contiene guas de auditora de sistemas informticos, que son utilizadas con permiso de la Asociacin de Auditora y Control de Sistemas de Informacin (Information Systems Audit and Control Association -ISACA). 1999 Information Systems Audit and Control Association. Todos los derechos reservados. En cumplimiento de leyes y acuerdos de derechos de autor, no podr reproducirse ninguna parte de esta publicacin, almacenarse en sistemas de archivo o transmitirse en cualquier forma y por cualquier medio, ya sea electrnico, mecnico, de fotocopiadora, registro o cualquier otro, sin el permiso escrito previo de ISACA y del editor.

Origen: 22 de abril de 2005.

121

Consejo para la Prctica 2100-12 Contratacin Externa de las Actividades de Sistemas de Informacin
Interpretacin de la Norma 2100 de las Normas Internacionales para el Ejercicio Profesional de la Auditora Interna Norma Relacionada 2100 Naturaleza del Trabajo La actividad de auditora interna evala y contribuye a la mejora de los sistemas de gestin de riesgos, control y gobierno. Este Consejo para la Prctica ha sido adoptado del documento Contratacin de las Actividades de Sistemas de Informacin en Otras Organizaciones, Documento G4 emitido por la Asociacin de Auditora y Control de Sistemas de Informacin (Information Systems Audit and Control Association -ISACA) en septiembre de 1999. El uso y adopcin del presente documento han sido realizados con el debido permiso y conocimiento de ISACA. Se deja constancia de que en caso de que este Consejo para la Prctica difiera de cualquier forma del Documento o Procedimiento emitido por ISACA, esa organizacin no garantiza la veracidad de los cambios ni los aprueba. Naturaleza de este Consejo para la Prctica: Los auditores internos deben tener en cuenta las siguientes sugerencias al realizar una auditora de las actividades externalizadas de sistemas de organizacin. Esta gua no pretende abarcar todos los procedimientos necesarios para realizar un trabajo integral de aseguramiento o consultora relacionado con una auditora de las actividades externalizadas de sistemas de informacin, sino ser simplemente un conjunto de tareas centrales y de nivel superior recomendadas para el auditor, que complementan las tareas de planificacin. El cumplimiento de este Consejo para la Prctica es opcional. Consideraciones Anteriores a la Realizacin de la Auditora 1. El director ejecutivo de auditora (DEA) debe determinar que la actividad de auditora posee o tiene acceso a recursos de auditora independientes1 y competentes que le permitan llevar a cabo una auditora de las actividades externalizadas 2 de sistemas de organizacin (SI), y de evaluar la exposicin a los riesgos asociados. 2. El derecho a auditar a un proveedor externo de servicios es a menudo poco claro. La responsabilidad de auditar su cumplimiento suele ser, tambin, poco clara. El DEA y/o el auditor designado cooperando con la gerencia legal, la gerencia de contrataciones y/u otros departamentos responsables deben determinar si el acuerdo de externalizadas permite efectuar una auditora al proveedor, y si dicha posibilidad es adecuada. De ser necesario, debe requerirse asesora legal al respecto. 3. El DEA y/o el auditor designado tambin debe evaluar la confianza que puede darse a cualquier trabajo de auditora de SI llevado a cabo por los auditores internos del proveedor de SI o por un tercer proveedor, independiente y contratado por el proveedor de SI. La capacidad de auditar y/o confiar en el trabajo efectuado por otros debe determinarse antes de llevar a cabo la auditora.

___________________________
1 Independencia: significa, por ejemplo, que el auditor no estuvo implicado en la planificacin, seleccin o contratacin del proveedor externo de las actividades de SI. 2 En ingls, outsourcing, que se traduce indistintamente en este documento como contratacin externa, contratacin a terceros, contratacin de un proveedor externo, o externalizacin. (N. del T.).

122

Consideraciones para la Planificacin 1. Observacin de los Hechos El auditor debe comprender la naturaleza, oportunidad y alcance de los servicios contratados a terceros. El auditor debe determinar qu controles ha establecido el usuario del servicio para cumplir el requisito del negocio de asegurar que las funciones y responsabilidades de las terceras partes estn claramente definidas y orientadas a satisfacer los requerimientos (COBIT Objetivo de Control de Nivel Superior DS2). Los riesgos asociados con los servicios externalizados deben estar identificados y evaluados. El auditor debe evaluar hasta qu punto los controles del usuario del servicio brindan aseguramiento razonable de que los objetivos del negocio sern alcanzados, y de que los eventos no deseados sern prevenidos o detectados y corregidos. 2. Planificacin El auditor debe evaluar todo informe de auditora previo preparado para el proveedor del servicio, y planificar el trabajo de auditora de SI con respecto a los objetivos de auditora relevantes para el entorno del proveedor, teniendo en cuenta la informacin obtenida durante la planificacin. Los objetivos de la auditora deben ser acordados con la gerencia del usuario del servicio antes de comunicarlos al proveedor del servicio. Cualquier cambio solicitado por dicho proveedor debe ser acordado con la gerencia del usuario del servicio. El auditor debe planificar el trabajo de auditora de SI de modo de cumplir con las normas profesionales de auditora aplicables, como si la auditora fuera realizada en el entorno del propio usuario del servicio. Realizacin de la Auditora 1. Requisitos de Evidencias de Auditora La auditora debe realizarse como si el servicio fuera brindado en el entorno del propio usuario del servicio. 2. Acuerdo con el Proveedor del Servicio El auditor debe tener en cuenta, entre otros, los siguientes elementos: Existencia de un acuerdo formal entre el proveedor y el usuario del servicio. Existencia de una clusula en el contrato de externalizacin que establezca especficamente que el proveedor del servicio est obligado a cumplir todos los requisitos legales aplicables a sus actividades y a cumplir las leyes y regulaciones correspondientes a las funciones que llevar a cabo en nombre del usuario. Estipulacin en el contrato de externalizacin de que las actividades realizadas por el proveedor estn sujetas a controles y auditoras como si fueran realizadas por el propio usuario. Inclusin de los derechos de acceso de auditora en el mencionado contrato. Existencia de Contratos a Nivel del Servicio, con procedimientos de vigilancia del desempeo. Adhesin a las polticas de seguridad del usuario del servicio. Adecuacin de los seguros de fidelidad que tenga contratados el proveedor. Adecuacin de los procedimientos y polticas de personal del proveedor. 3. Gestin de los Servicios Externalizados

123

El auditor debe verificar que: Los procesos de negocios que generan la informacin utilizada para vigilar el cumplimiento de los Contratos a Nivel del Servicio estn adecuadamente controlados. Cuando no se cumplan los Contratos a Nivel del Servicio, el usuario haya buscado soluciones y encarado acciones correctivas para alcanzar el nivel del servicio acordado. El usuario tenga la capacidad y competencia para realizar el seguimiento y la revisin de los servicios proporcionados. 4. Limitaciones al Alcance Si el proveedor del servicio demuestra poca disposicin a cooperar con el auditor, ste deber informar esa situacin a la gerencia del usuario as como al DEA. Informe El auditor debe emitir un informe para los usuarios correspondientes al completar su trabajo de auditora. El auditor debe considerar discutir el informe con el proveedor antes de emitirlo, pero no debe ser responsable de enviarle copia del mismo. Si el proveedor debe recibir copia del informe, tendr que envirselo normalmente la gerencia del usuario. El informe debe especificar cualquier restriccin a la distribucin del informe que el mismo auditor o la gerencia del usuario hayan acordado imponer. Por ejemplo, el proveedor no podr proporcionar copia del informe a otros usuarios de su servicio sin el permiso del auditor de la organizacin y, si es apropiado, del usuario. El auditor tambin tendr que considerar la inclusin de una declaracin que excluya obligaciones con terceros. El informe de auditora debe identificar claramente cualquier limitacin al alcance por la cual se haya negado el derecho de acceso de auditora, y debe explicar el efecto de esa limitacin sobre la auditora. Actividades de Seguimiento Tal como si la auditora se hubiera realizado en el entorno del propio usuario, el auditor debe requerir la informacin apropiada tanto del usuario como del proveedor respecto de los hallazgos, conclusiones y recomendaciones previas relevantes. El auditor debe determinar si se han implementado acciones correctivas apropiadas de forma oportuna por parte del proveedor.

Copyright 1999 - Este producto contiene guas de auditora de sistemas informticos, que son utilizadas con permiso de la Information Systems Audit and Control Association (ISACA). 1999 Information Systems Audit and Control Association. Todos los derechos reservados. En cumplimiento de leyes y acuerdos de derechos de autor, no podr reproducirse ninguna parte de esta publicacin, almacenarse en sistemas de archivo o transmitirse en cualquier forma y por cualquier medio, ya sea electrnico, mecnico, de fotocopiadora, registro o cualquier otro, sin el permiso escrito previo de ISACA y del editor.

Origen: 22 de abril de 2005.

124

Consejo para la Prctica 2100-13: Efectos de los Proveedores Externos sobre los Controles de Tecnologa Informtica en una Organizacin
Interpretacin de la Norma 2100 de las Normas Internacionales para el Ejercicio Profesional de la Auditora Interna Norma Relacionada 2100 Naturaleza del Trabajo La actividad de auditora interna evala y contribuye a la mejora de los sistemas de gestin de riesgos, control y gobierno. Este Consejo para la Prctica ha sido adoptado del documento Efectos de los Proveedores Externos sobre los Controles de Tecnologa Informtica en una Organizacin, Documento G16 emitido por la Asociacin de Auditora y Control de Sistemas de Informacin (Information Systems Audit and Contro Association ISACA) en marzo de 2002. El uso y adopcin del presente documento han sido realizados con el debido permiso y conocimiento de ISACA. Se deja constancia de que en caso de que este Consejo para la Prctica difiera de cualquier forma del Documento o Procedimiento emitido por ISACA, esa organizacin no garantiza la veracidad de los cambios ni los aprueba. Naturaleza de este Consejo para la Prctica: Los auditores internos deben tener en cuenta las siguientes sugerencias al realizar una auditora de los efectos de los proveedores externos sobre los controles de tecnologa informtica en una organizacin. Esta gua no pretende abarcar todos los procedimientos necesarios para realizar un trabajo integral de aseguramiento o consultora relacionado con una auditora de las actividades externalizadas de sistemas de informacin, sino ser simplemente un conjunto de tareas centrales y de nivel superior recomendadas para el auditor, que complementan las tareas de planificacin. El cumplimiento de este Consejo para la Prctica es opcional. 1. SERVICIOS PRESTADOS POR PROVEEDORES EXTERNOS Las organizaciones utilizan los servicios de Internet y de las Intranet corporativas con diversos fines. Entre ellos, proporcionar a los empleados, proveedores y clientes acceso a aplicaciones de recursos humanos, financieras, de ventas y compras, nuevas o ya existentes. Este acceso, en muchas ocasiones, es proporcionado por uno o varios proveedores externos. Estos proveedores externos pueden brindar diversos servicios, por ejemplo: Conectividad de redes internas con Internet. Conectividad con los asociados a la organizacin mediante redes privadas virtuales o extranets. Conectividad con los clientes mediante el uso de tecnologa inalmbrica. Desarrollo de pginas web. Mantenimiento, gestin y vigilancia de pginas web. Servicios de seguridad de pginas web. Proporcionar un lugar fsico para el hardware (tambin conocido como co-location). Vigilancia del acceso a sistemas y aplicaciones. Servicios de back-up y recuperacin. Desarrollo de aplicaciones, mantenimiento y alojamiento (tales como sistemas de ERP, sistemas de comercio electrnico). Servicios de negocios, tales como gestin de fondos, tarjetas de crdito, procesamiento de pedidos y central de llamadas.

125

2. EFECTOS DE LOS PROVEEDORES EXTERNOS EN UNA ORGANIZACIN Los proveedores externos pueden afectar a la organizacin (incluyendo a sus asociados), sus procesos, controles y objetivos de control en muchos niveles diferentes. Esto incluye efectos originados en, por ejemplo: La viabilidad econmica del proveedor externo. El acceso del proveedor externo a informacin transmitida mediante sus sistemas y aplicaciones de comunicaciones. La disponibilidad de sistemas y aplicaciones. La integridad del procesamiento. El desarrollo de aplicaciones y los procesos de gestin de cambios. La proteccin de activos tales como sistemas e informacin, mediante la recuperacin de backup, la planificacin de contingencias y la redundancia. Los proveedores externos pueden constituir un componente clave en los controles de la organizacin y en el logro de sus objetivos de control. El auditor debe evaluar los servicios que brinda el proveedor externo en relacin con el entorno de tecnologa informtica, sus controles y objetivos de control. Si una organizacin utiliza proveedores externos para propsitos limitados, tales como servicios de colocation, se basar en los controles de sus proveedores externos tambin de forma limitada en lo que respecta al cumplimiento de sus objetivos de control. Sin embargo, si una organizacin utiliza proveedores externos para otros propsitos, tales como el alojamiento de sistemas de contabilidad financiera y sistemas de comercio electrnico, utilizar los controles de su proveedor de forma completa, o junto con sus propios controles, para cumplir sus objetivos de control. Del mismo modo, la capacidad de la organizacin para cumplir sus objetivos de control puede estar mejorada o debilitada por la eficacia o ineficacia relativa de los controles del proveedor externo. Las debilidades pueden originarse de muchas formas, por ejemplo: Diferencias en el ambiente de control, provenientes de la externalizacin de servicios en el proveedor externo. Mal diseo de control, que produce un funcionamiento ineficaz de los controles. Falta de conocimientos y experiencia del personal responsable de las funciones de control. Exceso de confianza en los controles del proveedor externo (cuando no existen controles compensatorios dentro de la organizacin).

La falta de controles y las debilidades en el diseo, operacin o eficacia de los controles pueden producir, por ejemplo: Prdida de confidencialidad o privacidad de la informacin. Falta de disponibilidad de los sistemas cuando se los necesita. Accesos no autorizados y cambios a los sistemas, aplicaciones o datos. Cambios en los sistemas, aplicaciones o datos que producen errores en los sistemas o su seguridad, prdida de datos, prdida de integridad de los datos, prdida de proteccin de los datos o indisponibilidad de los sistemas. Prdidas de recursos de los sistemas, prdidas de informacin que constituye activos. Mayores costos incurridos por la organizacin como resultado de alguna de las situaciones mencionadas anteriormente.

3. PROCEDIMIENTOS QUE DEBE REALIZAR EL AUDITOR Entendimiento

126

Como parte del proceso de planificacin, el auditor debe entender y documentar la relacin entre los servicios brindados por el proveedor externo y el ambiente de control de la organizacin. El auditor debe tener en cuenta la revisin de elementos tales como el contrato, el acuerdo de nivel del servicio, las polticas y procedimientos existentes entre el proveedor y la organizacin. El auditor debe: Documentar los procesos y controles del proveedor que tengan un efecto directo sobre los procesos y objetivos de control de la organizacin. Identificar cada control, su localizacin en el ambiente de control combinado (interno o externo), el tipo de control, su funcin (preventiva, detectiva o correctiva) y la organizacin que desempea la funcin (interna o externa). Evaluar el riesgo de los servicios brindados por el proveedor a la organizacin, sus controles y objetivos de control. Determinar la significatividad de los controles del proveedor sobre la capacidad de la organizacin para cumplir sus objetivos de control. Confirmar su entendimiento del ambiente de control llevando a cabo, por ejemplo, entrevistas y observaciones, y recorrido de transacciones (walk-through). Evaluar el Rol de los Controles del Proveedor Externo Si el rol que el proveedor externo cumple sobre los objetivos de control de la organizacin o el efecto que produce sobre ellos es significativo, el auditor debe evaluar esos controles para determinar si estn funcionando segn su descripcin, si lo hacen eficazmente y si ayudan a la organizacin a cumplir sus objetivos de control. Evaluar las Debilidades de Control Identificadas Los auditores deben evaluar la probabilidad (o riesgo de control) de que puedan existir debilidades en la existencia, diseo o funcionamiento de los controles en el entorno informtico. El auditor debe identificar dnde existen debilidades de control Luego, el auditor debe evaluar si el riesgo de control es significativo y qu efecto tiene sobre el ambiente de control. Cuando identifica debilidades, el auditor debe determinar si existen controles compensatorios para contrarrestar el efecto de las mismas (pueden existir controles compensatorios en la organizacin, en el proveedor, o en ambos). Si existen controles compensatorios, el auditor debe determinar si mitigan el efecto de las debilidades de control. 4. CONTRATOS CON PROVEEDORES EXTERNOS Funciones y Responsabilidades La relacin entre la organizacin y el proveedor externo debe estar documentada en un contrato. El contrato es un elemento crtico que contiene muchas disposiciones que gobiernan las acciones y responsabilidades de cada parte. El auditor debe revisar el contrato (posiblemente con la ayuda del asesor legal de la organizacin) para determinar la funcin y responsabilidad del proveedor en ayudar a que la organizacin cumpla sus objetivos de control. La gua para revisar un contrato est fuera del alcance del presente Consejo para la Prctica; sin embargo, la lista siguiente contiene ejemplos de elementos que deben tenerse en cuenta: Nivel del servicio que debe brindar el proveedor (ya sea a la organizacin, a sus asociados, o a ambos). Razonabilidad de los honorarios cargados por el proveedor. Responsabilidades por la privacidad y confidencialidad de datos y aplicaciones. Responsabilidades por los controles de acceso y administracin de los sistemas, comunicaciones, sistemas operativos, software utilitarios, datos y software de aplicaciones.

127

Vigilancia de activos, y de los datos y respuesta relacionados (organizacin y proveedor), y de procedimientos de reporte (rutina, incidentes). Especificacin de la propiedad de los activos de informacin, incluyendo datos y nombres de dominios. Especificacin de la propiedad de la programacin a medida desarrollada por el proveedor para la organizacin, incluyendo la documentacin de cambios, cdigo fuente y acuerdos de garantas. Disposiciones sobe la proteccin de sistemas y datos, incluyendo back-up y recuperacin, planificacin de contingencias y redundancia. Clusula de derecho a auditar (incluyendo asuntos tales como la posibilidad de reunirse con el personal de auditora interna del proveedor y revisar sus papeles de trabajo e informes de auditora). Proceso para la negociacin, revisin y aprobacin de cambios al contrato y documentos relacionados (tales como acuerdos de nivel del servicio y procedimientos).

Como mnimo, el auditor debe revisar el contrato para determinar el alcance de la responsabilidad por los controles que el proveedor lleva a cabo en nombre de la organizacin. En este proceso debe evaluar la suficiencia de los controles identificados, el cumplimiento de su vigilancia y reporte, y la eficacia de su diseo y funcionamiento. Gobierno Corporativo An cuando los proveedores externos estn implicados, la direccin sigue siendo responsable del cumplimiento de los objetivos de control relacionados. Como parte de esa responsabilidad, la direccin debe contar con un proceso para gobernar la relacin con el proveedor externo y su desempeo. El auditor debe identificar y revisar los componentes de este proceso, por ejemplo, el proceso que la direccin utiliza para identificar los riesgos asociados con el proveedor, los servicios brindados por ste y cmo la direccin gobierna la relacin entre las dos entidades. La revisin del auditor respecto del proceso de gobierno debe asegurar, por ejemplo, si la direccin compara el trabajo de los proveedores con los estndares de desempeo o criterios establecidos en el contrato y con cualquier estndar especificado por organismos de regulacin. El proceso de gobierno debe incluir la revisin de elementos tales como los siguientes: Desempeo financiero del proveedor. Cumplimiento de los trminos del contrato. Cambios en el ambiente de control requeridos por el proveedor, sus auditores o reguladores. Resultados de revisiones de control realizadas por terceros, incluyendo los auditores del proveedor, consultores u otros. Mantenimiento de adecuados niveles de prevencin (seguros). 5. REVISIN DE LOS CONTROLES DEL PROVEEDOR EXTERNO Trminos Contractuales Al revisar los controles del proveedor externo, el auditor debe tener en cuenta la relacin contractual entre la organizacin y aqul, y la evaluacin y reporte de controles que haya efectuado el proveedor. Los trminos contractuales pueden impedir al auditor revisar los controles en el proveedor externo. En estas circunstancias, el auditor debe evaluar esta limitacin al alcance de su capacidad para revisar el ambiente de control de los sistemas de informacin. Informes Independientes Los proveedores externos pueden ofrecer informes sobre sus controles realizados por terceros independientes. Por ejemplo, informes de auditora de organismos reguladores u otro tipo de informes de

128

control. Los auditores pueden utilizar esos informes como base para confiar en los controles del ambiente de control de los sistemas de informacin. Si el auditor decide utilizar un informe independiente como base para confiar en los controles de sistemas de informacin en el nivel del proveedor, deber revisar esos informes para determinar lo siguiente: Que el tercero independiente est debidamente cualificado. Esto puede incluir revisar si el tercero independiente cuenta con certificacin o licencia profesional adecuadas, posee experiencia relevante y cumple con las autoridades profesionales y de regulacin aplicables (si corresponde). Que el tercero independiente no tiene relacin con el proveedor externo que menoscabe su independencia y objetividad. El perodo de cobertura del informe. Si el informe es suficiente (por ejemplo, si el informe cubre los sistemas y controles aplicables e incluye pruebas de las reas que el auditor incluira si realizara el trabajo). Si las pruebas de controles son suficientes para permitir al auditor confiar en el trabajo del tercero independiente (por ejemplo, si las pruebas de controles son suficientes en cuanto a naturaleza, oportunidad y alcance de los procedimientos llevados a cabo). Si el informe delimita las responsabilidades entre el proveedor y la organizacin usuaria. Si la organizacin usuaria ha cumplido sus responsabilidades con respecto a controles apropiados. Prueba de Controles en el Proveedor Si el auditor decide revisar y probar los controles directamente en el proveedor externo, deber efectuar lo siguiente: Trabajar con la direccin y, si corresponde o lo considera apropiado, con la auditora interna del proveedor externo en la planificacin del trabajo, establecer sus objetivos y alcance, y determinar los tiempos, las necesidades de personal y otras cuestiones. Considerar asuntos tales como el acceso a los sistemas y bienes del proveedor, as como la confidencialidad. Elaborar un programa, presupuesto y plan de trabajo para la auditora. Validar los objetivos de control.

Una vez terminado el trabajo de campo, el auditor debe sacar conclusiones respecto de la eficacia operativa de los controles sometidos a pruebas. El auditor debe revisar la eficacia de los controles dentro de cada organizacin y la interconexin de controles entre la organizacin y el proveedor. En la mayora de los casos, los controles se superpondrn entre la organizacin y el proveedor, y el auditor deber evaluar su eficacia operativa considerndolos en conjunto y comparndolos con su funcionamiento individual. Puede haber situaciones en las que, para un objetivo en particular, los controles no existan o no funcionen eficazmente en alguna de las organizaciones. Adems, puede haber situaciones en que las fortalezas de control en una organizacin fueran parcial o totalmente anuladas por las debilidades de control en la otra. En estos casos, el auditor debe evaluar el efecto que producen estas debilidades en el conjunto del ambiente de control y en el alcance de sus procedimientos. Auditores Internos del Proveedor El auditor debe considerar si el proveedor cuenta con un departamento de auditora interna. La presencia de auditores internos puede mejorar la fortaleza del ambiente de control. Si existe un departamento de auditora interna, el auditor debe averiguar el alcance de sus actividades respecto de los sistemas y controles que afectan a la organizacin. De ser posible, el auditor debe revisar los informes de auditora interna ms relevantes. En los casos en que no sea posible revisarlos, el auditor debe conocer el alcance de las auditoras realizadas, los sistemas y controles que cubrieron y cualquier tema significativo o debilidad identificada en aquellas auditoras. Si el proveedor no brinda acceso a los informes, el auditor debe evaluar esta restriccin al alcance de sus procedimientos.

129

El auditor tambin debe considerar evaluar las capacidades y experiencia del personal de auditora interna. Esto puede efectuarse mediante entrevistas a esas personas y mediante procedimientos adicionales tales como una revisin de sus planes de trabajo, papeles de trabajo e informes. 6. SUBCONTRATISTAS DE LOS PROVEEDORES El auditor debe determinar si el proveedor utiliza subcontratistas en su funcin de proporcionar sistemas y servicios. En caso de utilizar subcontratistas, el auditor debe revisar la significatividad de los mismos para determinar el efecto que puedan tener en los controles del proveedor relativos a la organizacin. Si los subcontratistas no tienen un efecto significativo en los controles relevantes de la organizacin, el auditor debe documentar esta situacin en sus papeles de trabajo. Si, en cambio, determina que tienen un efecto significativo en los controles relevantes de la organizacin, el auditor debe evaluar los procesos utilizados por el proveedor para gestionar y vigilar la relacin con los subcontratistas. Al realizar esta evaluacin, el auditor debe tener en cuenta las secciones 4 y 5 del presente Consejo para la Prctica. 7. INFORME El informe del auditor debe indicar que el alcance de la auditora se extendi a los controles dentro de la organizacin y del proveedor. El auditor debe considerar identificar los controles, debilidades de control y controles compensatorios que existen en cada organizacin. El alcance de la comunicacin de las conclusiones y recomendaciones debe tener en cuenta la relacin entre la organizacin y el proveedor. Puede que ciertos proveedores no estn dispuestos a implementar las recomendaciones, o no puedan hacerlo. En esos casos, el auditor debe recomendar controles compensatorios que la organizacin pueda implementar para superar las debilidades de control que existen en el proveedor.

Copyright 2001 - Este producto contiene guas de auditora de sistemas informticos, que son utilizadas con permiso de la Information Systems Audit and Control Association (ISACA). 2001 Information Systems Audit and Control Association. Todos los derechos reservados. En cumplimiento de leyes y acuerdos de derechos de autor, no podr reproducirse ninguna parte de esta publicacin, almacenarse en sistemas de archivo o transmitirse en cualquier forma y por cualquier medio, ya sea electrnico, mecnico, de fotocopiadora, registro o cualquier otro, sin el permiso escrito previo de ISACA y del editor.

Origen: 22 de abril de 2005.

130

Consejo para la Prctica 2100-14: Requisito de Evidencia de Auditora

Interpretacin de la Norma 2100 de las Normas Internacionales para el Ejercicio Profesional de la Auditora Interna Norma Relacionada 2100 Naturaleza del Trabajo La actividad de auditora interna evala y contribuye a la mejora de los sistemas de gestin de riesgos, control y gobierno. Este Consejo para la Prctica ha sido adoptado del documento Requisito de Evidencia de Auditora, Documento G2 emitido por la Asociacin de Auditora y Control de Sistemas de Informacin (Information Systems Audit and Control Association - ISACA) en diciembre de 1998. El uso y adopcin del presente documento han sido realizados con el debido permiso y conocimiento de ISACA. Se deja constancia de que en caso de que este Consejo para la Prctica difiera de cualquier forma del Documento o Procedimiento emitido por ISACA, esa organizacin no garantiza la veracidad de los cambios ni los aprueba. Naturaleza de este Consejo para la Prctica: Los auditores internos deben tener en cuenta las siguientes sugerencias al realizar una auditora de las actividades de sistemas de informacin. Esta gua no pretende abarcar todos los procedimientos necesarios para realizar un trabajo integral de aseguramiento o consultora relacionado con una auditora de las actividades de sistemas de informacin, sino ser simplemente un conjunto de tareas centrales y de nivel superior recomendadas para el auditor, que complementan las tareas de planificacin. El cumplimiento de este Consejo para la Prctica es opcional. 1. PLANIFICACIN Tipos de Evidencia de Auditora En la planificacin de un trabajo de auditora de sistemas de informacin, el auditor debe tener en cuenta el tipo de evidencia de auditora que se debe obtener, su uso como evidencia de auditora para alcanzar los objetivos de auditora y sus distintos niveles de confiabilidad. Entre los elementos a considerar estn la independencia y calificacin de los suministradores de la evidencia de auditora. Por ejemplo, una evidencia de auditora obtenida de un tercero independiente puede ser ms fiable que una evidencia de auditora de la propia organizacin que est siendo auditada. La evidencia fsica de auditora es generalmente ms fiable que las afirmaciones de un individuo. Los distintos tipos de evidencia que el auditor debe considerar utilizar incluyen: Observacin de procesos y existencia de elementos fsicos. Evidencia de auditora documental Afirmaciones Anlisis La observacin de procesos y existencia de elementos fsicos puede incluir observaciones de actividades, bienes y funciones de sistemas de informacin, tales como: Un inventario de soportes en un almacenamiento externo. Un sistema de seguridad de una sala de servidores en funcionamiento. La evidencia de auditora documental, registrada en papel u otros soportes, puede incluir: Resultados de extracciones de datos. Registros de transacciones. Listados de programas. Facturas.

131

Registros de control y actividad. Documentacin de desarrollo de sistemas.

Las afirmaciones de aquellos que estn siendo auditados pueden ser evidencia de auditora, tales como: Polticas y procedimientos escritos. Diagramas de sistemas. Declaraciones escritas o verbales. Los resultados de analizar la informacin mediante comparaciones, simulaciones, clculos y razonamientos tambin pueden ser utilizados como evidencia de auditora. Algunos ejemplos son: Comparacin del rendimiento (benchmarking) de sistemas de informacin respecto de otras organizaciones o perodos anteriores. Comparacin de ratios de error entre aplicaciones, transacciones y usuarios. Disponibilidad de la Evidencia de Auditora El auditor debe considerar el tiempo durante el cual la informacin existe o est disponible para la determinacin de la naturaleza, oportunidad y alcance de las pruebas sustantivas y, si corresponde, de las pruebas de cumplimiento. Por ejemplo, la evidencia de auditora procesada por Intercambio Electrnico de Datos (Electronic Data Interchange - EDI), Procesamiento Grfico de Documentos (Document Image Processing - DIP), y sistemas dinmicos tales como hojas de clculo, pueden no ser recuperables despus de un cierto perodo si los cambios en los archivos no son controlados o no se realizan copias de seguridad de los archivos. Seleccin de la Evidencia de Auditora El auditor debe planificar el uso de la mejor evidencia de auditora posible, que sea consistente con la importancia del objetivo de auditora y el tiempo y esfuerzo necesarios para obtener dicha evidencia. Cuando la evidencia de auditora obtenida en forma de afirmaciones verbales es crtica para la opinin o las conclusiones de auditora, el auditor debe considerar la obtencin de confirmaciones escritas de las afirmaciones, ya sea en papel o en otros soportes. 2. REALIZACIN DEL TRABAJO DE AUDITORA Naturaleza de la Evidencia de Auditora La evidencia de auditora debe ser suficiente, confiable, relevante y til, con el fin de formar una opinin o soportar los hallazgos y conclusiones del auditor. Si, a criterio del auditor, la evidencia de auditora obtenida no cumple estos criterios, el auditor deber obtener evidencias de auditora adicionales. Por ejemplo, un listado de un programa puede no ser una evidencia de auditora adecuada hasta que se obtenga otra evidencia de auditora que verifique que representa el verdadero programa utilizado en el proceso de produccin. Obtencin de la Evidencia de Auditora Los procedimientos utilizados para obtener evidencias de auditora varan dependiendo del sistema de informacin que est siendo auditado. El auditor debe seleccionar el procedimiento ms apropiado para el objetivo de auditora. Deben considerarse los siguientes procedimientos: Preguntas Observacin Inspeccin Confirmacin Re-ejecucin Vigilancia

132

Todo lo anterior puede ser aplicado mediante el uso de procedimientos manuales de auditora, tcnicas de auditora asistidas por computador, o una combinacin de ambas. Por ejemplo: Un sistema que use totales de control manuales para cuadrar operaciones de entrada de datos puede proporcionar una evidencia de auditora de que el procedimiento de control est en funcionamiento por medio de una conciliacin apropiada y un informe con anotaciones. El auditor debe obtener evidencia de auditora revisando y probando este informe. Los registros detallados de transacciones pueden estar disponibles slo en un formato legible por la mquina, requiriendo al auditor la obtencin de evidencia de auditora utilizando tcnicas de auditora asistidas por computador. Documentacin de la Auditora La evidencia de auditora obtenida por el auditor debe estar adecuadamente documentada y organizada con el fin de soportar los hallazgos y conclusiones del auditor. 3. INFORME En aquellas situaciones en las que el auditor crea que no se puede obtener suficiente evidencia de auditora, debe comunicar este hecho de manera consistente con la comunicacin de los resultados de auditora.

Copyright 1998 - Este producto contiene guas de auditora de sistemas informticos, que son utilizadas con permiso de la Information Systems Audit and Control Association (ISACA). 1998 Information Systems Audit and Control Association. Todos los derechos reservados. En cumplimiento de leyes y acuerdos de derechos de autor, no podr reproducirse ninguna parte de esta publicacin, almacenarse en sistemas de archivo o transmitirse en cualquier forma y por cualquier medio, ya sea electrnico, mecnico, de fotocopiadora, registro o cualquier otro, sin el permiso escrito previo de ISACA y del editor.

Origen: 22 de abril de 2005.

133

Consejo para la Prctica 2110-1: Evaluacin de la Adecuacin de los Procesos de Gestin de Riesgos
Interpretacin de la Norma 2110 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2110 Gestin de Riesgos La actividad de auditora interna debe asistir a la organizacin mediante la identificacin y evaluacin de las exposiciones significativas a los riesgos, y la contribucin a la mejora de los sistemas de gestin de riesgos y control. Naturaleza de este Consejo para la Prctica: A los auditores internos se les puede asignar la responsabilidad de asegurar a la direccin y al comit de auditora la adecuacin de los procesos de gestin de riesgos de la organizacin. Esta responsabilidad requerira a los auditores internos opinar si dichos procesos son suficientes para proteger los activos, la reputacin y las operaciones actuales de la organizacin. Este Consejo proporciona una gua sobre los principales objetivos de gestin de riesgos que el auditor debera tener en cuenta al emitir tal opinin, y cubre solamente la evaluacin e informacin de la eficacia del mencionado proceso de gestin de riesgos. Existen otros Consejos para la prctica que cubren los temas de controles y consultora en mayor profundidad. Este Consejo reconoce que el proceso de gestin de riesgos de una organizacin es un importante proceso de negocio que puede y debe ser evaluado en forma similar a cualquier otro proceso estratgicamente importante. El cumplimiento de este Consejo para la Prctica es opcional.

1. La gestin de riesgos es una responsabilidad clave de la direccin. Para cumplir sus objetivos de negocio, la direccin debe asegurar que existan y funcionen slidos procesos de gestin de riesgos. Los Consejos de Administracin y los comits de auditoria cumplen una funcin de supervisin para determinar que existan apropiados procesos de gestin de riesgos y que estos procesos sean adecuados y eficaces. Los auditores internos deben brindar asistencia tanto a la direccin como al comit de auditora aportando examen, evaluacin, informe y recomendacin de mejoras sobre la adecuacin y eficacia de los procesos de gestin de riesgos. La direccin y el Consejo de Administracin son los responsables de los procesos de gestin de riesgos y control de su organizacin. Sin embargo, los auditores internos que actan con un rol de consultores pueden asistir a la organizacin en la identificacin, evaluacin, e implantacin de metodologas de gestin de riesgos y controles dirigidos a aquellos riesgos. 2. Elaborar evaluaciones e informes sobre los procesos de gestin de riesgos de la organizacin es normalmente de alta prioridad para auditora. Evaluar los procesos de riesgo de la direccin es diferente del requerimiento de que los auditores utilicen anlisis de riesgo para planificar sus auditoras. Sin embargo, la informacin de un proceso de gestin de riesgos integral, incluyendo la identificacin de las inquietudes de la direccin y el Consejo, puede ayudar al auditor interno a planificar las actividades de auditora. 3. Cada organizacin podr elegir una metodologa en particular para implantar su proceso de gestin de riesgos. El auditor interno debe determinar que la metodologa sea entendida por los grupos o personas clave que participan del gobierno corporativo, incluyendo el Consejo y el comit de auditora. Los auditores internos debe satisfacerse de que los procesos de gestin de riesgos de la organizacin se dirijan a cinco objetivos clave para poder emitir opinin sobre la adecuacin general de dichos procesos. Los cinco objetivos clave de un proceso de gestin de riesgos son los siguientes:

Los riesgos originados en las estrategias y actividades de negocio estn identificados y tienen prioridades. 134

La direccin y el Consejo de Administracin han determinado el nivel de riesgos aceptable para la organizacin, incluyendo la aceptacin de riesgos asignados para cumplir los planes estratgicos de la organizacin.

Las actividades para mitigar los riesgos estn diseadas e implantadas con el fin de reducir, o bien manejar el riesgo a niveles que fueron determinados como aceptables para la direccin y el Consejo. Se realizan actividades de supervisin para reevaluar peridicamente el riesgo y la eficacia de los controles para manejar el riesgo. El Consejo y la direccin reciben informes peridicos sobre los resultados de los procesos de gestin de riesgos. Los procesos de gobierno corporativo de la organizacin deben proporcionar comunicaciones peridicas a las partes interesadas sobre los riesgos, estrategias de riesgos y controles. 4. Los auditores internos deben reconocer que podra haber variaciones significativas en las tcnicas utilizadas por las distintas organizaciones en sus prcticas de gestin de riesgos. Los procesos de gestin de riesgos deben ser diseados segn la naturaleza de las actividades de una organizacin. Dependiendo del tamao y complejidad de las actividades de negocios de la organizacin, los procesos de gestin de riesgos pueden ser:

Formales o informales, Cuantitativos o subjetivos, Orientados a las unidades de negocios o centralizados a nivel corporativo. El proceso especfico utilizado por cada organizacin debe adaptarse a su cultura, estilo de gerenciamiento, y objetivos de negocio. Por ejemplo, el uso de derivados u otros sofisticados productos del mercado de capitales por una organizacin requerira el uso de herramientas de gestin de riesgos cuantitativas. En cambio, organizaciones ms pequeas, menos complejas, podran utilizar un comit de riesgos informal para discutir el perfil de riesgos de la organizacin y para iniciar acciones peridicas. El auditor debe determinar que la metodologa elegida es, a la vez, integral y apropiada para la naturaleza de las actividades de la organizacin.

5. Los auditores internos deben obtener evidencia suficiente para satisfacerse de que los cinco objetivos clave de los procesos de gestin de riesgos se hayan cumplido, con el fin de formarse una opinin sobre la adecuacin de dichos procesos. Al obtener esta evidencia, el auditor interno debe tener en cuenta los siguientes tipos de procedimientos de auditora:

Investigar y revisar materiales de referencia e informacin de antecedentes sobre metodologas de gestin de riesgos como base para evaluar si el proceso utilizado por la organizacin es el apropiado y representa las mejores prcticas de la industria.

Investigar y revisar desarrollos, tendencias e informacin actualizada de la industria correspondiente a los negocios de la organizacin, y otras fuentes apropiadas de informacin, con el fin de determinar los riesgos y exposiciones que puedan afectar a la organizacin y los procedimientos de control relacionados que se utilizan para enfrentar, vigilar y reevaluar aquellos riesgos.

Revisar las polticas corporativas, las minutas del Consejo y del comit de auditora, con el fin de determinar las estrategias de negocio de la organizacin, su filosofa y metodologa de gestin de riesgos, su inclinacin al riesgo, y su aceptacin de riesgos.

Revisar informes previos de evaluacin de riesgos hechos por la direccin, los auditores 135

internos, externos y otras fuentes de recursos que puedan haber emitido tales informes.

Entrevistar a la gerencia de lnea y ejecutiva con el fin de determinar los objetivos de las unidades de negocio, los riesgos relacionados, y las actividades de mitigacin de riesgos y vigilancia de controles de la gerencia.

Asimilar informacin con el fin de evaluar independientemente la eficacia de la mitigacin de riesgos, vigilancia, y comunicacin de riesgos y actividades de control asociadas. Evaluar la adecuacin de las lneas de reporte para las actividades de vigilancia del riesgo. Revisar la adecuacin y oportunidad de la informacin sobre los resultados de gestin de

riesgos. Revisar la integridad del anlisis de gestin de riesgos, las acciones tomadas para remediar los problemas identificados por los procesos de gestin de riesgos, y sugerir mejoras. Determinar la eficacia de los procesos de autoevaluacin de la gerencia mediante observaciones, pruebas directas del control y los procedimientos de supervisin, pruebas de la informacin utilizada en actividades de vigilancia y otras tcnicas apropiadas.

Revisar los asuntos relacionados con el riesgo que puedan indicar debilidad en las prcticas de gestin de riesgos y, si corresponde, discutirlos con la direccin, el comit de auditora y el Consejo de Administracin. Si el auditor considera que la direccin ha aceptado un nivel de riesgos que es inconsistente con la estrategia y poltica de gestin de riesgos de la organizacin, o que es inaceptable para la organizacin, debe consultar la Norma 2600: Aceptacin de los Riesgos por la Direccin, y dems guas relacionadas.
Copyright 2001, The Institute of Internal Auditors Origen: 7 de marzo de 2001.

136

Consejo para la Prctica 2110-2: El Rol del Auditor Interno en el Proceso de Continuidad del Negocio
Interpretacin de la Norma 2110 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2110 Gestin de Riesgos La actividad de auditora interna debe asistir a la organizacin mediante la identificacin y evaluacin de las exposiciones significativas a los riesgos, y la contribucin a la mejora de los sistemas de gestin de riesgos y control. Naturaleza de este Consejo para la Prctica: Los auditores internos deben tener en cuenta las siguientes sugerencias al evaluar las actividades relacionadas con la continuidad del negocio en una organizacin. Se requieren muchos procesos para asegurar la continuidad de una organizacin con posterioridad a que ocurra un desastre. El desarrollo de un plan integral comienza con la evaluacin del impacto y consecuencias potenciales de un desastre y con el entendimiento de los riesgos. (El procesocompleto de asegurar la continuidad del negocio incorporar, entre otras cosas, planes de continuidad del negocio y de recuperacin de desastres.) Dichos planes deben ser construidos, mantenidos, probados y auditados para asegurar que se mantengan apropiados a las necesidades de la organizacin. El cumplimiento de este Consejo para la Prctica es opcional.

1. La interrupcin del negocio puede resultar de hechos naturales y de actos criminales accidentales o deliberados. Las interrupciones pueden tener ramificaciones financieras y operativas significativas. Los auditores deben evaluar la celeridad de la organizacin para manejarse en casos de interrupciones del negocio. Un plan integral contemplara procedimientos de respuesta ante la emergencia, sistemas de comunicacin e instalaciones alternativos, copias de seguridad de sistemas, recuperacin de desastres, evaluaciones del impacto en el negocio y planes de reiniciacin, procedimientos para restablecer los servicios pblicos, y procedimientos de mantenimiento para asegurar la celeridad de la organizacin ante un caso de emergencia o desastre. 2. La actividad de auditora interna debe evaluar el proceso de planificacin de continuidad del negocio de forma regular para asegurar que la alta direccin sea consciente del estado de preparacin ante un desastre. 3. Muchas organizaciones no creen que puedan experimentar una interrupcin o demora importante en los procesos normales de negocio y operaciones debido a un desastre u otro evento impredecible. Sin embargo, muchos expertos en negocios dicen que no se trata de considerar si ocurrir un desastre, sino cundo ocurrir. Con el tiempo, toda organizacin experimentar un hecho por el cual se pierda informacin, acceso a bienes (tangibles o intangibles), o servicios del personal. La exposicin a estos tipos de riesgos y la planificacin de la continuidad del negocio forman parte integrante del proceso de gestin de riesgos de una organizacin. La planificacin anticipada es necesaria para minimizar las prdidas y asegurar la continuidad de las funciones de negocio crticas de una organizacin. Puede permitir a la organizacin mantener un aceptable nivel de servicios para los dems. 4. Un elemento crucial de la recuperacin de negocios es la existencia de un plan de recuperacin de desastres integral y actualizado. Los auditores internos pueden asumir un rol en la planificacin de la recuperacin de desastres de su organizacin. La actividad de auditora interna puede: (a) colaborar en el anlisis de riesgos, (b) evaluar el diseo y extensin del plan despus de que haya sido elaborado, y (c) realizar trabajos de aseguramiento peridicos para verificar si el plan se mantiene actualizado.

137

Planificacin 5. Las organizaciones confan a sus auditores internos el anlisis de sus operaciones y la evaluacin de los procesos de gestin de riesgos y control. Los auditores internos adquieren un entendimiento de las operaciones del negocio en general y de las funciones individuales, y de cmo se interrelacionan entre ellas. Esto posiciona a la actividad de auditora interna como un valioso recurso en la evaluacin del plan de recuperacin de desastres durante su proceso de elaboracin. 6. La actividad de auditora interna puede colaborar con una evaluacin del ambiente interno y externo de la organizacin. Los factores internos que pueden ser considerados incluyen la rotacin de la gerencia y los cambios en los sistemas de informacin, los controles y los proyectos y programas ms importantes. Los factores externos pueden incluir los cambios en las regulaciones externas y el ambiente de negocio, as como los cambios en los mercados y las condiciones de competitividad, las condiciones financieras y econmicas internacionales, y las tecnologas. Los auditores internos pueden ayudar a identificar los riesgos de las actividades de negocio crticas y dar prioridad a las funciones a efectos de la recuperacin. Evaluacin 7. Los auditores internos pueden contribuir como participantes objetivos cuando revisan los planes propuestos de continuidad del negocio y recuperacin de desastres, en cuanto a su diseo, integridad y adecuacin general. El auditor puede examinar el plan para determinar si refleja las operaciones que han sido incluidas y evaluadas en el proceso de evaluacin de riesgos y si contiene suficientes prescripciones y preocupaciones de control interno. El conocimiento integral del auditor interno de las operaciones y aplicaciones del negocio de la organizacin le permite colaborar durante la fase de desarrollo del plan de continuidad del negocio, evaluando su organizacin, alcance, y acciones recomendadas para manejar los riesgos y mantener controles eficaces durante el perodo de recuperacin. Trabajos de Aseguramiento Peridicos 8. Los auditores internos deben auditar peridicamente los planes de continuidad del negocio y recuperacin de desastres de la organizacin. El objetivo de auditora es verificar que los planes sean adecuados para asegurar la oportuna reanudacin de las operaciones y procesos despus de una circunstancia adversa, y que reflejen el ambiente operativo del negocio actual. 9. Los planes de continuidad del negocio y recuperacin de desastres pueden desactualizarse rpidamente. Enfrentar y responder a los cambios es una parte inevitable de la tarea gerencial. La rotacin de gerentes y ejecutivos, y los cambios en las configuraciones de sistemas, interfaces y software pueden tener un gran impacto en dichos planes. La actividad de auditora interna debe examinar el plan de recuperacin para determinar si: (a) est estructurado para incorporar cambios importantes que pudieran ocurrir con el tiempo, y (b) el plan revisado ser comunicado a la gente apropiada, dentro y fuera de la organizacin. 10. Durante la auditora, los auditores internos deben considerar lo siguiente: Estn todos los planes actualizados? Existen procedimientos para actualizar los planes? Estn cubiertos por el plan todas las funciones y los sistemas de negocio crticos? Si no es as, estn documentadas las razones de las omisiones? Estn los planes basados en los riesgos y consecuencias potenciales de las interrupciones del negocio? Estn los planes totalmente documentados y de acuerdo con las polticas y procedimiento de la organizacin? Se han asignado las responsabilidades funcionales? Es la organizacin capaz y est preparada para implantar los planes? Se prueban y revisan los planes segn los resultados? Estn los planes almacenados en forma apropiada y segura? Su localizacin y acceso son conocidos por la gerencia? Son conocidas por los empleados las localizaciones de las instalaciones alternativas (sitios de backup)? 138

Requieren los planes coordinacin con los servicios de emergencia locales? El Rol del Auditor Interno Despus de un Desastre 11. Existe un importante rol para los auditores internos inmediatamente despus de que ocurre un desastre. La organizacin es ms vulnerable despus de haber ocurrido un desastre y cuando est tratando de recuperarse. Durante ese perodo de recuperacin, los auditores internos deben vigilar la eficacia de la recuperacin y el control de las operaciones. La actividad de auditora interna debe identificar las reas en que los controles internos y las acciones de mitigacin deban mejorarse, y recomendar mejoras al plan de continuidad del negocio de la entidad. La auditora interna tambin puede proporcionar apoyo durante las actividades de recuperacin. 12. Despus de un desastre, usualmente durante de varios meses, los auditores internos pueden colaborar en la identificacin de las lecciones aprendidas del desastre y las operaciones de recuperacin. Esas observaciones y recomendaciones pueden mejorar las actividades para recuperar los recursos y actualizar la prxima versin del plan de continuidad del negocio. 13. En el anlisis final, ser la alta direccin la que determinar el grado de implicacin del auditor interno en los procesos de continuidad del negocio y recuperacin de desastres, considerando sus conocimientos, habilidades, independencia y objetividad.

Copyright 2001, The Institute of Internal Auditors Origen: 12 de junio de 2003.

139

Consejo para la Prctica 2120.A1-1: Evaluacin e Informacin sobre Procesos de Control

Interpretacin de la Norma 2120.A1 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2120.A1 Basada en los resultados de la evaluacin de riesgos, la actividad de auditora interna debe evaluar la adecuacin y eficacia de los controles que comprenden el gobierno, las operaciones y los sistemas de informacin de la organizacin. Esto debe incluir lo siguiente: Confiabilidad e integridad de la informacin financiera y operativa. Eficacia y eficiencia de las operaciones. Proteccin de activos. Cumplimiento de leyes, regulaciones y contratos. Naturaleza de este Consejo para la Prctica: Los auditores internos deben tener en cuenta la siguiente gua al evaluar la eficacia del sistema de controles de una organizacin e informar esa opinin a la alta direccin y al Consejo de Administracin. El trabajo de auditora realizado durante el ao debe obtener suficiente informacin para permitir una evaluacin del sistema de controles y la emisin de una opinin. El cumplimiento de este Consejo para la Prctica es opcional.

1. Una de las tareas del Consejo de Administracin es establecer y mantener los procesos de gobierno de la organizacin y asegurarse de la eficacia de los procesos de gestin de riesgos y control. El rol de la alta direccin es supervisar el establecimiento, administracin y evaluacin de los mencionados procesos de gestin de riesgos y control. El propsito de este sistema multifactico de procesos de control es el de apoyar al personal de la organizacin en la gestin de riesgos y el logro de los objetivos establecidos y comunicados por la organizacin. Ms an, aquellos procesos de control deben asegurar, entre otras cosas, si existen las siguientes condiciones:

La informacin financiera y operativa es confiable y posee integridad. Las operaciones son realizadas eficientemente y alcanzan resultados eficaces. Los activos estn protegidos. Las acciones y decisiones de la organizacin cumplen las leyes, regulaciones y contratos.

2. Entre las responsabilidades de los gerentes de la organizacin se encuentra la evaluacin de los procesos de control en sus respectivas reas. Los auditores internos y externos proporcionan distintos grados de aseguramiento sobre el estado de la eficacia de los procesos de gestin de riesgos y control en actividades y funciones seleccionadas de la organizacin. 3. La alta direccin y el comit de auditora normalmente esperan que el director ejecutivo de auditora desempee el suficiente trabajo de auditora y obtenga la informacin disponible durante el ao como para formarse una opinin sobre la adecuacin y eficacia de los procesos de control. El director ejecutivo de auditora debe comunicar aquella opinin general sobre los sistemas de control de la organizacin a la alta direccin y al comit de auditora. Un nmero creciente de organizaciones est incluyendo en sus informes anuales o peridicos destinados a las partes interesadas un informe de la direccin sobre el sistema de control interno. 4. El director ejecutivo de auditora debe elaborar un plan de auditora propuesto para el ao siguiente que asegure de que se obtendr suficiente evidencia para evaluar la eficacia de los procesos de control. El plan debe establecer trabajos de auditora u otros procedimientos para obtener suficiente informacin sobre todas las principales unidades operativas y funciones de negocios. El plan de auditora, adems, 140

debe dar especial atencin a aquellas operaciones ms afectadas por cambios recientes o esperados. Esos cambios, en ciertas ocasiones, pueden resultar de las condiciones del mercado o las inversiones, de adquisiciones o ventas, o de reestructuraciones y nuevos proyectos. El plan propuesto debe ser flexible de manera que puedan efectuarse ajustes durante el ao como consecuencia de cambios en las estrategias de la direccin, condiciones externas, o modificacin de las expectativas sobre el logro de los objetivos de la organizacin. 5. Al determinar el plan de auditora propuesto, el director ejecutivo de auditora debe tener en cuenta los trabajos relevantes que sern realizados por otros. Con el fin de minimizar la duplicacin y las ineficiencias, el trabajo planificado o recientemente completado por la direccin en sus evaluaciones de procesos de control y de mejora de calidad as como el trabajo planificado por los auditores externos, deben ser tenidos en cuenta al determinar la cobertura esperada del plan de auditora para el prximo ao. 6. Finalmente, el director ejecutivo de auditora debe evaluar la cobertura del plan propuesto desde dos puntos de vista: la adecuacin a travs de las entidades de la organizacin, y la inclusin de diversos tipos de transacciones y procesos de negocios. Si el alcance del plan propuesto fuera insuficiente para permitir expresar el aseguramiento de los procesos de control de la organizacin, el director ejecutivo de auditora deber informar a la alta direccin y al comit de auditora de la deficiencia esperada, sus causas, y las probables consecuencias. 7. El desafo de auditora interna es evaluar la eficacia del sistema de control de la organizacin basado en la suma de evaluaciones de muchas personas. Esas evaluaciones estn mayormente originadas en los trabajos de auditora interna, las autoevaluaciones de la direccin, y el trabajo de auditora externa. A medida que los trabajos avanzan, los auditores internos deben comunicar las observaciones, en forma oportuna, a los niveles apropiados de direccin de manera que se pueda tomar accin inmediata para corregir o mitigar las consecuencias de las discrepancias o debilidades de control observadas. 8. Para lograr una evaluacin de la eficacia general de los procesos de control de la organizacin existen tres consideraciones clave a tener en cuenta:

Se descubrieron discrepancias o debilidades significativas de control en el trabajo de auditora y en otras informaciones de evaluacin? De ser as, se hicieron correcciones o mejoras despus de esos descubrimientos? Los descubrimientos y sus consecuencias permiten sacar la conclusin de que existe una condicin importante que genera un nivel inaceptable de riesgo de negocios?

La existencia temporal de una discrepancia o debilidad de control significativa no necesariamente lleva a la opinin de que es importante y crea un riesgo residual inaceptable. El esquema de descubrimientos, el grado de intrusin, y el nivel de las consecuencias y exposiciones son factores a tener en cuenta al determinar si la eficacia de la totalidad del sistema de controles est comprometida y existen riesgos inaceptables. 9. El informe del director ejecutivo de auditora sobre el estado de los procesos de control de la organizacin debe ser presentado, generalmente, una vez al ao, a la alta direccin y al comit de auditora. El informe debe enfatizar la funcin crtica que tienen los procesos de control en la bsqueda de los objetivos de la organizacin, y debe hacer referencia al trabajo relevante desempeado por auditora interna y otras importantes fuentes de informacin, quienes emiten juicios sobre el aseguramiento en general. La seccin de opinin dentro del informe est normalmente expresada en trminos de aseguramiento negativo. Es decir, el trabajo de auditora realizado para el perodo y otras informaciones obtenidas no han observado ninguna debilidad significativa en los procesos de control que tengan un efecto profundo. Si las deficiencias o debilidades de control son significativas y 141

profundas, la seccin de aseguramiento del informe podra ser una opinin limitada o adversa, dependiendo del incremento proyectado en el nivel de riesgo residual y su impacto en los objetivos de la organizacin. 10. El pblico ms numeroso para el informe anual est formado por los ejecutivos principales y los miembros del comit de auditora. Dado que estos lectores tienen distintos entendimientos de auditora y negocios, el informe anual del director ejecutivo de auditora debe ser claro, conciso e informativo. Su valor para aquellos lectores puede mejorarse incluyendo recomendaciones importantes de mejoras e informacin sobre temas y tendencias de control, tales como riesgos de tecnologa y seguridad informtica, esquemas de discrepancias o debilidades de control a travs de las unidades de negocio, y dificultades potenciales para cumplir con las leyes y regulaciones. 11. Existen grandes evidencias de las diferencias de expectativas sobre el trabajo que desempea la actividad de auditora interna, en cuanto a la evaluacin y provisin de aseguramiento sobre el estado de los procesos de control. Una de estas diferencias es la que existe entre la direccin y el comit de auditora, por un lado, y el auditor interno, por el otro. Los primeros tienen normalmente altas expectativas sobre el valor de los servicios de auditora interna. Los segundos tienen una visin ms modesta que proviene del conocimiento de las limitaciones prcticas de la cobertura de auditora y de las dudas de su propia capacidad de generar evidencia suficiente para soportar una opinin formada y objetiva. El director ejecutivo de auditora debe estar atento a la posible diferencia entre lo que supone el lector del informe y lo que realmente ocurri durante el ao. Debe utilizar el informe como otra forma de dirigirse a modelos mentales diferentes y de sugerir mejorar la capacidad de la funcin o reducir las limitaciones para acceder y auditar la eficacia.
Copyright 2001, The Institute of Internal Auditors Origen: 18 de junio de 2001.

142

Consejo para la Prctica 2120.A1-2: Utilizacin de Autoevaluacin de Control para Evaluar la Adecuacin de los Procesos de Control
Interpretacin de la Norma 2120.A1 de las Normas para el Ejercicio Profesional de la Auditora Interna

Norma Relacionada: 2120.A1 Basada en los resultados de la evaluacin de riesgos, la actividad de auditora interna debe evaluar la adecuacin y eficacia de los controles que comprenden el gobierno, las operaciones y los sistemas de informacin de la organizacin. Esto debe incluir lo siguiente: Confiabilidad e integridad de la informacin financiera y operativa. Eficacia y eficiencia de las operaciones. Proteccin de activos. Cumplimiento de leyes, regulaciones y contratos.

Naturaleza de este Consejo para la Prctica: La metodologa denominada autoevaluacin de control (Control Self-Assessment - CSA) puede ser utilizada por gerentes y auditores internos para evaluar la adecuacin de los procesos de gestin de riesgos y control de la organizacin. Los auditores internos pueden utilizar programas de CSA para obtener informacin relevante acerca de los riesgos y controles, para centrar el plan de auditora en el riesgo alto, en reas inusuales, y para forjar mayor colaboracin con los gerentes operativos y equipos de trabajo. El cumplimiento de este Consejo para la Prctica es opcional.

1. La alta direccin tiene la responsabilidad de supervisar el establecimiento, administracin y evaluacin de los procesos de gestin de riesgos y control. Las responsabilidades de los gerentes operativos incluyen la evaluacin de los riesgos y controles en sus unidades. Los auditores internos y externos proveen varios grados de aseguramiento sobre el estado de la eficacia de los procesos de gestin de riesgos y control de la organizacin. Tanto los gerentes como los auditores necesitan utilizar tcnicas y herramientas que ajusten el enfoque y expandan los esfuerzos para evaluar los procesos de gestin de riesgos y control que existen, y para identificar formas de mejorar su eficacia. 2. Una metodologa que comprende cuestionarios de autoevaluacin y talleres de facilitacin, denominada CSA, constituye un enfoque til y eficiente para que los gerentes y auditores internos colaboren en determinar y evaluar procedimientos de control. En su forma ms pura, el CSA integra objetivos y riesgos de negocio con procesos de control. La autoevaluacin de control tambin se denomina Autoevaluacin de Control/Riesgo o CRSA, en ingls. Si bien quienes practican el CSA utilizan una gran cantidad de tcnicas y formatos diferentes, la mayora de los programas implantados comparten ciertas caractersticas y metas clave. Una organizacin que utiliza autoevaluacin de control tendr un proceso formal y documentado que permita a los gerentes y equipos de trabajo directamente involucrados en una unidad de negocio, funcin o proceso, participar de forma estructurada con el fin de:

Identificar riesgos y exposiciones, Evaluar los procesos de control que mitigan o manejan aquellos riesgos, Desarrollan planes de accin que reducen los riesgos a niveles aceptables, y Determinan la probabilidad de alcanzar los objetivos de negocio.

3. Los resultados que pueden derivarse de las metodologas de autoevaluacin son los siguientes:

El personal de las unidades de negocio logra formarse y tener experiencia en evaluar riesgos y 143

asociar los procesos de control con el manejo de aquellos riesgos, y mejorar las posibilidades de alcanzar los objetivos de negocio.

Los controles informales (controles soft) son identificados y evaluados con mayor facilidad.

La gente est motivada para sentirse propietaria de los procesos de control en sus unidades, y las acciones correctivas tomadas por los equipos de trabajo son a menudo ms eficaces y oportunas. Toda la infraestructura de objetivos, riesgos y controles de una organizacin est sujeta a una mayor vigilancia y a la mejora continua. Los auditores internos participan y son conocedores del proceso de autoevaluacin, sirviendo como facilitadores, escribientes e informadores para los equipos de trabajo, y como instructores (formadores) de conceptos de riesgo y control en apoyo del programa CSA.

La actividad de auditora interna adquiere ms informacin sobre los procesos de control dentro de la organizacin y puede aprovechar esa informacin adicional en la asignacin de sus recursos escasos, de modo de dedicar un mayor esfuerzo a investigar y desempear pruebas de unidades de negocio o funciones que tengan debilidades de control significativas o altos riesgos residuales.

Se refuerza la responsabilidad de la direccin en los procesos de gestin de riesgos y controles de la organizacin, y los gerentes estarn menos tentados de renunciar a dichas actividades en favor de especialistas, tales como los auditores.

El rol principal de la actividad de auditora interna continuar incluyendo la validacin del proceso de evaluacin mediante la realizacin de pruebas, y la expresin de su juicio profesional sobre la adecuacin y eficacia de la totalidad de la gestin de riesgos y los sistemas de control. 4. La gran variedad de enfoques utilizados por los procesos de CSA en las organizaciones refleja las diferencias en las industrias, geografas, estructuras, cultura organizacional, grados de autoridad asignados a los empleados, estilo gerencial dominante, y la manera de formular estrategias y polticas. Esto sugiere que el xito de un particular tipo de programa de CSA en una empresa podra no ser replicado en otra organizacin. El proceso de CSA debe ser adaptado a las caractersticas especiales de cada organizacin. Adems, aquello tambin nos indica que el enfoque CSA deber ser dinmico y cambiar con el continuo desarrollo de la organizacin. 5. Las tres formas principales de programas de CSA son los talleres de facilitacin, las encuestas, y los anlisis producidos por la gerencia. Las organizaciones a menudo combinan ms de un enfoque. 6. Los equipos de facilitacin recogen informacin de equipos de trabajo que representan distintos niveles en la unidad de negocio o funcin. El formato de los talleres puede estar basado en objetivos, riesgos, controles, o procesos.

El formato basado en objetivos se centra en la mejor manera de cumplir con un objetivo de negocio. El taller comienza identificando los controles que existen en la actualidad para apoyar a ese objetivo y, posteriormente, determina los riesgos residuales que se presentan. La finalidad del taller es decidir si los procedimientos de control estn funcionando eficazmente y estn generando riesgos residuales dentro de un nivel aceptable.

El formato basado en riesgos se centra en listar los riesgos para alcanzar un objetivo. El taller comienza listando todas las posibles barreras, obstculos, amenazas y exposiciones que pudieran impedir el cumplimiento y, posteriormente, examina los procedimientos de control para determinar si son suficientes para manejar los riesgos clave. La finalidad del taller es determinar los riesgos residuales significativos. Este formato hace que el equipo de trabajo revise la totalidad de la frmula 144

de objetivos, riesgos y controles.

El formato basado en controles se centra en revisar si los controles existentes estn funcionando bien. Este formato es distinto de los dos mencionados anteriormente, dado que el facilitador identifica los riesgos y controles clave antes de comenzar el taller. Durante el mismo, el equipo evala si los controles mitigan los riesgos y promueven el cumplimiento de objetivos adecuadamente. La finalidad del taller es analizar la diferencia entre cmo estn funcionando los controles y cmo espera la gerencia que funcionen esos controles

El formato basado en los procesos se centra en determinadas actividades que son elementos de una cadena de procesos. Los procesos son generalmente una serie de actividades relacionadas, que van desde un punto inicial a un punto final. Por ejemplo, los diversos pasos en compras, desarrollo de productos, o generacin de ingresos. Este tipo de taller generalmente cubre la identificacin de los objetivos de todo el proceso y los diversos pasos intermedios. La finalidad del taller es evaluar, actualizar, validar, mejorar e, incluso, dirigir todo el proceso y sus actividades componentes. Este formato de taller puede implicar una mayor extensin de anlisis que un enfoque basado en controles, al cubrir mltiples objetivos dentro del proceso y apoyar esfuerzos gerenciales concurrentes, tales como la reingeniera, la mejora de calidad y las iniciativas de mejora continua. 7. Las encuestas de CSA se presentan en forma de cuestionario que tiende a hacer preguntas simples del tipo "Si-No" o "Tengo-No tengo", cuidadosamente escritas para ser comprendidas por los encuestados. Las encuestas a menudo se utilizan cuando los encuestados son muy numerosos o estn muy dispersos como para participar en un taller. Tambin se las prefiere cuando la cultura de la organizacin puede obstaculizar debates abiertos y sinceros en los talleres o cuando la gerencia desea minimizar el tiempo dedicado y los costos incurridos en obtener la informacin. 8. La forma de autoevaluacin denominada "anlisis producidos por la gerencia" cubre la mayora de los dems enfoques de grupos gerenciales para producir informacin sobre determinados procesos de negocio, actividades de gestin de riesgos y procedimientos de control. El anlisis a menudo tiene la finalidad de lograr un juicio informado y oportuno sobre caractersticas especficas de procedimientos de control y est generalmente preparado por un equipo del personal de la organizacin o de soporte. El auditor interno puede sintetizar este anlisis con otra informacin para mejorar la comprensin sobre los riesgos y para compartir el conocimiento con los gerentes en las unidades de negocio o funcionales, como parte del programa de CSA de la organizacin. 9. Todos los programas de autoevaluacin de control estn basados en gerentes y miembros de equipos de trabajo que poseen un entendimiento de los conceptos de riesgos y controles y que utilizan estos conceptos en las comunicaciones. En las sesiones de entrenamiento, para facilitar el flujo ordenado de los debates del taller y como cotejo de la integridad del proceso completo, las organizaciones suelen utilizar un enfoque de control, tal como los modelos COSO y COCO. 10. En los tpicos talleres de facilitacin de CSA se ir creando un informe durante las deliberaciones. Se registrar el consenso del grupo en los diversos segmentos de los debates y el grupo revisar el informe final propuesto antes del final de la ltima sesin. Algunos programas utilizarn tcnicas de votacin annima para asegurar el libre flujo de informacin y de puntos de vista durante el taller y para ayudar a negociar las diferencias entre los distintos puntos de vista e intereses de los grupos. 11. La inversin de auditora interna en algunos programas de CSA es muy significativa. Puede patrocinar, disear, implantar, e incluso aduearse del proceso, conduciendo el entrenamiento, proveyendo facilitadores, escribientes e informadores, y orquestando la participacin de la gerencia y los equipos de trabajo. En otros programas de CSA, en cambio, la participacin de auditora 145

interna es mnima, sirviendo como parte interesada y consultor de la totalidad del proceso y como ltimo verificador de las evaluaciones generadas por los equipos. En la mayora de los programas, la inversin de auditora interna en los esfuerzos de CSA de la organizacin est en algn punto entre los dos extremos mencionados anteriormente. A medida que aumenta el nivel de participacin de auditora interna en el programa de CSA y las deliberaciones de los talleres, el director ejecutivo de auditora debe vigilar la objetividad del personal de auditora interna, tomar acciones para manejar la objetividad (si fuera necesario), y aumentar las pruebas de auditora interna para asegurar que no haya parcialidad o desvos en las opiniones finales del personal. La Norma 1120 establece que Los auditores internos deben tener una actitud imparcial y neutral, y evitar conflictos de intereses. 12. Un programa de CSA aumenta el rol tradicional de la actividad de auditora interna, colaborando con la direccin en el cumplimiento de sus responsabilidades para establecer y mantener los procesos de gestin de riesgos y control y para evaluar la adecuacin de ese sistema. A travs de un programa de CSA, la actividad de auditora interna y las unidades y funciones de negocio colaboran para producir mejor informacin sobre el funcionamiento adecuado de los procesos de control y la significatividad de los riesgos residuales. 13. Para la actividad de auditora interna, si bien tiene que proveer personal de apoyo para el programa de CSA como facilitador y especialista, esto puede reducir el tiempo dedicado a obtener informacin sobre los procedimientos de control y eliminar ciertas pruebas. Un programa de CSA debe incrementar la cobertura de la evaluacin de procesos de control a travs de la organizacin, mejorar la calidad de las acciones correctivas efectuadas por los dueos del proceso, y centrar el trabajo de auditora interna en la revisin de procesos de alto riesgo y situaciones inusuales. Puede centrarse en validar las conclusiones de la evaluacin generada por los procesos de CSA, sintetizando la informacin obtenida de los componentes de la organizacin, y expresando su opinin general sobre la eficacia de los controles a la alta direccin y al comit de auditora.
Copyright 2001, The Institute of Internal Auditors Origen: 18 de junio de 2001.

146

Consejo para la Prctica 2120.A1-3: El Rol del Auditor Interno en los Informes Financieros Trimestrales, Declaraciones y Certificaciones de la Direccin
Interpretacin de la Norma 2120.A1 de las Normas Internacionales para el Ejercicio Profesional de la Auditora Interna

Norma Relacionada: 2120.A1 Control Basada en los resultados de la evaluacin de riesgos, la actividad de auditora interna debe evaluar la adecuacin y eficacia de los controles que comprenden el gobierno, las operaciones y los sistemas de informacin de la organizacin. Esto debe incluir lo siguiente: Confiabilidad e integridad de la nformacin financiera y operativa. Eficacia y eficiencia de las operaciones. Proteccin de activos. Cumplimiento de leyes, regulaciones y contratos.

Naturaleza de este Consejo para la Prctica: Los auditores internos deben tener en cuenta la siguiente gua referida a los informes financieros trimestrales, declaraciones y certificaciones de la direccin, requeridos por la U.S. Securities and Exchange Commission SEC (Comisin del Mercado de Valores de los Estados Unidos de Norteamrica). Si bien estos requerimientos estn dirigidos especficamente a las organizaciones norteamericanas registradas en la SEC, tambin son aplicables a ms de 1.300 organizaciones extranjeras. Con el fin de proporcionar un alto nivel de confianza a las partes interesadas, un alto nmero de organizaciones no cotizadas estn adoptando voluntariamente ciertos requerimientos de la SEC para demostrar las mejores prcticas en las declaraciones y controles sobre la informacin trimestral. Los auditores internos tambin deben tener en cuenta el Consejo para la Prctica 2120.A1-1: Evaluacin e Informacin sobre Procesos de Control, para obtener gua adicional. El cumplimiento de este Consejo para la Prctica es opcional.

1. La fortaleza de todos los mercados financieros depende de la confianza de los inversores. Los acontecimientos que incluyen acusaciones de delitos por parte de los ejecutivos corporativos, los auditores externos y otros participantes del mercado, han debilitado su confianza. Como respuesta a esta amenaza, el Congreso de los Estados Unidos de Norteamrica y un creciente nmero de organismos legislativos y de regulacin de otros pases han aprobado leyes y reglamentaciones referidas a declaraciones e informacin financiera de las organizaciones. En los Estados Unidos, la denominada Ley Sarbanes-Oxley de 2002 (la Ley Sarbanes-Oxley ) promulga una extensa reforma que exige declaraciones adicionales y certificaciones de los estados contables por parte de los principales representantes ejecutivos y financieros. 2. La nueva ley desafa a las compaas a idear procesos que permitan a los altos representantes adquirir los aseguramientos necesarios sobre los cuales basar su certificacin personal. Un componente clave del proceso de certificacin es el manejo de los riesgos y controles internos sobre la registracin y el resumen de la informacin contable. Nuevas Exigencias Estatutarias 3. La Seccin 302 de la Ley Sarbanex-Oxley esboza la responsabilidad corporativa para los informes financieros, y la SEC ha emitido guas para implantar esta ley. Las Reglas de la SEC 13a-14 y 15d-14 requieren que el ejecutivo o ejecutivos principales del emisor y el representante o representantes financieros principales, o quienes desempeen funciones similares, certifiquen en cada informe anual o trimestral, incluyendo los transitorios, enviados o presentados por el emisor bajo la Seccin 13(a) o 15(d) de la Ley del Mercado de Valores (Exchange Act) lo siguiente: Que han revisado dicho informe: Que de acuerdo con sus conocimientos, el informe no contiene ninguna declaracin falsa de un hecho material u omite un hecho material necesario para hacer una declaracin, a la luz de las circunstancias bajo las

147

cuales se realizan dichas declaraciones, sin engaar con respecto al perodo cubierto por el informe; Que de acuerdo con sus conocimientos, los estados contables y dems informacin financiera incluida en el informe, expresan claramente en todos los aspectos materiales la condicin financiera, los resultados de las operaciones y los flujos de caja del emisor a la fecha y por los perodos presentados en el informe. Que esta persona y los dems representantes certificantes: o Son responsables de establecer y mantener informacin de controles y procedimientos (una nueva definicin que refleja el concepto de controles y procedimientos relacionados con la informacin incorporada en la Seccin 302(a)(4) de la Ley), para el emisor; o Han diseado dicha informacin de controles y procedimientos para asegurar que se les d a conocer la informacin significativa, especialmente durante el perodo en el cual el informe peridico est siendo preparado. o Han evaluado la eficacia de la informacin de controles y procedimientos del emisor hasta una fecha dentro de los 90 das antes de la presentacin del informe; y o Han presentado en el informe sus conclusiones sobre la eficacia de la informacin de controles y procedimientos basadas en la evaluacin exigida hasta aquella fecha; Que esta persona y los dems representantes certificantes han revelado a los auditores y al comit de auditora del Consejo de Administracin del emisor (o a las personas que cumplen funciones equivalentes): o Todas las deficiencias significativas en el diseo u operacin de los controles internos (un trmino preexistente relacionado con los controles internos respecto de la informacin financiera) que pudieron afectar adversamente la facultad del emisor para registrar, procesar, resumir e informar los datos contables, y hayan identificado para los auditores del emisor cualquier debilidad material en los controles internos; o Cualquier fraude, material o no, que involucre a los gerentes u otros empleados que tengan un rol significativo en los controles internos del emisor; y o Si hubo o no cambios significativos en los controles internos o en otros factores que pudieron afectar significativamente los controles internos con posterioridad a la fecha de su evaluacin, incluyendo cualquier accin correctiva respecto de deficiencias significativas y debilidades materiales. Acciones Recomendadas para los Auditores Internos 4. Las siguientes acciones y consideraciones son ofrecidas a los auditores internos como servicios de valor agregado que pueden ser proporcionados respecto de los informes financieros trimestrales, las declaraciones y las certificaciones de la direccin, relacionadas con las exigencias de la SEC y de la Ley Sarbanes-Oxley. Estas acciones recomendadas tambin se ofrecen como mejores practices para compaas que no cotizan en bolsa y otras organizaciones que deseen adoptar procesos similares sobre la informacin financiera trimestral. a. El rol del auditor interno en tales procesos puede abarcar un amplio rango, desde ser el diseador inicial del proceso, un participante en un comit de declaraciones, el coordinador o enlace entre la gerencia y sus auditores, hasta ser un asesor independiente del proceso. b. Todos los auditores internos involucrados en los procesos de informes trimestrales y declaraciones deben tener claramente definido su rol y evaluar sus responsabilidades con las correspondientes Normas sobre Consultora y Aseguramiento del IIA, y con la gua contenida en los Consejos para la Prctica relacionados. c. Los auditores internos deben asegurar que las organizaciones tengan una poltica formal y procedimientos documentados para gobernar los procesos de los informes financieros trimestrales, las declaraciones relacionadas y los requerimientos reguladores de informacin. Las revisiones apropiadas de cualquier poltica y procedimiento por parte de abogados, auditors externos y otros expertos pueden ayudar a asegurar que las polticas y procedimientos sean integrales y reflejen con precisin las exigencias aplicables. d. Los auditores internos deben alentar a las organizaciones a establecer un comit de declaraciones para coordinar el proceso y proporcionar vigilancia a los participantes. En este comit debe haber representantes de reas clave de la organizacin, incluyendo gerents financieros, el asesor legal, el gerente de riesgos, el

148

auditor interno, y cualquier otra rea que brinde informacin o datos para las presentaciones y declaraciones exigidas por regulaciones. Normalmente, el director ejecutivo de auditora (DEA) debe ser uno de los miembros del comit de declaraciones. Se tendr en cuenta la posicin que ocupar el DEA dentro del comit. El DEA que sirva como Presidente del comit, o miembro regular o votante debe ser consciente de las consideraciones de independencia, y se le aconseja revisar las Normas del IIA y los Consejos para la Prctica relacionados para obtener la gua e informacin requeridas. La posicin como miembro ex officio normalmente no crea problemas de independencia. e. Los auditores internos deben revisar y evaluar peridicamente los procesos de informe trimestral y declaraciones, las actividades del comit de declaraciones y la documentacin relacionada, y proporcionar a la direccin y al comit de auditora una evaluacin del proceso y aseguramiento respecto de las operaciones en general y del cumplimiento de las polticas y procedimientos. Los auditores internos cuya independencia pueda verse afectada debido al rol asignado en el proceso, deben asegurarse de que la direccin y el comit de auditora puedan obtener el adecuado aseguramiento sobre el proceso de otras fuentes. Estas fuentes pueden ser tanto auto evaluaciones internas como de terceras partes, tales como auditores externos o consultores.

f. Los auditores internos deben recomendar las mejoras apropiadas a las polticas, procedimientos y al proceso de informacin trimestral y declaraciones relacionadas, basadas en los resultados de una evaluacin de las actividades relacionadas. Las mejores prcticas recomendadas para tales actividades pueden incluir todos los siguientes procedimientos y herramientas, o componentes de ellos, dependiendo del proceso especfico utilizado por cada organizacin: o Polticas, procedimientos, controles, e informes de vigilancia adecuadamente documentados. o Checklist trimestrales de procedimientos y elementos de control clave. o Informes de control estndar sobre controles clave de declaraciones. o Autoevaluaciones de la direccin o gestin (tales como la Autoevaluacin de Control; CSA, en ingls) o Declaraciones de representacin o de finalizacin de gerentes clave. o Revisar los borradores de las presentaciones exigidas por regulaciones antes de ser emitidas. o Procesar mapas que documenten la fuente de datos para las presentaciones exigidas por regulaciones, los controles clave, y las partes responsables para cada elemento. o Hacer el seguimiento de los elementos pendientes informados previamente. o Considerar los informes de auditora interna emitidos durante el perodo. o Revisiones con objetivos especiales o especficos de reas de alto riesgo, complejas o problemticas; incluyendo estimaciones contables materiales, valuaciones de reservas, actividades contingentes, subsidiarias principales, joint ventures, y entidades con propsitos especiales. o Observacin del proceso de cierre de los estados contables y los asientos de ajuste relacionados, incluyendo ajustes descartados. o Llamadas en conferencia con los gerentes clave de localizaciones lejanas, para asegurar que se les haya tenido en cuenta y que hayan participado todos los componentes principales de la organizacin. o Revisar juicios potenciales o pendientes, y obligaciones contingentes. o El informe de control interno del DEA, emitido al menos anualmente, y posiblemente en forma trimestral. o Reuniones convocadas regularmente del comit de declaraciones y del comit de auditora. g. Los auditores internos deben comparar los procesos para cumplir con la Seccin 302 de la Ley SarbanesOxley (informacin financiera trimestral y declaraciones) con los procedimientos desarrollados para cumplir con la Seccin 404 referidos a la evaluacin anual y al informe pblico sobre controles internos emitidos por la direccin. Los procesos diseados para ser similares o compatibles contribuirn a la eficiencia operativa y a reducir la probabilidad o el riesgo de que los problemas y errores ocurran o no sean detectados. Si bien los procesos y procedimientos pueden ser similares, es posible que el rol del auditor interno pueda variar. En algunas organizaciones el trabajo de los auditores internos puede formar la base de las aseveraciones de la direccin sobre el control interno, mientras que en otras organizaciones los auditores internos pueden ser llamados a evaluar la evaluacin de la direccin. o La naturaleza del trabajo del auditor interno, y su utilizacin, pueden afectar potencialmente el

149

tratamiento o grado de confianza que el auditor externo tenga del trabajo del auditor interno. Los auditores internos deben asegurar que el rol de cada participante sea claro y que las actividades estn coordinadas y acordadas con la direccin y con los auditores externos. o En las organizaciones en las cuales la direccin realiza su propia evaluacin de controles como base para formarse una opinin, los auditores internos deben evaluar dicha evaluacin y su documentacin de soporte. o Los auditores internos deben evaluar cmo se clasifican los comentarios del informe de auditora interna y asegurar que aquellos que puedan ser objeto de declaracin en las certificaciones trimestrales o en el informe anual sobre controles internos sean comunicados apropiadamente a la direccin y al comit de auditora. Debe tenerse especial cuidado de que tales comentarios sean resueltos adecuadamente y en forma oportuna.

Copyright 2003 by The Institute of Internal Auditors, 247 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All February 20, 2003 rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher.

150

Consejo para la Prctica 2120.A1-4: Auditora del Proceso de Informacin Financiera

Interpretacin de la Norma 2120.A4 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2120.A1 Control Basada en los resultados de la evaluacin de riesgos, la actividad de auditora interna debe evaluar la adecuacin y eficacia de los controles que comprenden el gobierno, las operaciones y los sistemas de informacin de la organizacin. Esto debe incluir lo siguiente: Confiabilidad e integridad de la informacin financiera y operativa. Eficacia y eficiencia de las operaciones. Proteccin de activos. Cumplimiento de leyes, regulaciones y contratos. (Fuente: Libro Rojo 280.05) Naturaleza de este Consejo para la Prctica: Este Consejo para la Prctica explora el rol y las responsabilidades del auditor interno en el proceso de informacin financiera de una organizacin. Los roles de la alta direccin, los auditores internos y los auditores internos son: La direccin ejecutiva es la "duea" del ambiente de control y la informacin financiera, incluyendo las notas y dems declaraciones que acompaan a los estados contables. El auditor externo asegura al usuario de la informacin financiera que la informacin reportada representa fielmente la condicin financiera y el resultado de las operaciones de la organizacin de acuerdo con principios contables de aceptacin general. El auditor interno lleva a cabo procedimientos con el fin de proporcionar un nivel de aseguramiento a la alta direccin y al comit de auditora u otro comit del rgano de gobierno de que los controles que rodean los procesos que soportan el desarrollo del informe financiero son eficaces. El Consejo para la Prctica 2060-2 Relaciones con el Comit de Auditora cubre las interacciones del auditor interno con el comit de auditora. El Consejo para la Prctica 2120.A1-1 Evaluacin e Informacin sobre Procesos de Control trata la evidencia necesaria para evaluar un sistema de controles internos y formar una opinin. El Consejo para la Prctica 2120.A1-3 "El Rol del Auditor Interno en los Informes Financieros Trimestrales, Declaraciones y Certificaciones de la Direccin proporciona una gua sobre los requerimientos de la Ley Sarbanes-Oxley de los Estados Unidos de Norteamrica y las reglas relacionadas de la Comisin Nacional de Valores de ese pas. El presente Consejo para la Prctica se refiere a las relaciones del auditor interno con la alta direccin y con el auditor externo, con respecto al proceso de informacin financiera. El cumplimiento de este Consejo para la Prctica es opcional.

1. Los informes publicados sobre los fallos de gobierno corporativo en los Estados Unidos de Norteamrica y otros pases subrayan la necesidad de lograr una mayor responsabilidad y transparencia por parte de todas las organizaciones -comerciales, sin nimo de lucro y gubernamentales-. La alta direccin, los Consejos de Administracin, los auditores internos y los auditores externos son los pilares sobre los cuales se construye el gobierno eficaz de las organizaciones. La actividad de auditora interna juega un rol clave en el apoyo al buen gobierno de las organizaciones; tiene una posicin excepcional para ayudar a la mejora de sus operaciones, evaluando y mejorando la eficacia de los procesos de gestin de riesgos, control y gobierno. Recientes iniciativas han puesto nfasis en la necesidad de que la alta direccin sea ms responsable de la informacin contenida en los informes financieros de la 151

organizacin. La alta direccin y el comit de auditora de muchas organizaciones estn solicitando servicios adicionales a la actividad de auditora interna para mejorar los procesos de gobierno e informacin financiera. Estas solicitudes incluyen evaluaciones de los controles internos de la organizacin respecto de la informacin financiera y la confiabilidad e integridad de sus informes financieros. (a) Informacin sobre Control Interno 2. El comit de auditora u otro comit del Consejo de Administracin y la actividad de auditora interna de la organizacin tienen metas entrelazadas. El rol central del director ejecutivo de auditora (DEA) es asegurar que el comit de auditora reciba los servicios de soporte y aseguramiento que necesita y solicita. Uno de los objetivos principales del comit de auditora es vigilar los procesos de informacin financiera de la organizacin para asegurar su confiabilidad y equidad. El comit y la alta direccin tpicamente solicitan que la actividad de auditora interna lleve a cabo el suficiente trabajo de auditora y obtenga toda la informacin disponible durante el ao para formar una opinin sobre la adecuacin y eficacia de los procesos de control interno. El DEA normalmente comunica esa informacin general, en forma oportuna, al comit. El comit evaluar la cobertura y adecuacin del informe del DEA y podr incorporar sus conclusiones al informe del propio comit dirigido al rgano de gobierno. 3. Los planes de trabajo y los trabajos de aseguramiento especficos que desempea la actividad de auditora interna comienzan con una cuidadosa identificacin de las exposiciones que enfrenta la organizacin. El plan de trabajo de auditora interna est basado en los riesgos y la evaluacin de los procesos de gestin de riesgos y controles mantenidos por la direccin para mitigar aquellos riesgos. Entre los hechos y transacciones incluidos en la identificacin de riesgos estn los siguientes: Nuevos negocios, incluyendo fusiones y adquisiciones. Nuevos productos y sistemas. Inversiones conjuntas (joint ventures) y asociaciones. Reestructuraciones. Estimaciones de gestin, presupuestos y pronsticos. Asuntos medioambientales. Cumplimiento de regulaciones. (b) Un Marco para el Control Interno 4. La evaluacin de un sistema de control interno de una organizacin debe emplear una amplia definicin de control. El IIA considera que la gua ms eficaz de control interno disponible actualmente es el informe Control Interno-Un Marco Integral, publicado en 1992 y 1994 por el Comit de Organizaciones Patrocinadoras (COSO, segn sus siglas en ingls) de la Comisin Treadway. Si bien el uso del modelo COSO est ampliamente aceptado, puede ser apropiado utilizar algn otro modelo reconocido y creble. En algunas ocasiones los requerimientos legales o de regulaciones especifican el uso de un modelo o diseo de control en particular para una organizacin o sector econmico dentro de un pas. 5. Algunas conclusiones del informe Control Interno - Un Marco Integral son relevantes para el presente examen. El control interno est definido en forma amplia; no est limitado a los controles contables y no est restringido estrechamente a la informacin financiera. Si bien los informes financieros y contables son cuestiones importantes, existen otros aspectos importantes en el negocio, tales como la proteccin de recursos, la eficiencia y eficacia operativa, y el cumplimiento de leyes, regulaciones y polticas de la organizacin. 152

Estos factores tienen un impacto sobre la informacin financiera. El control interno es la responsabilidad de la direccin y requiere la participacin de todas las personas dentro de la organizacin para ser eficaz. El marco de control est unido a los objetivos del negocio y es lo suficientemente flexible para ser adaptable. Informacin sobre la Eficacia del Control Interno 6. El DEA debe proporcionar al comit de auditora la evaluacin de auditora interna respecto de la eficacia de los sistemas de control de la organizacin, incluyendo su juicio sobre la adecuacin del modelo o diseo de control. Un rgano de gobierno debe confiar en la direccin para mantener un sistema de control interno adecuado y eficaz. Reforzar esa confianza con la vigilancia independiente. El Consejo de Administracin o su comit de auditora (u otro comit designado) deben efectuar las siguientes preguntas, y se espera que el DEA ayude a responderlas. (a) Existe un fuerte ambiente y cultura ticos? Los miembros del Consejo y los altos ejecutivos establecen altos ejemplos de integridad? Son realistas los objetivos e incentivos de desempeo, o crean una presin excesiva en los resultados de corto plazo? El cdigo de conducta de la organizacin est reforzado con capacitacin y comunicacin de arriba hacia abajo? El mensaje llega a todos los empleados? Estn abiertos los canales de comunicacin de la organizacin? Todos los niveles de direccin obtienen la informacin que necesitan? Est establecida la tolerancia cero para la informacin financiera fraudulenta en todo nivel? (b) Cmo identifica y maneja los riesgos la organizacin? Existe un proceso de gestin de riesgos; es eficaz? Se maneja el riesgo a travs de toda la organizacin? Se discuten los riesgos principales abiertamente con el Consejo de Administracin? (c) Es eficaz el sistema de control? Los controles de la organizacin respecto del proceso de informacin financiera son integrales, incluyen la preparacin de los estados contables, las notas relacionadas y dems declaraciones requeridas y discrecionales que forman parte de los estados financieros? Tanto la alta direccin como la gerencia de lnea demuestran que aceptan la responsabilidad del control? Hay una creciente frecuencia de "sorpresas" a nivel pblico, de la alta direccin o del Consejo de Administracin, sobre los resultados financieros informados o en las declaraciones financieras que los acompaan? Existe buena comunicacin e informacin a travs de la organizacin? Los controles son vistos como mejoras para el logro de objetivos, o como "un mal necesario"? Se contrata personal calificado oportunamente, y recibe capacitacin adecuada? Las reas problemticas se solucionan rpida y completamente? Hay una fuerte vigilancia? El consejo de administracin es independiente de la direccin, est libre de conflicto de intereses, est bien informado y es inquisitivo? Auditora interna cuenta con el apoyo de la alta direccin y el comit de auditora? Los auditores internos y externos disponen y utilizan lneas abiertas de comunicacin y acceso privado con todos los miembros de la alta direccin y el comit de auditora? La gerencia de lnea est vigilando el proceso de control? 153

Hay un programa para vigilar los procesos externalizados? 7. Los controles internos no pueden asegurar el xito. Malas decisiones, malos gerentes, o factores medioambientales pueden anular controles. Adems, una gerencia deshonesta puede pasar por alto los controles e ignorar o suprimir las comunicaciones de sus subordinados. Un rgano de gobierno activo e independiente que est acompaado de comunicaciones abiertas y veraces por parte de todos los componentes de la direccin y est asistido por funciones financieras, legales y de auditora interna capaces, tendr la capacidad de identificar problemas y proporcionar una vigilancia eficaz. b) Roles para el Auditor Interno 8. El DEA necesita revisar la evaluacin de riesgos y los planes de auditora para el ao, si no se han comprometido los recursos necesarios para ayudar a la alta direccin, al comit de auditora y al auditor externo en sus responsabilidades para el rgimen de informacin financiera para el prximo ao. El proceso de informacin financiera comprende los pasos para crear la informacin y preparar los estados contables, las notas relacionadas y dems declaraciones que acompaan a los informes financieros de la organizacin. 9. El DEA debe asignar los recursos de auditora interna para los procesos de informacin financiera, gobierno y control, en forma consistente con la evaluacin de riesgos de la organizacin. El DEA debe realizar procedimientos que brinden un nivel de aseguramiento para la alta direccin y el comit de auditora respecto de si los controles que rodean los procesos que soportan el desarrollo de los informes financieros estn adecuadamente diseados y son ejecutados eficazmente. Los controles deben ser adecuados para asegurar la prevencin y deteccin de errores significativos, irregularidades, suposiciones y estimaciones incorrectas, y otros hechos que puedan generar imprecisiones o inexactitudes en los estados contables, notas relacionadas u otras declaraciones. 10.La lista siguiente sugiere temas que el DEA debe considerar al apoyar el proceso de gobierno de la organizacin y las responsabilidades de vigilancia del rgano de gobierno y su comit de auditora (u otro comit designado), con el fin de asegurar la confiabilidad e integridad de los informes financieros. (a) Informacin Financiera Proporcionar informacin relevante para la designacin de los auditores externos. Coordinar los planes de auditora, la cobertura y programacin con los auditores externos. Compartir los resultados de auditora con los auditores externos. Comunicar las observaciones pertinentes a los auditores externos y al comit de auditora respecto de las polticas contables y las decisiones de polticas (incluyendo decisiones contables para elementos discrecionales y transacciones fuera del balance de situacin), componentes especficos del proceso de informacin financiera, y transacciones y eventos financieros inusuales o complejos (por ejemplo, transacciones con partes relacionadas, fusiones y adquisiciones, inversiones conjuntas -joint ventures-, y transacciones de asociacin) Participar en el proceso de revisin de la informacin y declaraciones financieras con el comit de auditora, los auditores externos y la alta direccin, evaluando la calidad de los informes financieros, incluyendo aquellos presentados a los organismos de regulacin. Evaluar la adecuacin y eficacia de los controles internos de la organizacin, especficamente aquellos controles sobre el proceso de informacin financiera. Esta evaluacin debe considerar la susceptibilidad 154

de la organizacin al fraude y la eficacia de los programas y controles para mitigar o eliminar aquellas exposiciones. Vigilar el cumplimiento del cdigo de conducta por parte de la direccin, y asegurar que las polticas ticas y otros procedimientos que promuevan la conducta tica se estn cumpliendo. Un factor importante al establecer una cultura tica eficaz en la organizacin es cuando los miembros de la alta direccin establecen un buen ejemplo de conducta tica y brindan comunicaciones abiertas y veraces a los empleados, al consejo de administracin y a las partes interesadas externas. (b) Gobierno Corporativo Revisar las polticas corporativas referidas al cumplimiento de leyes y regulaciones, tica, conflicto de intereses, y la investigacin oportuna y minuciosa de malas conductas y alegatos de fraude. Revisar los litigios pendientes o los procedimientos regulatorios referidos al riesgo y gobierno de la organizacin. Proporcionar informacin sobre conflictos de intereses de los empleados, mala conducta, fraude, y otros resultados de los procedimientos ticos y mecanismos de reporte de la organizacin. (c) Control Corporativo Revisar la confiabilidad e integridad de la informacin financiera y operativa compilada y reportada por la organizacin. Realizar un anlisis de los controles para las polticas contables crticas y compararlos con las prcticas preferentes (por ejemplo, en las transacciones que generan dudas sobre el reconocimiento de ingresos o en el tratamiento de las transacciones fuera del balance de situacin, se debera revisar el cumplimiento de las normas contables de aceptacin general apropiadas). Evaluar la razonabilidad de las estimaciones y suposiciones utilizadas en la preparacin de los informes operativos y financieros. Asegurar que las estimaciones y suposiciones incluidas en las declaraciones o comentarios estn en lnea con la informacin y prcticas subyacentes de la organizacin y con elementos similares reportados por otras compaas, si corresponde. Evaluar el proceso de preparacin, revisin, aprobacin y contabilizacin de asientos de diario.

155

Consejo para la Prctica 2120.A4-1: Criterios de Control

Interpretacin de la Norma 2120.A4 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2120.A4 Se requiere criterio adecuado para evaluar controles.Los auditores internos deben cerciorarse del alcance hasta el cual la direccin ha establecido criterios adecuados para determinar si los objetivos y metas han sido cumplidos.Si fuera apropiado, los auditores internos deben utilizar dichos criterios en su evaluacin. Si no fuera apropiado, los auditores internos deben trabajar con la direccin para desarrollar criterios de evaluacin adecuados. (Fuente: Libro Rojo 280.05) Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias al evaluar criterios de control. Esta gua no pretende abarcar todas las consideraciones que pueden ser necesarias durante dicha evaluacin, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

1.

Los auditores internos deben evaluar los objetivos y las expectativas establecidos para las operaciones y determinar si dichas normas operativas son aceptables y estn siendo cumplidas. Cuando dichos objetivos y criterios de direccin estn poco definidos, deben buscarse interpretaciones autorizadas. Si se solicita a los auditores internos interpretar o seleccionar normas operativas, stos deben llegar a un acuerdo con los clientes del trabajo en cuanto a los criterios necesarios para medir el rendimiento de las operaciones. (Fuente: Libro Rojo 280.05)
Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher. January 5, 2001

156

Consejo para la Prctica 2130-1: El Rol de la Actividad de Auditora Interna en la Cultura tica de una Organizacin
Interpretacin de la Norma 2130 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2130 Gobierno La actividad de auditora interna debe contribuir al proceso de gobierno de la organizacin mediante la evaluacin y mejora del proceso por el cual (1) se establecen y comunican metas y valores, (2) se supervisa el cumplimiento de las metas, (3) se asegura la responsabilidad, y (4) se preservan los valores. Norma Relacionada: 2130.A1 - Los auditores internos deben revisar las operaciones y programas para asegurar su consistencia con los valores de la organizacin. Naturaleza de este Consejo para la Prctica: Los auditores internos deben tener en cuenta lo siguiente al determinar el rol que cumplirn en la cultura tica de la organizacin. Este rol podr variar dependiendo de la existencia, falta, o grado de desarrollo de la cultura tica de la organizacin. Esta gua no pretende representar todos los procedimientos que puedan ser necesarios para un trabajo de aseguramiento o consultora integrales relacionados con la cultura tica de la organizacin. El Cumplimiento de este Consejo para la Prctica es opcional.

1. Este Consejo para la Prctica subraya la importancia de la cultura de la organizacin en el establecimiento del ambiente tico de una empresa y sugiere el rol que los auditores internos pueden cumplir en la mejora de dicho ambiente. Especficamente, este Consejo para la Prctica:

Describe la naturaleza del proceso de gobierno, Lo enlaza con la cultura tica de la organizacin,

Indica que todas las personas asociadas con la organizacin, y especficamente los auditores internos, deben asumir el rol de defensores de la tica, y Enumera las caractersticas de una cultura tica enaltecida.

Gobierno y Cultura de la Organizacin 2. Una organizacin utiliza diversas formas legales, estructuras, estrategias, y procedimientos para asegurar que: (a) Cumple con las leyes y regulaciones de la sociedad, (b) Satisface las normas de negocio generalmente aceptadas, los preceptos ticos y las expectativas sociales de la sociedad, (c) Proporciona un beneficio general a la sociedad e incrementa los intereses de las partes interesadas tanto en el largo como en el corto plazo, e (d) Informa de manera completa y veraz a sus propietarios, reguladores, otras partes interesadas, y al pblico en general para asegurar la responsabilidad por sus decisiones, acciones, conducta y desempeo. La forma en que una organizacin decide conducir sus negocios para alcanzar aquellas cuatro responsabilidades es lo que se denomina comnmente como su proceso de gobierno. El cuerpo de gobierno de la organizacin (tal como el Consejo de Administracin o el de Benefactores, o un Comit de Direccin) y su alta direccin son los responsables de la eficacia del proceso de 157

gobierno. 3. Las prcticas de gobierno de una organizacin reflejan una cultura nica y en permanente cambio que afecta los roles, estipula el comportamiento, establece metas y estrategias, mide el desempeo y define los trminos de responsabilidad. Esa cultura fija los valores, roles, y comportamientos que sern enunciados y tolerados por la organizacin y determina la sensibilidad, profunda o indiferente, de la organizacin en el cumplimiento de sus responsabilidades con la sociedad. En consecuencia, el grado de eficacia del proceso de gobierno en general en cuanto al desempeo de su funcin esperada depende ampliamente de la cultura de la organizacin. Responsabilidad Compartida en la Cultura tica de la Organizacin 4. Todas las personas relacionadas con la organizacin comparten alguna responsabilidad por el estado de su cultura tica. Dada la complejidad y dispersin de los procesos de toma de decisiones en la mayora de las empresas, debe alentarse a cada persona a ser un defensor de la tica, ya sea delegando ese rol oficialmente o transmitindolo de manera informal. Los cdigos de conducta y enunciados de visin y polticas constituyen importantes declaraciones de los valores y metas de la organizacin, el comportamiento esperado de su gente, y las estrategias para mantener una cultura alineada con sus responsabilidades legales, ticas y sociales. Un nmero creciente de organizaciones ha designado a un representante o director de tica (chief ethics officer) como consejero de ejecutivos, gerentes y dems, y como defensor dentro de la organizacin de hacer lo correcto. La Actividad de Auditora Interna como Defensora de la tica 5. Los auditores internos y la actividad de auditora interna deben asumir un rol activo en apoyo de la cultura tica de la organizacin. Ellos poseen un alto nivel de confianza e integridad dentro de la organizacin y las habilidades para convertirse en defensores eficaces de la conducta tica. Tienen la competencia y capacidad para apelar a los lderes, gerentes y dems empleados a cumplir con las responsabilidades legales, ticas y sociales de la organizacin. 6. La actividad de auditora interna puede asumir uno entre varios roles diferentes como defensor de la tica. Esos roles pueden ser el de director de tica (ombudsman o medidor, director de cumplimiento, consejero tico de la gerencia, o experto en tica), miembro de un consejo interno de tica, o asesor del ambiente tico de la organizacin. En algunas circunstancias, el rol del director de tica puede entrar en conflicto con el atributo de independencia de la actividad de auditora interna. Evaluacin del Ambiente tico de la Organizacin 7. Como mnimo, la actividad de auditora interna debe evaluar peridicamente el estado del ambiente tico de la organizacin y la eficacia de sus estrategias, tcticas, comunicaciones y otros procesos para alcanzar el nivel deseado de cumplimiento legal y tico. Los auditores internos deben evaluar la eficacia de los siguientes aspectos de una cultura tica altamente eficaz y enaltecida: (a) Cdigo de Conducta formal, que sea claro y comprensible, y enunciados relacionados, polticas (incluyendo procedimientos que cubran el fraude y la corrupcin), y otras expresiones de aspiracin. (b) Comunicaciones frecuentes y demostraciones de actitudes y comportamientos ticos esperados por parte de lderes que ejerzan influencia en la organizacin. (c) Estrategias explcitas para apoyar y aumentar la cultura tica con programas regulares para 158

actualizar y renovar el compromiso de la organizacin con una cultura tica. (d) Formas sencillas y diversas para que la gente informe confidencialmente supuestas violaciones al Cdigo o a las polticas, y otros actos de mala conducta. (e) Declaraciones regulares por parte de los empleados, proveedores y clientes, afirmando que conocen los requerimientos de conducta tica para efectuar transacciones de negocios con la organizacin. (f) Clara delegacin de responsabilidades para asegurar que las consecuencias ticas son evaluadas, se brinda consejo confidencial, se investigan las supuestas malas conductas, y los hallazgos son adecuadamente informados. (g) Fcil acceso a oportunidades de aprendizaje que permitan a todos los empleados ser defensores de la tica. (h) Prcticas positivas del personal que alienten a cada empleado a contribuir con el ambiente tico de la organizacin. (i) Encuestas regulares a los empleados, proveedores y clientes, para determinar el estado del ambiente tico de la organizacin. (j) Revisiones regulares de los procesos formales e informales dentro de la organizacin que pudieran crear, potencialmente, presiones y desvos que debilitaran la cultura tica. (k) Cotejos regulares de referencias y antecedentes como parte de los procedimientos de contratacin de empleados, incluyendo pruebas de integridad, anlisis de drogas, y medidas similares.

Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher.

January 5, 2001

159

Consejo para la Prctica 2200-1: Planificacin del Trabajo

Interpretacin de la Norma 2200 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2200 Planificacin del Trabajo Los auditores internos deben desarrollar y registrar un plan para cada trabajo. (Fuente: Libro Rojo 410) Norma Relacionada: 2201 Consideraciones sobre Planificacin Al planificar el trabajo, los auditores internos deben considerar: Los objetivos de la actividad que est siendo revisada y los medios con los cuales la actividad controla su desempeo. Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias al planificar sus trabajos. Esta gua no pretende abarcar todas las consideraciones que pueden ser necesarias, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

Los riesgos significativos de la actividad, sus objetivos, recursos y operaciones, y los medios con los cuales el impacto potencial del riesgo se mantiene a un nivel aceptable. La adecuacin y eficacia de los sistemas de gestin de riesgos y control de la actividad comparados con un cuadro o modelo de control relevante.

Las oportunidades de introducir mejoras significativas en los sistemas de gestin de riesgos y control de la actividad. (Fuente: Nuevo)

1. El auditor interno es el responsable de planificar y conducir el trabajo asignado, sujeto a la revisin y aprobacin del supervisor. El programa de trabajo debe: Documentar los procedimientos del auditor interno para la captacin, anlisis, interpretacin y documentacin de la informacin durante el trabajo. Establecer los objetivos del trabajo.

Establecer el alcance y el grado de las pruebas requeridas para conseguir los objetivos del trabajo en cada fase del mismo. Identificar los aspectos tcnicos, riesgos, procesos y transacciones que deben revisarse. Establecer la naturaleza y extensin de las pruebas requeridas. 160

 Estar preparado antes de comenzar el trabajo y modificarse, cuando sea preciso, durante el curso del mismo. (Fuente: Libro Rojo 410.01.6.a) El director ejecutivo de auditora es el responsable de determinar cmo, cundo y a quin se comunicarn los resultados del trabajo. Esta decisin debe estar documentada y comunicada a la direccin, en la medida que se considere prctico, durante la fase de planificacin del trabajo. Los cambios posteriores que afecten a las fechas o a la comunicacin de los resultados del trabajo tambin deben comunicarse a la direccin, si se considera oportuno. (Fuente: Libro Rojo 400.01.7.a) Se deben fijar otros requisitos del trabajo, tales como el perodo que cubrir y la fecha estimada de terminacin. Se debe tener en cuenta el formato de la comunicacin final del trabajo, dado que una planificacin adecuada de esta fase facilita la preparacin de la misma. (Fuente: Libro Rojo 410.01.2.b) Se debe informar a todos aquellos en la direccin que deban conocer sobre el trabajo que se va a efectuar. Se deben mantener reuniones con la direccin responsable de la actividad que se va a examinar. Se debe preparar un resumen de todos los asuntos tratados en las reuniones y de cualquier conclusin que se haya alcanzado. Este resumen debe distribuirse a las personas que corresponda y mantenerse en los papeles de trabajo. Los temas a tratar pueden incluir los siguientes: Los objetivos y el alcance del trabajo planificados. El calendario del trabajo. Los auditores internos asignados al trabajo. El proceso de comunicacin a lo largo del trabajo, incluyendo los mtodos, el calendario y las personas responsables. Las circunstancias y operaciones de la actividad que se est revisando, incluyendo los cambios recientes en la direccin o en los sistemas principales. Los aspectos de preocupacin o cualquier solicitud de la direccin. Los aspectos de inters especial o de preocupacin para el auditor interno. La descripcin de los procedimientos de informacin de la actividad de auditora interna y del proceso de seguimiento. (Fuente: Libro Rojo 410.01.4.b)
Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher. January 5, 2001

161

Consejo para la Prctica 2210-1: Objetivos del Trabajo

Interpretacin de la Norma 2210 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2210 Objetivos del Trabajo Los objetivos del trabajo deben dirigirse a los procesos de riesgos, controles y gobierno asociados a las actividades bajo revisin. (Fuente: Libro Rojo 410.01.1.) Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias al establecer los objetivos del trabajo. Esta gua no pretende abarcar todas las consideraciones que pueden ser necesarias, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

1. La planificacin debe documentarse. Deben establecerse los objetivos y el alcance del trabajo. Los objetivos del trabajo son declaraciones amplias desarrolladas por los auditores internos que definen los logros que se pretenden conseguir en el trabajo. Los procedimientos de trabajo son los medios para conseguir los objetivos del trabajo. Los objetivos y procedimientos de trabajo, considerados en conjunto, definen el mbito del trabajo del auditor interno. (Fuente: Libro Rojo 410.01.1) 2. Los objetivos y procedimientos de trabajo deben contemplar los riesgos asociados con las actividades que se estn revisando. Se entiende por riesgo a la incertidumbre de que ocurra un acontecimiento que pudiera afectar el logro de los objetivos. El riesgo se mide en trminos de consecuencias y probabilidad. Las guas contenidas en la Seccin 2010 de las Normas (Consejos para la Prctica 2010-1 y 2010.A1-1) deben ser utilizadas por los auditores internos para evaluar el riesgo de cada trabajo en particular. La finalidad de la evaluacin del riesgo durante la fase de planificacin es identificar las reas significativas de la actividad que deben ser examinadas como objetivos potenciales del trabajo. (Fuente: Libro Rojo 410.01.1.c)
Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher. January 5, 2001

162

Consejo para la Prctica 2210.A1-1: Evaluacin de Riesgo en la Planificacin del Trabajo

Interpretacin de la Norma 2210.A1 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2210.A1 Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias al evaluar riesgos durante la planificacin del trabajo. Esta gua no pretende abarcar todas las consideraciones que pueden ser necesarias durante dicha evaluacin, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

Durante la planificacin del trabajo, el auditor interno debe identificar y evaluar los riesgos relevantes de la actividad bajo revisin. Los objetivos del trabajo deben reflejar los resultados de la evaluacin de riesgos. (Fuente: Libro Rojo 410.01)

1. Se debe obtener informacin bsica sobre las actividades a revisar. Se deben revisar los antecedentes para determinar su impacto sobre el trabajo. Entre otros temas, se incluyen los siguientes: Objetivos y metas. Polticas, planes, procedimientos, leyes, regulaciones y contratos que pudieran tener un impacto significativo en las operaciones e informes. Informacin sobre la organizacin, por ejemplo: cantidad y nombre de los empleados, empleados clave, descripciones de puestos de trabajo y detalles acerca de los cambios recientes en la organizacin, incluyendo los cambios importantes en los sistemas. Informacin acerca del presupuesto, resultados operativos y datos financieros de la actividad a revisar. Papeles de trabajo de revisiones anteriores. Conclusiones de otros trabajos, incluyendo el trabajo de los auditores externos, terminado o en proceso. Archivos de correspondencia para determinar los temas potencialmente significativos para el trabajo. Literatura autorizada y tcnica adecuada a la actividad. (Fuente: Libro Rojo 410.01.2.a) 2. Cuando corresponda, debe realizarse un estudio para familiarizarse con las actividades, riesgos y controles, para identificar las reas en las que se deber poner ms nfasis en el trabajo y para lograr comentarios y sugerencias de parte de los clientes del trabajo. Un estudio es un proceso para reunir informacin, sin una verificacin detallada, sobre la actividad que se examina. Sus principales propsitos son: Comprender la actividad bajo revisin. Identificar reas significativas que precisen un nfasis especial. Obtener informacin para utilizar al realizar el trabajo. Determinar si es necesario profundizar en la auditora. (Fuente: Libro Rojo 410.01.5) 3. Un estudio permite un enfoque documentado para la planificacin y realizacin del trabajo, y es una herramienta eficaz para la aplicacin de los recursos de la actividad de auditora interna de forma que se puedan utilizar de la manera ms efectiva. El enfoque de un estudio variar en funcin de la naturaleza del trabajo. Tanto el alcance del trabajo como el tiempo requeridos por un estudio pueden variar. Entre los factores que influyen se encuentran: la experiencia y 163

formacin del auditor interno, el conocimiento de la actividad que se est examinando, el tipo de trabajo que se est realizando y si el estudio es parte de un trabajo recurrente o de un seguimiento. El tiempo requerido tambin puede estar influido por el tamao y complejidad de la actividad que se est revisando y por la dispersin geogrfica de la misma. (Fuente: Libro Rojo 410.01.5.d) 4. Un estudio puede implicar la utilizacin de los siguientes procedimientos: Comentarios con los clientes del trabajo. Entrevistas con las personas implicadas en la actividad, por ejemplo, usuarios de los resultados de la actividad. Observaciones in situ. Revisin de informes y estudios de la direccin. Procedimientos de auditora analticos. Diagramas de flujo. Pruebas de cumplimiento por funciones walk-through (pruebas de actividades de trabajo especficas, desde el principio hasta el final). Documentacin de actividades de control clave. (Fuente: Libro Rojo 410.01.5.e) 5. Debe prepararse un resumen de los resultados al concluir el estudio. Este resumen debe identificar: Temas significativos del trabajo y las razones para seguirlos con mayor profundidad. Informacin pertinente producida durante el estudio. Objetivos, procedimientos de trabajo y mtodos especiales como las tcnicas de auditora asistidas por ordenador. Potenciales puntos de control crticos, deficiencias de control o exceso de controles. Estimaciones preliminares de las necesidades de tiempo y recursos. Fechas acordadas para las fases de informacin y para la terminacin del trabajo. Razones para no proseguir el trabajo, cuando corresponda. (Fuente: Libro Rojo 410.01.5.f)
Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise without prior written permission of the publisher. January 5, 2001

164

Consejo para la Prctica 2230-1: Asignacin de Recursos para el Trabajo

Interpretacin de la Norma 2230 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2230 Asignacin de Recursos para el Trabajo Los auditores internos deben determinar los recursos adecuados para lograr los objetivos del trabajo. El personal debe estar basado en una evaluacin de la naturaleza y complejidad de cada tarea, las restricciones de tiempo y los recursos disponibles. (Fuente: Libro Rojo 410.01.3) Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias al determinar la asignacin de recursos para el trabajo. Esta gua no pretende abarcar todas las consideraciones que pueden ser necesarias, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

1.

Al determinar los recursos necesarios para realizar un trabajo, es importante evaluar lo siguiente: La cantidad y el nivel de experiencia del personal de auditora interna debe basarse en una evaluacin de la naturaleza y complejidad del trabajo asignado, de las limitaciones de tiempo y de los recursos disponibles. Se deben tener en cuenta los conocimientos, tcnicas y competencias del personal de auditora interna al seleccionar a los auditores internos para el trabajo a realizar. Se deben tener en cuenta las necesidades de formacin de los auditores internos, ya que cada trabajo a realizar sirve como base para conseguir las necesidades de desarrollo de la actividad de auditora interna. Considerar la utilizacin de recursos externos en aquellos casos en que se necesiten conocimientos, tcnicas y otras competencias adicionales. (Fuente: Libro Rojo 410.01.3)
January 5, 2001

Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher.

165

Consejo para la Prctica 2240-1: Programa de Trabajo

Interpretacin de la Norma 2240 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2240 Programa de Trabajo Los auditores internos deben preparar programas que cumplan con los objetivos del trabajo. Estos programas de trabajo deben estar registrados. (Fuente: Libro Rojo 410.01.6.) Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias al preparar programas de trabajo. Esta gua no pretende abarcar todas las consideraciones que pueden ser necesarias, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

1. Los procedimientos de trabajo, incluyendo las tcnicas de prueba y muestreo, deben ser seleccionados previamente, cuando sea posible, y aplicados o modificados de acuerdo con las circunstancias. Se puede encontrar una gua ms detallada para este tema en el Consejo para la Prctica 2210.A1-1. (Fuente: Libro Rojo 420.01.3) 2. El proceso de obtencin, anlisis, interpretacin y documentacin de la informacin debe ser supervisado para proporcionar una seguridad razonable de que se mantiene la objetividad del auditor y se alcanzan los objetivos del trabajo. (Fuente: Libro Rojo 420.01.4

Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher.

January 5, 2001

166

Consejo para la Prctica 2240.A1-1: Aprobacin de Programas de Trabajo

Interpretacin de la Norma 2240.A1 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2240.A1Los programas de trabajo deben establecer los procedimientos para identificar, analizar, evaluar y registrar informacin durante la tarea. El programa de trabajo debe ser aprobado con anterioridad al comienzo del trabajo y cualquier ajuste ha de ser aprobado oportunamente. (Fuente: Libro Rojo 410.01.8) Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias al aprobar programas de trabajo. Esta gua no pretende abarcar todas las consideraciones que pueden ser necesarias, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

1. El plan de trabajo debe ser aprobado por escrito por el director ejecutivo de auditora o persona delegada antes del comienzo del trabajo. Los ajustes al plan de trabajo deben ser aprobados oportunamente. En principio, la aprobacin puede ser obtenida oralmente si existen circunstancias que impidan obtener la aprobacin por escrito antes de comenzar el trabajo. (Fuente: Libro Rojo 410.01.8)
Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher. January 5, 2001

167

Consejo para la Prctica 2300-1: El Uso de Informacin Personal por Parte del Auditor Interno al Realizar Auditoras
Interpretacin de la Norma 2300 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2300 Desempeo del Trabajo Los auditores internos deben identificar, analizar, evaluar y registrar suficiente informacin de manera tal que les permita cumplir con los objetivos del trabajo. Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias cuando deban considerar el uso de informacin personal en la realizacin de trabajos de aseguramiento o consultora. Este Consejo para la Prctica no pretende ser una gua completa del uso de informacin personal, sino un recordatorio de la importancia de su uso apropiad, cumpliendo las leyes y polticas de la jurisdiccin relevante en la cual se est realizando la auditora y donde la organizacin est haciendo negocios. El cumplimiento de este Consejo para la Prctica es opcional.

1. Las preocupaciones relacionadas con la proteccin de la privacidad e informacin personales estn siendo ms frecuentes, importantes y globales a medida que los avances en la tecnologa informtica y las comunicaciones van introduciendo nuevos riesgos y amenazas a la privacidad. Los controles de privacidad son requisitos legales para hacer negocios en casi todo el mundo. 2. La informacin personal generalmente se refiere a informacin que puede estar asociada con un individuo determinado, o que tiene caractersticas identificativas que pudieran ser combinadas con otra informacin para ese efecto. Puede incluir cualquier informacin fctica o subjetiva, registrada o no, en cualquier formato o medio. La informacin personal puede incluir, por ejemplo: Nombre, direccin, nmeros de identificacin, ingresos, o tipo de sangre; Evaluaciones, comentarios, estado civil, o acciones disciplinarias; y Archivos de empleados, registros de crditos, registros de prstamos. 3. La mayora de las leyes requieren a las organizaciones que identifiquen los propsitos para los cuales obtienen informacin personal, antes o en el mismo momento de su recoleccin; y que esa informacin no sea usada o revelada para propsitos distintos de aquellos para los que fue obtenida, excepto que exista consentimiento del individuo o segn lo requerido por la ley. 4. Es importante que el auditor interno comprenda y cumpla con todas las leyes referidas al uso de informacin personal en su jurisdiccin y en aquellas jurisdicciones donde la organizacin haga negocios. 5. El auditor interno debe entender que puede ser inapropiado, y en algunos casos ilegal, acceder, recuperar, revisar, manipular o utilizar informacin personal al realizar ciertos trabajos de auditora interna. 6. El auditor interno debe investigar los temas antes de comenzar los trabajos de auditora y solicitar asesoramiento al asesor legal interno si existieran dudas o preocupaciones al respecto.
Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher. February 12, 2004

168

Consejo para la Prctica 2310-1: Identificacin de la Informacin

Interpretacin de la Norma 2310 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: Identificacin de la 2310 Informacin Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias al identificar informacin. Esta gua no pretende abarcar todas las consideraciones que pueden ser necesarias, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

Los auditores internos deben identificar informacin suficiente, confiable, relevante y til de manera tal que les permita alcanzar los objetivos del trabajo. (Fuente: Libro Rojo 420)

1. Debe obtenerse informacin sobre todos los aspectos relacionados con los objetivos y el alcance del trabajo. Los auditores internos utilizan procedimientos de auditora analticos al identificar y examinar informacin. Los procedimientos de auditora analticos se llevan a cabo estudiando y comparando las relaciones existentes entre la informacin financiera y la de otro tipo. La aplicacin de los procedimientos de auditora analticos para identificar la informacin a examinar se basa en la premisa de que, si no existen situaciones conocidas que indiquen lo contrario, se puede esperar razonablemente que las relaciones entre la informacin existan y continen. Como ejemplo de situaciones en contrario se pueden citar: las transacciones o hechos no habituales o no recurrentes; los cambios contables, en el organigrama, operativos, medioambientales y tecnolgicos; ineficiencias; ineficacias; errores; irregularidades o actos ilegales. (Fuente: Libro Rojo 420.01.1) 2. La informacin debe ser suficiente, competente, relevante y til para proporcionar una base slida a las observaciones y recomendaciones del trabajo. Informacin suficiente quiere decir que es real, adecuada y convincente, de modo tal que una persona prudente e informada pueda llegar a las mismas conclusiones que el auditor. Informacin competente significa informacin confiable y la mejor que puede conseguirse con el uso apropiado de las tcnicas de trabajo. Informacin relevante es la que sirve de soporte a las observaciones y recomendaciones y es coherente con los objetivos del trabajo. Informacin til es aquella que ayuda a la organizacin a lograr sus metas. (Fuente: Libro Rojo 420.01.2.d).
Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher. January 5, 2001

169

Consejo para la Prctica 2320-1: Anlisis y Evaluacin

Interpretacin de la Norma 2320 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2320 Anlisis y Evaluacin Los auditores internos deben basar sus conclusiones y los resultados del trabajo en adecuados anlisis y evaluaciones. (Fuente: Libro Rojo 420) Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias al utilizar anlisis y evaluacin para lograr sus conclusiones. Esta gua no pretende abarcar todas las consideraciones que pueden ser necesarias durante dicha evaluacin, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

1.

Los procedimientos de auditora analticos proporcionan a los auditores internos medios eficientes y eficaces para evaluar y valorar la informacin obtenida durante un trabajo. La evaluacin tiene lugar comparando dicha informacin con las expectativas identificadas o desarrolladas por el auditor interno. Los procedimientos de auditora analticos son tiles para identificar, entre otras cosas, las siguientes: (Fuente: Libro Rojo 420.01.1.d) Diferencias no esperadas. Ausencia de diferencias cuando eran de esperar. Errores potenciales. Irregularidades o actos ilegales potenciales. Otros hechos o transacciones no habituales o no recurrentes. (Fuente: Libro Rojo 420.01.1.e)

2.

Los procedimientos de auditora analticos pueden incluir: La comparacin de informacin del perodo actual con informacin similar de perodos anteriores. La comparacin de informacin del perodo actual con los presupuestos o previsiones. El estudio de las relaciones entre la informacin financiera con la adecuada informacin no financiera (por ejemplo, gastos de nmina comparados con los cambios en la cantidad promedio de empleados). El estudio de las relaciones entre elementos de informacin (por ejemplo, las fluctuaciones en los costos de intereses registrados comparadas con los cambios en los saldos de deuda correspondientes). La comparacin de informacin con informacin similar de otras unidades de la organizacin. La comparacin de informacin con informacin similar del sector en el que opera la organizacin. (Fuente: Libro Rojo 420.0101.f)

3.

Los procedimientos de auditora analticos pueden realizarse en trminos de unidades monetarias, cantidades fsicas, ndices o porcentajes. Algunos procedimientos de auditora analticos especficos son: ndices, tendencia y anlisis regresivo; pruebas de razonabilidad; comparaciones entre perodos; comparaciones con presupuestos, previsiones e informacin econmica externa. Los procedimientos de auditora analticos ayudan a los auditores internos a identificar las situaciones que puedan requerir procedimientos de auditora adicionales. Los auditores internos deben utilizar procedimientos de auditora analticos en la planificacin del trabajo de acuerdo con 170

las guas contenidas en la Seccin 2200 de las Normas (Consejo para la Prctica 2210-1). (Fuente: Libro Rojo 420.01.1.i) 4. Los procedimientos de auditora analticos tambin deben utilizarse durante el trabajo para examinar y evaluar informacin que soporte los resultados del trabajo. Los auditores internos deben considerar los siguientes factores al determinar en qu medida se deben utilizar procedimientos analticos de auditora. Despus de evaluar estos factores, los auditores internos deben considerar y utilizar, cuando sea necesario, procedimientos de auditora adicionales para alcanzar los objetivos del trabajo. (Fuente: Libro Rojo 420.01.1.j) La significatividad del rea que se est examinando. La adecuacin del sistema de control interno. La disponibilidad y confiabilidad de la informacin financiera y no financiera. 5. La precisin con que se pueden predecir los resultados de los procedimientos de auditora analticos. La disponibilidad y comparacin de la informacin respecto del sector en el que opera la organizacin. La medida en que otros procedimientos de trabajo proporcionan soporte a los resultados del trabajo.

Cuando los procedimientos de auditora analticos identifican resultados o relaciones inesperados, los auditores internos deben examinar y evaluar dichos resultados o relaciones. Este examen y evaluacin debe incluir tanto investigaciones realizadas por la direccin como la aplicacin de otros procedimientos de trabajo hasta que los auditores internos estn convencidos de que los resultados o las relaciones estn suficientemente explicados. Los resultados o relaciones inesperados como consecuencia de la aplicacin de procedimientos de auditora analticos pueden indicar una situacin relevante como puede ser un error potencial, una irregularidad o un acto ilegal. Los resultados o relaciones que no estn suficientemente explicados se deben comunicar a los niveles de direccin adecuados. Los auditores internos pueden recomendar las acciones apropiadas, en funcin de las circunstancias. (Fuente: Libro Rojo 420.01.1.n)
January 5, 2001

Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher.

171

Consejo para la Prctica 2330-1: Registro de la Informacin

Interpretacin de la Norma 2330 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2330 Registro de la Informacin Los auditores internos deben registrar informacin relevante que les permita soportar las conclusiones y los resultados del trabajo. Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias al registrar la informacin. Esta gua no pretende abarcar todas las consideraciones que pueden ser necesarias, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

1. Los papeles que documentan el trabajo deben ser preparados por el auditor interno y revisados por la direccin de la actividad de auditora interna. Estos papeles de trabajo deben registrar la informacin obtenida y los anlisis efectuados, y deben servir de base para las observaciones y recomendaciones que se efecten. Generalmente, los papeles de trabajo:
o o o o o

Proporcionan el soporte principal de las comunicaciones del trabajo. Ayudan en la planificacin, ejecucin y revisin de los trabajos. Documentan si los objetivos del trabajo se han alcanzado. Facilitan las revisiones por terceros. Suministran una base para evaluar el programa de calidad de la actividad de auditora

interna. Proporcionan un apoyo en circunstancias tales como reclamaciones de seguros, casos de fraude y litigios judiciales. o Ayudan al desarrollo profesional del personal de auditora interna. o Demuestran el cumplimiento de las Normas para el Ejercicio Profesional de la Auditora Interna por la actividad de auditora interna.
o

2. La organizacin, diseo y contenido de los papeles de trabajo depender de la naturaleza del trabajo. Los papeles de trabajo de una auditora deben documentar los siguientes aspectos del proceso de trabajo:
o o o

La planificacin. El examen y evaluacin de la adecuacin y eficacia del sistema de control interno. Los procedimientos de trabajo aplicados, la informacin obtenida y las conclusiones La revisin. La comunicacin. El seguimiento.

alcanzadas.
o o o

3. Los papeles de trabajo deben ser completos e incluir el soporte de las conclusiones del trabajo alcanzadas. Entre otras cosas, los papeles de trabajo pueden incluir:
o o

Documentos de la planificacin y programas de trabajo. Cuestionarios de control, diagramas de flujo, listas de verificacin y descripciones 172

narrativas.
o o o o o o o o o o

Notas y memoranda de las entrevistas. Datos de la organizacin, tales como organigramas y descripciones de puestos de trabajo. Copias de contratos y acuerdos importantes. Informacin sobre las polticas financieras y operativas. Resultados de las evaluaciones de los controles. Cartas de confirmacin y representacin. Anlisis y pruebas de transacciones, procesos y saldos contables. Resultados de los procedimientos de auditora analticos. Las comunicaciones finales del trabajo y las respuestas de la direccin. La correspondencia referida al trabajo si la misma documenta las conclusiones

alcanzadas. 4. Los papeles de trabajo pueden estar en forma de papel, cintas, discos, disquetes, pelculas u otros medios. Si se encuentran en un medio distinto al papel, deben tomarse medidas para obtener copias de seguridad. 5. Si los auditores internos estn informando sobre la informacin financiera, los papeles de trabajo deben documentar si los registros contables estn de acuerdo o conciliados con dicha informacin financiera. 6. El director ejecutivo de auditora debe establecer polticas sobre los papeles de trabajo para los diversos tipos de trabajo realizados. Los papeles de trabajo normalizados, tales como cuestionarios y programas de auditora pueden mejorar la eficiencia de un trabajo y facilitar la delegacin del trabajo. Algunos papeles de trabajo pueden ser clasificados como archivos de trabajo permanentes. Estos archivos generalmente contienen informacin de importancia permanente. 7.
o

Las siguientes son tcnicas tpicas de preparacin de papeles de trabajo:

Cada papel de trabajo debe identificar el trabajo y describir los contenidos o propsito del papel de trabajo. o Cada papel de trabajo debe estar firmado (o contener las iniciales) y fechado por el auditor interno que realiz el trabajo. o Cada papel de trabajo debe tener un ndice o nmero de referencia. o Los smbolos (marcas) de las verificaciones de auditora deben estar explicados. o Las fuentes de los datos deben estar claramente identificadas.
Copyright 2001 by The Institute of Internal Auditors, 247 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher.

173

Consejo para la Prctica 2330.A1-1: Control de los Registros del Trabajo

Interpretacin de la Norma 2330.A1 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2330.A1 El director ejecutivo de auditora debe controlar el acceso a los registros del trabajo. El director ejecutivo de auditora debe obtener aprobacin de la direccin superior o de consejeros legales antes de dar a conocer tales registros a terceros, segn corresponda. (Fuente: Libro Rojo 420.01.5.n) Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias referidas al control de los registros del trabajo. Esta gua no pretende abarcar todas las consideraciones que pueden ser necesarias, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

1. Los papeles de trabajo son propiedad de la organizacin. Los archivos de papeles de trabajo deben permanecer normalmente bajo el control de la actividad de auditora interna y deben ser accesibles slo a las personas autorizadas. (Fuente: Libro Rojo 420.01.5.o) 2. La direccin y otros miembros de la organizacin pueden solicitar el acceso a los papeles de trabajo. Dicho acceso puede ser necesario para justificar o explicar las observaciones y recomendaciones o para utilizar dicha documentacin para otros objetivos de la organizacin. El director ejecutivo de auditora debe aprobar estas peticiones. (Fuente: Libro Rojo 420.01.5.p) 3. Es una prctica comn entre los auditores internos y los auditores externos permitir el acceso mutuo a sus respectivos papeles de trabajo. El acceso de los auditores externos a los papeles de trabajo debe ser aprobado por el director ejecutivo de auditora. (Fuente: Libro Rojo 420.01.5.q) 4. Hay circunstancias en las que la peticin de acceso a los papeles de trabajo y a los informes se realiza por terceros ajenos a la organizacin, distintos de los auditores externos. Antes de dar a conocer dicha documentacin, el director ejecutivo de auditora debe obtener la aprobacin de la alta direccin o de la asesora jurdica, segn proceda. (Fuente: Libro Rojo 420.01.5.r)
Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher. January 5, 2001

174

Consejo para la Prctica 2330.A1-2: Consideraciones Legales al Permitir el Acceso a los Registros del Trabajo
Interpretacin de la Norma 2330.A1 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2330.A1 Registro de la Informacin El director ejecutivo de auditora debe controlar el acceso a los registros del trabajo. El director ejecutivo de auditora debe obtener aprobacin de la direccin superior o de consejeros legales antes de dar a conocer tales registros a terceros, segn corresponda. (Fuente: Libro Rojo 420.01.5.n) Naturaleza de este Consejo para la Prctica: Los auditores internos deben tener en cuenta las siguientes sugerencias cuando deban considerar permitir el acceso a los registros del trabajo a personas fuera de la actividad de auditora interna. Esta gua no pretende abarcar todas las consideraciones que puedan ser necesarias. El cumplimiento de este Consejo para la Prctica es opcional.

Advertencia Se alienta a los auditores internos a buscar consejo legal en todos los asuntos con implicaciones legales, dado que los requerimientos pueden variar significativamente en las distintas jurisdicciones. La gua contenida en este Consejo para la Prctica est basada fundamentalmente en el sistema legal de los Estados Unidos de Norteamrica. 1. Los registros de los trabajos de auditora interna comprenden informes, documentacin de soporte, notas de revisin y correspondencia, sin importar el medio de almacenamiento. Los auditores internos, con el apoyo de la direccin y los Consejos de gobierno a quienes proporcionan sus servicios de auditora, elaboran los registros de sus trabajos. Estos registros se producen generalmente bajo la presuncin de que su contenido es confidencial, y pueden contener una mezcla de hechos y opiniones. Sin embargo, quienes que no estn familiarizados de forma cercana con la organizacin o su proceso de auditora interna podran interpretar errneamente estos hechos y opiniones. El acceso a los registros del trabajo por parte de terceros ha sido requerido en varios y diferentes tipos de procedimientos, incluyendo enjuiciamientos criminales, juicios civiles, auditoras de impuestos, revisiones de regulaciones, revisiones de contratos con el gobierno, y revisiones por parte de organizaciones de auto regulacin. Prcticamente todos los registros de una organizacin que no estn protegidos por el secreto profesional son accesibles en los procedimientos criminales. En procedimientos no criminales, en cambio, la cuestin del acceso es menos clara. 2. Las prcticas explcitas en los siguientes documentos de la actividad de auditora interna pueden aumentar el control de acceso a los registros del trabajo. Estas sugerencias sern comentadas en los prrafos siguientes:

Estatuto Descripciones de Tareas Polticas Internas del Departamento Procedimientos para Tratar Investigaciones con Asesoramiento Legal

3. El Estatuto de auditora interna debe indicar el acceso y control de los registros e informacin de la organizacin, sin importar el medio de almacenamiento utilizado para los mismos. 4. Deben crearse descripciones de tareas por escrito para la actividad de auditora interna, que incluyan las complejas y variadas tareas que desempean los auditores. Estas descripciones 175

176

Consejo para la Prctica 2330.A2-1: Retencin de los Registros

Interpretacin de la Norma 2330.A2 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2330.A2 El director ejecutivo de auditora interna debe establecer requisitos de custodia para los registros del trabajo. Estos requisitos de retencin deben ser consistentes con las guas de la organizacin y cualquier regulacin pertinente u otros requerimientos. (Fuente: Libro Rojo 420.01.5.s) Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias al establecer requisitos de custodia para los registros del trabajo. Esta gua no pretende abarcar todas las consideraciones que pueden ser necesarias, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

1. Los requerimientos de retencin de registros deben ser diseados de modo que incluyan a todos los registros del trabajo, sea cual fuere el medio de archivo de dichos registros. (Fuente: Nuevo)
Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher. January 5, 2001

177

Consejo para la Prctica 2340-1: Supervisin del Trabajo

Interpretacin de la Norma 2340 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2340 Supervisin del Trabajo Los trabajos deben ser supervisados para asegurar objetivos, la calidad del desarrollo profesional (Fuente: Libro Rojo 230) adecuadamente el logro de sus trabajo, y el del personal. Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias al supervisar trabajos. Esta gua no pretende abarcar todas las consideraciones que pueden ser necesarias, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

1. El director ejecutivo de auditora es responsable de que exista una adecuada supervisin del trabajo. La supervisin es un proceso que comienza con la planificacin y contina a travs de las fases de examen, evaluacin, comunicacin y seguimiento del trabajo. La supervisin incluye: (Fuente: Libro Rojo 230.01) Asegurar que los auditores posean los conocimientos, tcnicas y dems competencias para desempear el trabajo. Proporcionar instrucciones adecuadas durante la planificacin y aprobar el programa de trabajo. Comprobar que se ejecuta el programa de trabajo aprobado, a menos que se justifiquen y autoricen modificaciones. Determinar que los papeles de trabajo soportan adecuadamente las observaciones, conclusiones y recomendaciones. Asegurar que las comunicaciones del trabajo sean precisas, objetivas, claras, concisas, constructivas y oportunas. Asegurar que se han cumplido los objetivos del trabajo. Proporcionar oportunidades para que se desarrollen los conocimientos, tcnicas y dems competencias de los auditores internos. (Fuente: Libro Rojo 230.02) 2. Debe documentarse y conservarse evidencia adecuada de la supervisin. El alcance de la supervisin depender de la competencia y experiencia de los auditores internos que intervinieron y de la complejidad del trabajo. El director ejecutivo de auditora tiene la responsabilidad general de la revisin, pero puede designar a miembros adecuadamente experimentados de la actividad de auditora interna para desempear esta tarea. Auditores internos adecuadamente experimentados pueden revisar el trabajo de aquellos menos experimentados. (Fuente: Libro Rojo 230.04, 230.06) 3. Todas las asignaciones de auditora interna, ya sean las realizadas por la actividad de auditora 178

interna o para la misma, son responsabilidad del director ejecutivo de auditora, el cual es responsable de todos los juicios profesionales significativos emitidos durante las fases de planificacin, examen, evaluacin, informe y seguimiento del trabajo. El director ejecutivo de auditora debe adoptar las medidas necesarias para asegurar que se cumpla esta responsabilidad. Dichas medidas incluyen polticas y procedimientos diseados para: Minimizar el riesgo de que los juicios profesionales emitidos por auditores internos o por otras personas que realicen tareas para la actividad de auditora interna, puedan ser inconsistentes con el juicio profesional del director ejecutivo de auditora y produzcan un efecto adverso significativo sobre el trabajo. Resolver diferencias en el criterio profesional entre el director ejecutivo de auditora y los miembros de auditora interna sobre cuestiones importantes relacionadas con el trabajo. Estas medidas pueden incluir: (a) discusin de los hechos pertinentes, (b) nuevas investigaciones y/o revisiones, (c) documentacin y disposicin de los diferentes puntos de vista en los papeles de trabajo. En los casos que existan diferencias de criterio profesional sobre una cuestin tica, las medidas adecuadas pueden incluir la consulta del tema a aquellas personas de la organizacin que tengan la responsabilidad sobre las cuestiones ticas. (Fuente: Libro Rojo 230.05) 4. La supervisin se extiende a la formacin y desarrollo del personal, a la evaluacin de desempeo de los empleados, a los controles de tiempo y gastos, y a reas administrativas similares. (Fuente: Libro Rojo 230.06) 5. Todos los papeles de trabajo deben ser revisados para asegurar que soportan adecuadamente las comunicaciones del trabajo y que todos los procedimientos de auditora necesarios han sido aplicados. La evidencia de la revisin del supervisor consiste en que el supervisor coloque sus iniciales y la fecha en cada papel de trabajo una vez revisado. Otras tcnicas que proporcionan evidencia de la revisin del supervisor incluyen el completar una lista de puntos de revisin de los papeles de trabajo o la preparacin de un memorndum especificando la naturaleza, alcance y resultados de la revisin. (Fuente: Libro Rojo 420.01.5.l) 6. Los revisores pueden registrar por escrito (notas de revisin) las preguntas surgidas en el proceso de revisin. Cuando estas notas se clarifiquen deben asegurarse de que los papeles de trabajo proporcionan la evidencia adecuada de que las cuestiones surgidas durante la revisin han sido resueltas. Las alternativas aceptables en relacin con la disposicin de las notas de revisin son las siguientes: Conservar las notas de revisin como un registro de los temas tratados por el revisor y los pasos dados para su resolucin. Destruir las notas de revisin una vez que los temas tratados han sido resueltos y se han incorporado los papeles de trabajo que proporcionan la informacin adicional solicitada. (Fuente: Libro Rojo 420.01.5.m)
January 5, 2001

Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher.

179

Consejo para la Prctica 2400-1: Consideraciones Legales en la Comunicacin de Resultados

Interpretacin de la Norma 2100 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2400 Comunicacin de Resultados Los auditores internos deben comunicar los resultados del trabajo oportunamente. (Fuente: Libro Rojo 430) Naturaleza de este Consejo para la Prctica: Los auditores internos deben tener en cuenta las siguientes sugerencias cuando comuniquen los resultados de los trabajos de auditora. Esta gua no pretende abarcar todas las consideraciones que puedan ser necesarias en la comunicacin de resultados. El cumplimiento de este Consejo para la Prctica es opcional.

Advertencia Se alienta a los auditores internos a buscar consejo legal en todos los asuntos con implicaciones legales, dado que los requerimientos pueden variar significativamente en las distintas jurisdicciones. La gua contenida en este Consejo para la Prctica est basada fundamentalmente en el sistema legal de los Estados Unidos de Norteamrica. 1. Los auditores internos deben ser cautos cuando incluyan resultados y emitan opiniones en las comunicaciones de auditora y en los papeles de trabajo sobre violaciones de leyes y reglamentaciones y otras cuestiones legales. Se alienta fuertemente a establecer polticas y procedimientos respecto del tratamiento a dar a estos asuntos y a mantener una relacin cercana con las reas apropiadas (consejero legal, cumplimiento, etc.). 2. A los auditores internos se les requiere obtener evidencia, emitir juicios analticos, informar sus resultados, y asegurar que se tome accin correctiva. Los requerimientos de documentar los registros del trabajo de los auditores internos pueden entrar en conflicto con el deseo del consejero legal de no dejar descubierta evidencia alguna que pudiera perjudicar a una defensa. Por ejemplo, an cuando un auditor realiza una investigacin adecuadamente, los hechos revelados pueden perjudicar el caso segn el consejero de la organizacin. Mantener una planificacin y poltica adecuadas es esencial, de modo de que no se produzca una sbita revelacin que coloque al auditor interno y al consejero en posiciones enfrentadas. Estas polticas deben establecer definicin de roles y mtodos de comunicacin. El auditor interno y el consejero corporativo deben tambin fomentar una perspectiva tica y preventiva a travs de la organizacin, sensibilizando y educando a la direccin respecto de las polticas establecidas. Los auditores internos deben tener en cuenta lo siguiente, especialmente en cuanto a los trabajos que puedan causar la revelacin o comunicacin de resultados a terceros fuera de la organizacin. 3. Se necesitan cuatro elementos para proteger el secreto profesional. Debe existir: una comunicacin; efectuada entre personas protegidas por la confidencialidad; en confianza; y con el propsito de buscar, obtener o proporcionar asistencia legal al cliente. La confidencialidad, que es utilizada principalmente para proteger las comunicaciones con los abogados, puede tambin aplicarse a las comunicaciones con terceros que trabajen con el abogado. 4. Algunas cortes han reconocido la confidencialidad de autoanlisis crticos que protege del descubrimiento a materiales crticos como el producto de un trabajo de auditora. En general, el reconocimiento de esta confidencialidad es la premisa del principio de que la confidencialidad de las 180

Consejo para la Prctica 2410-1: Criterios para la Comunicacin

Interpretacin de la Norma 2410 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2410 Criterios para la Comunicacin Las comunicaciones deben incluir los objetivos y alcance del trabajo as como las conclusiones correspondientes, las recomendaciones, y los planes de accin. (Fuente: Libro Rojo 430.04) Norma Relacionada: 2410.A1 La comunicacin final de resultados debe incluir, si corresponde, la opinin general del auditor interno. (Fuente: Libro Rojo 430.04.8) Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias al comunicar los resultados del trabajo. Esta gua no pretende abarcar todas las consideraciones que pueden ser necesarias, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

1. Si bien el formato y contenido de las comunicaciones finales del trabajo pueden variar segn la organizacin o el tipo de trabajo, deben contener, como mnimo, el propsito, alcance y resultados del mismo.(Fuente: Libro Rojo 430.04.1) 2. Las comunicaciones finales del trabajo pueden incluir antecedentes y resmenes. Los antecedentes pueden identificar las unidades y actividades revisadas de la organizacin y proporcionar informacin aclaratoria importante. Tambin pueden incluir la situacin de las observaciones, conclusiones y recomendaciones de informes anteriores. Asimismo, pueden indicar si el informe se refiere a un trabajo planificado o si responde a una peticin. Los resmenes, si estn incluidos, deben ser una expresin equilibrada del contenido de la comunicacin del trabajo. (Fuente: Libro Rojo 430.04.2) 3. La explicacin del propsito debe describir los objetivos del trabajo y, cuando sea necesario, informar al lector sobre las razones que motivaron la realizacin del trabajo y lo que se esperaba conseguir.(Fuente: Libro Rojo 430.04.3) 4. La explicacin del alcance debe identificar las actividades auditadas y, si procede, incluir informacin soporte, como por ejemplo el perodo revisado. Las actividades relacionadas no revisadas deben sealarse cuando sea necesario para definir los lmites del trabajo. Tambin se debe describir la naturaleza y extensin del trabajo realizado. (Fuente: Libro Rojo 430.04.4) 5. Los resultados deben incluir observaciones, conclusiones (opiniones), recomendaciones, y planes de accin. (Fuente: Libro Rojo 430.04.5) 6. Las observaciones son exposiciones pertinentes de los hechos. Las que sean necesarias para apoyar las conclusiones y recomendaciones del auditor interno o para evitar equvocos derivados de stas, deben incluirse en las comunicaciones finales del trabajo. Las observaciones o recomendaciones menos significativas pueden ser comunicadas informalmente. (Fuente: Libro Rojo 430.04.6) 7. Las observaciones y recomendaciones del trabajo surgen de un proceso de comparacin entre lo que debe ser y lo que es. Haya o no diferencia entre ambos aspectos, el auditor interno dispone 181

de una base para elaborar el informe. Cuando la realidad coincide con los criterios previstos, puede ser conveniente reconocer en las comunicaciones del trabajo el adecuado funcionamiento. Las observaciones y recomendaciones deben basarse en los siguientes atributos: Criterios: Los estndares, medidas, o supuestos utilizados al hacer una evaluacin y/o verificacin (lo que debe ser). Realidad (condicin): La evidencia que el auditor interno descubre en su trabajo (lo que es). Causa: La razn de la diferencia entre las situaciones esperadas y las reales (por qu existe la diferencia). Efecto: El riesgo o exposicin en que se encuentra la organizacin u otros terceros, debido a que la realidad no coincide con los criterios (el impacto de la diferencia). Para determinar el grado de riesgo o exposicin, el auditor interno debe considerar el efecto que las observaciones y recomendaciones de su trabajo puedan tener sobre las operaciones y los estados financieros de la organizacin. Las observaciones y recomendaciones tambin pueden incluir logros obtenidos por el cliente del trabajo, cuestiones relacionadas, e informacin soporte que no estuviera incluida en otra parte. (Fuente: Libro Rojo 430.04.7)

8. Las conclusiones (opiniones) son las evaluaciones que hace el auditor interno sobre los efectos de las observaciones y recomendaciones en la actividad revisada. Generalmente, las conclusiones sitan a las observaciones y recomendaciones en perspectiva, basada en todas sus implicancias. Las conclusiones de la auditora, si estn incluidas en el informe, deben estar claramente identificadas como tal. Asimismo, pueden referirse a todo el mbito de la auditora o slo a aspectos determinados. Aunque no estn limitadas a ellos, pueden abarcar aspectos tales como la determinacin de si los objetivos y metas de programas y operaciones estn en consonancia con los de la organizacin, si estos ltimos se estn cumpliendo y si la actividad revisada funciona como se pretende. (Fuente: Libro Rojo 430.04.8) 9. Las comunicaciones del trabajo pueden incluir recomendaciones para mejoras potenciales, reconocimientos de desempeo satisfactorio, y acciones correctivas. Las recomendaciones se basan en las observaciones y conclusiones obtenidas por el auditor interno. Demandan acciones que corrijan la situacin actual o mejoren las operaciones. Pueden sugerir enfoques para corregir o mejorar la gestin que sirvan de gua a la direccin en la obtencin de los resultados deseados. Pueden ser generales o especficas. Por ejemplo, en ciertas circunstancias, puede ser deseable recomendar una lnea general de accin y sugerencias especficas para su puesta en marcha. En otros casos, puede ser apropiado sugerir solamente una investigacin o estudio adicionales. (Fuente: Libro Rojo 430.05 & 430.05.1) 10. Pueden incluirse en las comunicaciones finales del trabajo, los logros obtenidos por el cliente, en trminos de mejoras realizadas desde el ltimo trabajo o del establecimiento de una operacin adecuadamente controlada. Esta informacin puede resultar necesaria para reflejar fielmente la realidad y proporcionar a las comunicaciones finales del trabajo la perspectiva apropiada y el equilibrio adecuado. (Fuente: Libro Rojo 430.05.2) 11. Los puntos de vista del cliente sobre las conclusiones o recomendaciones pueden ser incluidos en las comunicaciones del trabajo. (Fuente: Libro Rojo 430.06) 182

12. Como parte de las conversaciones del auditor interno con el cliente del trabajo, el auditor interno debe intentar conseguir el acuerdo sobre los resultados del trabajo y sobre un plan de accin para mejorar las operaciones, en la medida que sea necesario. Si ambos discrepan sobre los resultados del trabajo, las comunicaciones pueden exponer ambas posiciones y las razones del desacuerdo. Los comentarios escritos del cliente se pueden incluir como apndice al informe del trabajo. Otra alternativa es presentar las opiniones del cliente dentro del mismo informe o en una carta de presentacin. (Fuente: Libro Rojo 430.06.1) 13. Cierta informacin puede no ser apropiada para ser comunicada a todos los receptores del informe, debido a su condicin de confidencial o privada, o por referirse a actos impropios o ilegales. Sin embargo, esta informacin puede presentarse en un informe separado. Si los hechos de los que se informa implican a la alta direccin, el informe se debe distribuir al Consejo de la organizacin. (Fuente: Libro Rojo 430.07.3) 14. Los informes intermedios pueden ser escritos o verbales y pueden ser transmitidos formal o informalmente. Se pueden utilizar para transmitir informacin que requiera atencin inmediata, para comunicar un cambio en el alcance del trabajo que se est realizando, o para mantener informada a la direccin del avance del trabajo cuando ste se prolongue durante un dilatado perodo de tiempo. El uso de informes intermedios no reduce ni elimina la necesidad de un informe final. (Fuente: Libro Rojo 430.01.1) 15. Debe emitirse un informe firmado una vez concluido el trabajo. Puede ser conveniente emitir informes resumidos, que destaquen los resultados de la auditora, para aquellos niveles de direccin superiores jerrquicamente al cliente del trabajo. Pueden emitirse separada o conjuntamente con el informe final. El trmino firmado significa que la firma del auditor interno autorizado, en el informe, debe ser autgrafa. Otra alternativa es que la firma aparezca en una carta de envo o presentacin. El auditor interno autorizado para firmar el informe debe ser designado por el director ejecutivo de auditora. Si los informes del trabajo se distribuyen por medios electrnicos, se debe mantener una versin firmada del informe en el archivo de la actividad de auditora interna. (Fuente: Libro Rojo 430.01.4)
Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher. January 5, 2001

183

Consejo para la Prctica 2420-1: Calidad de las Comunicaciones

Interpretacin de la Norma 2420 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2420 Calidad de las Comunicaciones Las comunicaciones deben ser precisas, objetivas, claras, concisas, constructivas, completas y oportunas. (Fuente: Libro Rojo 430.03) Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias al preparar sus comunicaciones. Esta gua no pretende abarcar todas las consideraciones que pueden ser necesarias, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

1. Las comunicaciones objetivas estn basadas en hechos, son imparciales y estn libres de distorsin. Las observaciones, conclusiones y recomendaciones deben figurar sin prejuicios. (Fuente: Libro Rojo 430.03.1) 2. Las comunicaciones claras son fcilmente comprensibles y lgicas. La claridad puede mejorarse evitando el lenguaje tcnico innecesario y proporcionando suficiente informacin de apoyo. (Fuente: Libro Rojo 430.03.2) 3. Las comunicaciones concisas van a los hechos y evitan detalles innecesarios. Expresan ideas completas con la menor cantidad posible de palabras. (Fuente: Libro Rojo 430.03.3) 4. Las comunicaciones constructivas son las que, como resultado de su contenido y tono, ayudan al cliente del trabajo y a la organizacin, y conducen a mejoras que son necesarias. (Fuente: Libro Rojo 430.03.4) 5. Las comunicaciones oportunas son las emitidas sin retraso indebido y que permiten una accin efectiva rpida. (Fuente: Libro Rojo 430.03.5)
Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher. January 5, 2001

184

Consejo para la Prctica 2440-1: Difusin de Resultados

Interpretacin de la Norma 2440 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2440 Difusin de Resultados El director ejecutivo de auditora debe difundir los resultados a las personas apropiadas. (Fuente: Libro Rojo 430.07) Norma Relacionada: 2440.A1 El director ejecutivo de auditora es responsable de comunicar los resultados finales a las personas que puedan asegurar que se d a los resultados la debida consideracin. (Fuente: Libro Rojo 430.07.2) Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias al difundir los resultados. Esta gua no pretende abarcar todas las consideraciones que pueden ser necesarias, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

1. Los auditores internos deben discutir las conclusiones y recomendaciones con los niveles directivos apropiados antes de emitir las comunicaciones finales del trabajo. (Fuente: Libro Rojo 430.02) 2. La discusin de las conclusiones y recomendaciones se realiza generalmente durante el transcurso del trabajo o en reuniones posteriores a su finalizacin (entrevistas finales). Otra tcnica consiste en la revisin del borrador de los temas, observaciones y recomendaciones del trabajo, por parte de la direccin de la actividad auditada. Estas discusiones y revisiones ayudan a asegurar que no ha habido equvocos o malas interpretaciones de los hechos, al proporcionar al cliente del trabajo la oportunidad de clarificar detalles especficos y de expresar su punto de vista sobre las observaciones, conclusiones y recomendaciones. (Fuente: Libro Rojo 430.02.1) 3. Si bien el nivel de los participantes en las discusiones y revisiones puede variar dependiendo de las organizaciones y de la naturaleza del informe, generalmente deben estar incluidas aquellas personas conocedoras del detalle de las operaciones y aquellas que puedan autorizar la puesta en marcha de la accin correctiva. (Fuente: Libro Rojo 430.02.2) 4. El director ejecutivo de auditora o la persona por l designada debe revisar y aprobar las comunicaciones finales del trabajo antes de su emisin y decidir a quines ha de distribuirse el informe. El director ejecutivo de auditora o la persona en quien delegue debe aprobar y firmar todos los informes finales. Si las circunstancias lo justifican, se podra aceptar que el auditor encargado del trabajo, el auditor supervisor o el auditor jefe firme el informe en representacin del director ejecutivo de auditora. (Fuente: Libro Rojo 430.07) 5. Las comunicaciones finales del trabajo deben distribuirse a aquellos miembros de la organizacin que puedan asegurar que se presta debida atencin a los resultados del trabajo. Esto significa que el informe debe llegar a aquellas personas que se encuentran en disposicin de adoptar las medidas correctivas o de asegurar que se toman estas medidas. Las comunicaciones finales del trabajo se deben remitir al responsable de la actividad revisada. Los miembros de nivel ms alto en la organizacin pueden recibir slo un informe resumido. Tambin pueden distribuirse comunicaciones a otros interesados o partes afectadas, tales como los auditores externos o el Consejo. (Fuente: Libro Rojo 430.07.2)
Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher. January 5, 2001

185

Consejo para la Prctica 2440-2: Comunicaciones Fuera de la Organizacin

Interpretacin de la Norma 2440 de las Normas para el Ejercicio Profesional de la Auditora Interna

Norma Relacionada: 2440 Difusin de Resultados El director ejecutivo de auditora debe difundir los resultados a las personas apropiadas. (Fuente: Libro Rojo 430.07)

Naturaleza de este Consejo para la Prctica: Los auditores internos deben tener en cuenta la siguiente gua cuando se les solicite difundir informacin fuera de la organizacin. Tal situacin se puede producir cuando se les requiere a los auditores internos entregar un informe u otra informacin a alguien de fuera de la organizacin para la cual han sido proporcionados los servicios de auditora interna. Esta gua es un conjunto de temas recomendados para ser tenidos en cuenta y no pretende abarcar todas las consideraciones que puedan ser necesarias. El cumplimiento de este Consejo para la Prctica es opcional.

1. Los auditores internos deben revisar la gua contenida en el acuerdo del trabajo o en las polticas de la organizacin y los procedimientos relacionados para difundir informacin fuera de la organizacin. El Estatuto de la actividad de auditora interna y el Estatuto del comit de auditora podrn tambin contener alguna gua relacionada con este asunto. Si no existiera tal gua, el auditor interno debe facilitar la adopcin de polticas apropiadas por parte de la organizacin. A continuacin se citan algunos ejemplos de informacin que pudiera incluirse en estas polticas:

La autorizacin requerida para difundir informacin fuera de la organizacin. El proceso para obtener aprobacin para difundir informacin fuera de la organizacin. Pautas sobre los tipos de informacin permitidos y no permitidos de ser difundidos.

Personas de fuera de la organizacin autorizadas a recibir informacin y el tipo de informacin que pueden recibir. Las regulaciones de privacidad, las regulaciones de otro tipo y las consideraciones legales relacionadas con la difusin de informacin fuera de la organizacin. La naturaleza de los aseguramientos, consejos, recomendaciones, opiniones, gua y dems informacin que pueden ser incluidas en comunicaciones que den por resultado la difusin de informacin fuera de la organizacin. 2. Las solicitudes pueden estar relacionadas con informacin que ya existe. Por ejemplo, un informe de auditora previamente emitido. Tambin pueden recibirse solicitudes de informacin que tiene que ser creada o determinada, dando por resultado un nuevo trabajo de auditora interna. Si la solicitud se refiere a una informacin o informe que ya existe, el auditor interno debe revisar la informacin para determinar si puede ser difundida fuera de la organizacin. 3. En ciertas situaciones puede ser posible revisar un informe o informacin existente para adecuarlo a su difusin fuera de la organizacin. En otras situaciones puede ser posible generar un nuevo informe basado en el trabajo previamente realizado. Se debe ejercer el debido cuidado profesional al revisar, adaptar o crear un nuevo informe basado en un trabajo previamente realizado. 186

4. Cuando se difunda informacin fuera de la organizacin deben tenerse en cuenta los siguientes aspectos:

La necesidad de un acuerdo respecto de la informacin a ser difundida.

La identificacin de los suministradores de informacin, fuentes, firmantes de informes, receptores de informacin, y personas relacionadas con el informe o informacin difundida. La identificacin de objetivos, alcance y procedimientos a desempear en la generacin de informacin aplicable. La naturaleza del informe u otra comunicacin, incluyendo opiniones, inclusin o exclusin de recomendaciones, descargos, limitaciones, y tipo de aseguramiento o aseveracin a ser proporcionado. Las cuestiones de derechos de autor y las limitaciones a la distribucin o a compartir con posterioridad la informacin. 5. Los trabajos desempeados para generar informes de auditora interna o comunicaciones a ser difundidas fuera de la organizacin deben realizarse de acuerdo a las Normas para el Ejercicio Profesional de la Auditora Interna e incluir la referencia a las Normas correspondientes en dicho informe o comunicacin. 6. Si durante la realizacin de trabajos para difundir informacin fuera de la organizacin el auditor interno descubre informacin que considere que debe ser informada a la direccin o al comit de auditora, el auditor interno deber proporcionar la informacin adecuada a las personas apropiadas.
Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher. May 15, 2001

187

Consejo para la Prctica 2440-3: Comunicacin de Informacin Delicada Dentro y Fuera de la Cadena de Mando
Interpretacin de la Norma 2440 y la Norma 2600 de las Normas para el Ejercicio Profesional de la Auditora
Interna y las Reglas de Conducta de Integridad y Confidencialidad Contenidas en el Cdigo de tica.

Norma Relacionada: 2440 Difusin de Resultados El director ejecutivo de auditora debe comunicar los resultados a las partes apropiadas. 2600 Aceptacin de los Riesgos por la Direccin Cuando el director ejecutivo de auditora considere que la alta direccin ha aceptado un nivel de riesgo residual que pueda ser inaceptable para la organizacin, debe discutir esta cuestin con la alta direccin. Si la decisin referida al riesgo residual no se resuelve, el director ejecutivo de auditora y la alta direccin deben informar esta situacin al Consejo para su resolucin. Reglas de Conducta Relacionadas, Contenidas en el Cdigo de tica Integridad Los auditores internos: 1.1 Desempearn su trabajo con honestidad, diligencia y responsabilidad. 1.2 Respetarn las leyes y divulgarn lo que corresponda de acuerdo con la ley y la profesin. 1.3 No participarn a sabiendas de una actividad ilegal o de actos que vayan en detrimento de la profesin de auditora interna o de la organizacin. 1.4 Respetarn y contribuirn a los objetivos legtimos y ticos de la organizacin. Reglas de Conducta Relacionadas, Contenidas en el Cdigo de tica Confidencialidad Los auditores internos: 3.1 Sern prudentes en el uso y proteccin de la informacin adquirida en el transcurso de su trabajo. 3.2 No utilizarn informacin para lucro personal o de alguna manera que fuera contraria a la ley o en detrimento de los objetivos legtimos y ticos de la organizacin

Naturaleza de este Consejo para la Prctica: El auditor interno puede descubrir informacin sobre exposiciones, amenazas, incertidumbres, fraudes, desperdicios y mala administracin, actividades ilegales, abuso de poder, mala conducta que pone en peligro la salud pblica o la seguridad, u otras fechoras. En algunos casos, la nueva informacin tendr consecuencias significativas, y la evidencia que la soporta ser sustancial y creble. El dilema que se le presenta al auditor interno en este tipo de situaciones es complejo, muchas veces con implicaciones segn las diferencias culturales y prcticas de negocio, estructuras legales, leyes nacionales y locales, as como normas profesionales, cdigos de tica y valores personales. La manera en que el auditor interno trata de resolver estas situaciones puede crear represalias y obligaciones potenciales. Dados estos riesgos y ramificaciones, el auditor interno debe proceder con cautela al evaluar la evidencia y razonabilidad de sus conclusiones, y examinar las diversas acciones potenciales que pudieran tomarse para comunicar la informacin delicada a las personas que tienen autoridad para resolver el asunto y detener la actividad inadecuada. En algunos pases, ciertas acciones pueden estar ordenadas por leyes o regulaciones locales. Ofrecemos este Consejo para la Prctica con el nimo de estimular el pensamiento sobre los muchos problemas y desafos que el auditor interno puede enfrentar en estas situaciones. Si bien proporciona informacin y sugiere factores que pueden ser tenidos en cuenta por el auditor interno, este Consejo para la Prctica no constituye un examen integral del tema y no ofrece consejo legal o experto para el auditor. Los auditores internos deben requerir consejo legal cuando la situacin sea delicada y tenga consecuencias significativas. Este Consejo para la Prctica fue elaborado con el mayor cuidado y despus de largas deliberaciones. Sin embargo, el IIA no asume responsabilidad por el uso de la informacin contenida en este Consejo para la Prctica o por su aplicacin a situaciones especficas, y no otorga aseguramiento de que las acciones sugeridas sean exitosas. El cumplimiento de este Consejo para la Prctica es opcional.

1. Los auditores internos a menudo pasan a tener informacin que es sumamente delicada y sustancial para la organizacin y tiene consecuencias potenciales significativas. Esa informacin puede referirse a exposiciones, amenazas, incertidumbres, fraudes, desperdicios y mala administracin, actividades ilegales, abuso de poder, mala conducta que pone en peligro la salud pblica o la seguridad, u otras fechoras. Este tipo de asuntos puede afectar adversamente la reputacin, imagen, 188

competitividad, xito, viabilidad, valores de mercado, inversiones y activos intangibles, o ganancias de la organizacin. Pueden incrementar las exposiciones al riesgo de la organizacin. Comunicacin de Informacin Delicada a la Cadena de Mando 2. Una vez que el auditor interno ha decidido que la nueva informacin es sustancial y creble, normalmente procedera a comunicarla, en forma oportuna, a aquellos que en la direccin puedan actuar sobre la misma. En la mayora de las instancias, esas comunicaciones resolvern el tema desde la perspectiva de auditora interna, hasta que la direccin tome las acciones apropiadas para manejar los riesgos asociados. Si las comunicaciones tienen como conclusin que la direccin, por sus acciones inadecuadas o por falta de ellas, est exponiendo a la organizacin a un nivel inaceptable de riesgo, el director ejecutivo de auditora (DEA) debe considerar otras opciones para lograr una solucin satisfactoria. 3. Entre las acciones posibles, el DEA puede plantear sus preocupaciones sobre la exposicin al riesgo a la alta direccin dentro de su cadena de mando normal. Dado que el comit de auditora u otro comit del rgano de gobierno tambin se supone que est en la cadena de mando del DEA, los miembros del comit del Consejo estaran normalmente al tanto de lo planteado por el DEA. Si el DEA, luego de aquellos planteamientos ante la alta direccin an se siente insatisfecho y concluye que la ata direccin est exponiendo a la organizacin a un nivel inaceptable de riesgo y no est llevando a cabo las acciones apropiadas para detener o corregir la situacin, la alta direccin y el DEA presentaran la informacin esencial y sus diferencias de opinin a los miembros o a un comit del rgano de gobierno. 4. Este simple escenario de comunicaciones en la cadena de mando puede verse acelerado por cierto tipo de acontecimientos delicados, debido a leyes nacionales, regulaciones o prcticas habituales. Por ejemplo, en el caso de evidencia de informacin financiera fraudulenta por una compaa con cotizacin pblica de acciones en los Estados Unidos de Norteamrica, las regulaciones establecen que el comit de auditora y el Consejo de Administracin sean informados inmediatamente de las circunstancias que rodean la posibilidad de informes financieros inexactos, an cuando la alta direccin y el DEA estn de acuerdo sustancialmente en qu tipo de acciones se deben tomar. Las leyes y regulaciones en varios pases especifican que los miembros o un comit del rgano de gobierno sean informados de los descubrimientos de violaciones del derecho penal y leyes referidas a valores, alimentacin, drogas o contaminacin, y otros actos ilegales, tales como sobornos u otros pagos indebidos a oficiales del gobierno o a agentes de los proveedores o clientes.

Comunicaciones Fuera de la Cadena de Mando 5. En algunas situaciones, el auditor interno puede enfrentarse al dilema de considerar si ha de comunicar la informacin descubierta a personas fuera de la cadena normal de mando o incluso fuera de la organizacin. El acto de revelar informacin adversa a alguien en la organizacin que est fuera de la cadena normal del individuo, o a una agencia gubernamental u otra autoridad que es totalmente ajena a la organizacin, normalmente se denomina "denuncia". 6. En estudios realizados sobre la denuncia, se ha indicado que la mayora de los denunciantes revelan la informacin delicada internamente, an cuando sea fuera de la cadena de mando normal, especialmente si confan en las polticas y mecanismos de la organizacin para investigar una alegacin de una actividad ilegal o indebida y para tomar las acciones apropiadas. Sin embargo, algunas personas que poseen informacin delicada pueden decidir llevar la informacin fuera de la organizacin, especialmente si temen al castigo por parte de sus empleadores o compaeros empleados, si tienen dudas de que el asunto ser adecuadamente investigado, si creen que ser ocultado, o poseen evidencias sobre una actividad ilegal o indebida que ponga en peligro la salud, la seguridad o el bienestar de la gente en la organizacin o la comunidad. El motivo principal de la 189

mayora de los denunciantes que actan de buena fe es detener el comportamiento ilegal, daino o indebido. 7. El auditor interno que est enfrentando un dilema similar y necesita considerar todas las opciones posibles deber evaluar formas alternativas para comunicar el riesgo a alguna persona o grupo que est fuera de su cadena de mando normal. Dados los riesgos y ramificaciones asociados con estos enfoques, el auditor interno debe proceder con cautela para evaluar la evidencia y la razonabilidad de sus conclusiones y para examinar los mritos y desventajas de cada accin potencial. Tomar este tipo de acciones por parte del auditor interno puede ser apropiado si produjera acciones responsables por personas en posiciones de alta direccin o gobierno, tales como miembros del rgano de gobierno o de uno de sus comits. El auditor interno probablemente considerara como ltima opcin la comunicacin fuera de la estructura de gobierno de la organizacin. El auditor interno reservara este tipo de accin para aquellas raras ocasiones en que est convencido de que el riesgo y sus posibles consecuencias son serios y hay una alta probabilidad de que los mecanismos de direccin y gobierno de la organizacin no pueden o no tratarn el riesgo de forma eficaz.

8. Muchos pases miembros de la OCDE (Organizacin para la Cooperacin y el Desarrollo Econmico) tienen leyes o regulaciones administrativas que requieren que los funcionarios pblicos que tengan conocimiento de actos ilegales o no ticos los informen a un inspector general, otro oficial pblico, o un ombudsman (defensor del pueblo). Algunas leyes nacionales referidas a la acciones del tipo de las denuncias protegen a los ciudadanos cuando revelan determinados tipos de actividades indebidas. Entre estas actividades mencionadas en las leyes y regulaciones de esos pases se encuentran: Delitos penales y otras faltas de cumplimiento de obligaciones legales. Actos que se consideran errores judiciales. Actos que ponen en peligro la salud, seguridad o bienestar de las personas. Actos que daan el medio ambiente. Actividades que ocultan o encubren cualquiera de las mencionadas anteriormente. Otros pases, en cambio, no ofrecen ninguna gua o proteccin. El auditor interno debe ser consciente de las leyes y regulaciones de las diversas localidades en que la organizacin opera y debe llevar a cabo acciones que sean consistentes con esos requerimientos legales. El auditor interno debe considerar obtener consejo legal cuando est inseguro respecto de los requerimientos legales aplicables. 9. Muchas asociaciones profesionales exigen a sus miembros la obligacin de revelar las actividades ilegales o no ticas. La marca que distingue a una "profesin" es su aceptacin de las amplias responsabilidades ante el pblico y su proteccin del bienestar general. Adems de examinar los requerimientos legales, los socios del IIA y todos los Auditores Internos Certificados (Certified Internal Auditors - CIAs) deben seguir los requerimientos establecidos en el Cdigo de tica del Instituto de Auditores Internos concernientes a los hechos ilegales o no ticos.

Decisin del Auditor Interno 10. El auditor interno tiene la obligacin profesional y la responsabilidad tica de evaluar cuidadosamente todas las evidencias y la razonabilidad de sus conclusiones, y decidir si pueden necesitarse acciones posteriores para proteger los intereses de la organizacin, sus grupos de inters, la comunidad externa, o las instituciones de la sociedad. Adems, el auditor deber considerar la obligacin de confidencialidad impuesta por el Cdigo de tica del Instituto de Auditores Internos con respecto al valor y propiedad de la informacin y evitar revelarla sin la apropiada autoridad, a menos de que exista una obligacin legal o profesional de hacerlo. En este proceso de evaluacin, el auditor debe procurar el asesoramiento de un consejero legal y, si fuera necesario, de otros expertos. Estos debates pueden ser tiles para brindar una perspectiva diferente de las circunstancias as como ofrecer opiniones sobre el impacto potencial y las consecuencias de las diversas acciones posibles. 190

La manera en que el auditor interno trata de resolver este tipo de situaciones complejas y delicadas puede crear represalias y obligaciones potenciales. 11. Finalmente, el auditor interno tiene que tomar una decisin personal. La decisin de comunicar fuera de la cadena de mando debe basarse en la opinin bien informada de que el hecho indebido est soportado por evidencia sustancial y creble y de que un imperativo legal o regulatorio o una obligacin profesional o tica requieren acciones posteriores. El motivo de la actuacin del auditor debe ser el deseo de detener la actividad injusta, daina o impropia.
Copyright 2001, The Institute of Internal Auditors Origen: 14 de mayo de 2001.

191

Consejo para la Prctica 2500-1: Supervisin del Progreso

Interpretacin de la Norma 2500 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2500 Supervisin del Progreso El director ejecutivo de auditora debe establecer y mantener un sistema para supervisar la disposicin de los resultados comunicados a la direccin. (Fuente: Libro Rojo 440.01.12) Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias al supervisar el progreso de los resultados comunicados a la direccin. Esta gua no pretende abarcar todas las consideraciones que pueden ser necesarias, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

1. El director ejecutivo de auditora debe establecer procedimientos que incluyan lo siguiente: Un marco de tiempo dentro del cual se requiera la respuesta de la direccin a las observaciones y recomendaciones del trabajo. Una evaluacin de la respuesta de la direccin. Una verificacin de la respuesta (si corresponde). Un trabajo de seguimiento (si corresponde). Un procedimiento de comunicacin, a los niveles adecuados de direccin, que incida en las respuestas o acciones insatisfactorias, incluyendo la asuncin del riesgo. (Fuente: Libro Rojo 440.01.12) 2. Ciertas observaciones y recomendaciones informadas pueden ser tan significativas que requieran accin inmediata por parte de la direccin. Estas situaciones deben ser controladas por la actividad de auditora interna hasta su correccin, debido al efecto que pueden tener sobre la organizacin. (Fuente: Libro Rojo 440.01.7) 3. Entre las tcnicas utilizadas para realizar una supervisin eficaz del progreso, se encuentran: Dirigir las observaciones y recomendaciones del trabajo a los niveles adecuados responsables de llevar a cabo la accin correctiva. Recibir y evaluar las respuestas de la direccin a las observaciones y recomendaciones del trabajo durante la realizacin del mismo o dentro de un perodo razonable despus de comunicar los resultados del trabajo. Las respuestas son ms tiles si incluyen la informacin suficiente que permita al director ejecutivo de auditora evaluar la adecuacin y oportunidad de la accin correctiva. Recibir actualizaciones peridicas de parte de la direccin con el fin de evaluar los esfuerzos llevados a cabo para corregir las situaciones previamente comunicadas. Recibir y evaluar informes de otras unidades de la organizacin que tengan asignada responsabilidad en procedimientos de naturaleza similar al seguimiento. Informar a la alta direccin o al Consejo sobre la situacin de las respuestas a las observaciones y recomendaciones del trabajo. (Fuente: Libro Rojo 440.01.13)
Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher. January 5, 2001

192

193

Consejo para la Prctica 2500.A1-1: Proceso de Seguimiento

Interpretacin de la Norma 2500.A1 de las Normas para el Ejercicio Profesional de la Auditora Interna Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes El director ejecutivo de auditora debe establecer sugerencias cuando establezcan procesos de seguimiento. un proceso de seguimiento, para supervisar y Esta gua no pretende abarcar todas las consideraciones que asegurar que las acciones de la direccin hayan pueden ser necesarias, sino ser simplemente un conjunto de sido efectivamente implantadas o que la direccin temas recomendados para ser tenidos en cuenta. El superior ha aceptado el riesgo de no tomar cumplimiento de este Consejo para la Prctica es opcional. accin. (Fuente: Libro Rojo 440.01) Norma Relacionada: 2500.A1

1. Los auditores internos deben determinar que se han tomado las medidas correctivas y que se estn logrando los resultados deseados, o que la direccin o el Consejo ha asumido el riesgo de no adoptar las medidas correctivas sobre las observaciones informadas. (Fuente: Libro Rojo 440.01) 2. El seguimiento se define como un proceso por el cual los auditores internos determinan la adecuacin, eficacia y oportunidad de las medidas tomadas por la direccin con relacin a las observaciones y recomendaciones del trabajo informadas, incluso aquellas efectuadas por los auditores externos y otros. (Fuente: Libro Rojo 440.01.1) 3. La responsabilidad del seguimiento debe estar definida en el Estatuto escrito de la actividad de auditora interna. La naturaleza, calendario y alcance del seguimiento deben ser determinados por el director ejecutivo de auditora. Los factores que deben tenerse en cuenta para determinar los procedimientos de seguimiento adecuados son: La significatividad de las observaciones y recomendaciones informadas. El grado de esfuerzo y de costo necesarios para corregir la situacin informada. Los impactos que pudieran derivarse si la accin correctiva falla. La complejidad de la accin correctiva. El perodo involucrado. (Fuente: Libro Rojo 440.01.6) 4. Tambin puede haber casos en que el director ejecutivo de auditora juzgue que la respuesta oral o escrita de la direccin muestre que la medida ya tomada es suficiente con relacin a la importancia relativa de las observaciones o recomendaciones del trabajo. En tales ocasiones, el seguimiento puede realizarse como parte del siguiente trabajo. (Fuente: Libro Rojo 440.01.8) 5. Los auditores internos deben determinar si las medidas tomadas sobre las observaciones y recomendaciones del trabajo solucionan los problemas de fondo. (Fuente: Libro Rojo 440.01.9) 6. El director ejecutivo de auditora es responsable de programar las actividades de seguimiento, como parte de la programacin de trabajos a realizar. La programacin del seguimiento debe basarse en el riesgo y la exposicin al mismo, as como en el grado de dificultad y la cantidad de tiempo necesaria para implantar la accin correctiva. (Fuente: Libro Rojo 440.01.11)
Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher. January 5, 2001

194

Consejo para la Prctica 2600-1: Aceptacin de los Riesgos por la Direccin

Interpretacin de la Norma 2600 de las Normas para el Ejercicio Profesional de la Auditora Interna Norma Relacionada: 2600 Aceptacin de los Riesgos por la Direccin Cuando el director ejecutivo de auditora considere que la alta direccin ha aceptado un nivel de riesgo residual que es inaceptable para la organizacin, debe discutir esta cuestin con la alta direccin. Si la decisin referida al riesgo residual no se resuelve, el director ejecutivo de auditora y la alta direccin deben informar esta situacin al Consejo para su resolucin. (Fuente: Libro Rojo 440.01.4) Naturaleza de este Consejo para la Prctica Los auditores internos deben tener en cuenta las siguientes sugerencias referidas a la aceptacin de los riesgos por la direccin. Esta gua no pretende abarcar todas las consideraciones que pueden ser necesarias, sino ser simplemente un conjunto de temas recomendados para ser tenidos en cuenta. El cumplimiento de este Consejo para la Prctica es opcional.

1. La direccin es responsable de decidir las medidas adecuadas a adoptar en respuesta a las observaciones y recomendaciones del trabajo. El director ejecutivo de auditora es responsable de evaluar tales medidas adoptadas por la direccin para la resolucin oportuna de los asuntos informados como observaciones y recomendaciones del trabajo. Para determinar el alcance del seguimiento, los auditores internos deben tener en cuenta los procedimientos de naturaleza similar al seguimiento aplicados por otros en la organizacin. (Fuente: Libro Rojo 440.01.3) 2. Tal como se establece en la Seccin 2060 de las Normas, prrafo 6 del Consejo para la Prctica 2060-1, la alta direccin puede decidir asumir el riesgo de no corregir la situacin informada por razones de costo u otras consideraciones. El Consejo debe ser informado de tales decisiones tomadas por la alta direccin con respecto a todas las observaciones y recomendaciones del trabajo significativas. (Fuente: Libro Rojo 440.01.4)
Copyright 2001 by The Institute of Internal Auditors, 249 Maitland Avenue, Altamonte Springs, Florida 32701-4201. All rights reserved. Under copyright laws and agreements, no part of this publication may be reproduced, stored in a retrieval system, or transmitted in any form by any means - electronic, mechanical, photocopying, recording, or otherwise - without prior written permission of the publisher. January 5, 2001

195