Auditoría interna

La auditoría interna es una actividad de aseguramiento y consultoría administrada internamente, diseñada para agregar valor y mejorar las operaciones de una organización. Ayuda a una organización a lograr sus objetivos al brindar un enfoque sistemático y disciplinado para evaluar y mejorar la eficacia de la gestión de riesgos , el control y los procesos de gobernanza . ^{[ 1 ]} La auditoría interna puede lograr este objetivo al proporcionar información y recomendaciones basadas en análisis y evaluaciones de datos y procesos de negocio . ^{[ 2 ]} Con un compromiso con la integridad y la rendición de cuentas , la auditoría interna aporta valor a los órganos de gobierno y a la alta dirección como una fuente objetiva de asesoramiento independiente. Los profesionales llamados auditores internos son empleados dentro de las organizaciones para realizar la actividad de auditoría interna.

El alcance de la auditoría interna dentro de una organización puede ser amplio y abarcar temas como la gobernanza, la gestión de riesgos y los controles de gestión sobre: ​​la eficiencia/eficacia de las operaciones (incluida la protección de los activos), la fiabilidad de los informes financieros y de gestión, ^{[ 3 ] [ 4 ]} y el cumplimiento de las leyes y reglamentos. La auditoría interna también puede incluir la realización de auditorías proactivas de fraude para identificar actos potencialmente fraudulentos; la participación en investigaciones de fraude bajo la dirección de profesionales en investigación de fraude, y la realización de auditorías de fraude posteriores a la investigación para identificar fallas en los controles y establecer pérdidas financieras.

Los auditores internos no son responsables de la ejecución de las actividades de la empresa; asesoran a la gerencia y al consejo de administración (o a un órgano de supervisión similar ) sobre cómo mejorar el desempeño de sus responsabilidades . Debido a su amplio ámbito de actuación, los auditores internos pueden tener una gran variedad de formación académica y experiencia profesional.

El Instituto de Auditores Internos (IIA) es el organismo internacional reconocido para la normalización de la profesión de auditoría interna y otorga la certificación de Auditor Interno Certificado (CIA) a nivel internacional mediante un riguroso examen escrito. Existen otras certificaciones en ciertos países. ^{[ 5 ]} En Estados Unidos, las normas profesionales del Instituto de Auditores Internos se han codificado en las leyes estatales relativas a la práctica de la auditoría interna en el gobierno (Nueva York, Texas y Florida son tres ejemplos). También existen otros organismos internacionales de normalización.

Los auditores internos trabajan para agencias gubernamentales (federales, estatales y locales), empresas que cotizan en bolsa y organizaciones sin fines de lucro de todos los sectores. Los departamentos de auditoría interna están dirigidos por un director de auditoría (CAE, por sus siglas en inglés), quien generalmente reporta al comité de auditoría del consejo de administración , con dependencia jerárquica administrativa del director ejecutivo (en Estados Unidos, esta relación jerárquica es obligatoria por ley para las empresas que cotizan en bolsa).

La profesión de auditoría interna evolucionó de manera constante con el progreso de la ciencia de la administración después de la Segunda Guerra Mundial. Conceptualmente, es similar en muchos aspectos a la auditoría financiera realizada por firmas de contabilidad pública , el aseguramiento de la calidad y las actividades de cumplimiento bancario. Si bien algunas de las técnicas de auditoría subyacentes a la auditoría interna derivan de la consultoría de gestión y la contabilidad pública, la teoría de la auditoría interna fue concebida principalmente por Lawrence Sawyer (1911-2002), a menudo considerado "el padre de la auditoría interna moderna"; ^{[ 6 ]} y la filosofía, teoría y práctica actuales de la auditoría interna moderna, tal como las define el Marco Internacional de Prácticas Profesionales (IPPF) del Instituto de Auditores Internos, deben mucho a la visión de Sawyer.

Con la implementación en Estados Unidos de la Ley Sarbanes-Oxley de 2002, la visibilidad y el valor de la profesión aumentaron, ya que muchos auditores internos poseían las habilidades necesarias para ayudar a las empresas a cumplir con los requisitos de la ley . Sin embargo, el enfoque de los departamentos de auditoría interna de las empresas que cotizan en bolsa en las políticas y procedimientos financieros relacionados con la SOX descarriló el progreso logrado por la profesión a finales del siglo XX hacia la visión de Larry Sawyer para la auditoría interna. A partir de 2010, el IIA comenzó nuevamente a abogar por el papel más amplio que la auditoría interna debería desempeñar en el ámbito corporativo, en consonancia con la filosofía del IPPF. ^{[ 7 ]}

Si bien los auditores internos son contratados directamente por su empresa, pueden lograr independencia a través de sus relaciones jerárquicas. La independencia y la objetividad son pilares fundamentales de las normas profesionales del IIA y se abordan en detalle en dichas normas, así como en las guías y recomendaciones prácticas que las respaldan. Las normas del IIA exigen que los auditores internos profesionales sean independientes de las actividades comerciales que auditan. Esta independencia y objetividad se logran mediante la estructura organizativa y las líneas jerárquicas del departamento de auditoría interna. Los auditores internos de las empresas que cotizan en bolsa en Estados Unidos deben reportar directamente al consejo de administración o a un subcomité del mismo (generalmente el comité de auditoría), y no a la gerencia, salvo para fines administrativos.

La independencia organizativa requerida de la dirección permite una evaluación sin restricciones de las actividades y el personal de la dirección y permite a los auditores internos desempeñar su función de manera eficaz. Aunque los auditores internos forman parte de la dirección de la empresa y son pagados por ella, el principal cliente de la actividad de auditoría interna es la entidad encargada de la supervisión de las actividades de la dirección. Normalmente, se trata del comité de auditoría , un comité del consejo de administración . La independencia organizativa se logra de manera efectiva cuando el director de auditoría interna reporta funcionalmente al consejo. Ejemplos de reporte funcional al consejo incluyen que este ^{[ 8 ]} apruebe el estatuto de auditoría interna, apruebe el plan de auditoría interna basado en riesgos y apruebe el presupuesto y el plan de recursos de auditoría interna, reciba comunicaciones del director de auditoría interna sobre el desempeño de la actividad de auditoría interna en relación con su plan y otros asuntos, apruebe las decisiones relativas al nombramiento y la destitución del director de auditoría interna y su remuneración, y realice las consultas pertinentes a la dirección y al director de auditoría interna para determinar si existen limitaciones de alcance o recursos inapropiadas.

La actividad de auditoría interna se centra principalmente en la evaluación del control interno . Según el Marco de Control Interno COSO , el control interno se define ampliamente como un proceso, llevado a cabo por el consejo de administración, la gerencia y demás personal de una entidad, diseñado para proporcionar una seguridad razonable respecto del logro de los siguientes objetivos fundamentales a los que aspiran todas las empresas:

• Eficacia y eficiencia de las operaciones.
• Fiabilidad de los informes financieros y de gestión.
• Cumplimiento de leyes y reglamentos.
• Protección de activos

La dirección es responsable del control interno, que comprende cinco componentes clave: el entorno de control; la evaluación de riesgos; las actividades de control centradas en el riesgo; la información y la comunicación; y las actividades de seguimiento. Los directivos establecen políticas, procesos y prácticas en estos cinco componentes del control de gestión para ayudar a la organización a alcanzar los cuatro objetivos específicos mencionados anteriormente. Los auditores internos realizan auditorías para evaluar si los cinco componentes del control de gestión están presentes y funcionan eficazmente y, de no ser así, formulan recomendaciones para su mejora.

En Estados Unidos, la función de auditoría interna evalúa de forma independiente el sistema de control interno de la dirección e informa de sus resultados a la alta dirección y al comité de auditoría del consejo de administración de la empresa.

Las normas profesionales de auditoría interna exigen que la función evalúe la eficacia de las actividades de gestión de riesgos de la organización . La gestión de riesgos es el proceso mediante el cual una organización identifica, analiza, responde, recopila información y monitorea los riesgos estratégicos que podrían afectar, real o potencialmente, su capacidad para alcanzar su misión y objetivos.

Según el marco de gestión de riesgos empresariales (ERM) de COSO , la estrategia, las operaciones, los informes y los objetivos de cumplimiento de una organización conllevan riesgos estratégicos empresariales asociados: los resultados negativos derivados de eventos internos y externos que impiden a la organización alcanzar sus objetivos. La dirección evalúa el riesgo como parte de las actividades habituales del negocio, tales como la planificación estratégica, la planificación de marketing, la planificación de capital, la presupuestación, la cobertura de riesgos, la estructura de pago de incentivos, las prácticas de crédito/préstamo, las fusiones y adquisiciones, las alianzas estratégicas, los cambios legislativos, la realización de negocios en el extranjero, etc. La normativa Sarbanes-Oxley exige una evaluación exhaustiva de los riesgos de los procesos de información financiera. El asesor jurídico corporativo suele elaborar evaluaciones completas de los litigios actuales y potenciales a los que se enfrenta la empresa. Los auditores internos pueden evaluar cada una de estas actividades o centrarse en el proceso general utilizado para gestionar los riesgos en toda la entidad. Por ejemplo, los auditores internos pueden asesorar a la dirección sobre la presentación de informes de medidas operativas prospectivas al consejo de administración, para ayudar a identificar riesgos emergentes; o bien, pueden evaluar e informar sobre si el consejo y otras partes interesadas pueden tener una seguridad razonable de que el equipo directivo de la organización ha implementado un programa eficaz de gestión de riesgos empresariales.

En las organizaciones de mayor tamaño, se implementan iniciativas estratégicas importantes para alcanzar objetivos e impulsar cambios. Como miembro de la alta dirección, el director de auditoría interna (CAE) puede participar en las actualizaciones sobre el estado de estas iniciativas. Esto le permite informar al comité de auditoría sobre muchos de los principales riesgos que enfrenta la organización, o garantizar que los informes de la dirección sean eficaces para tal fin.

La función de auditoría interna puede ayudar a la organización a abordar su riesgo de fraude a través de una evaluación de riesgo de fraude, utilizando principios de disuasión del fraude . Los auditores internos pueden ayudar a las empresas a establecer y mantener procesos de Gestión de Riesgos Empresariales . ^{[ 9 ]} Este proceso es muy valorado por muchas empresas para establecer e implementar sistemas de gestión eficaces y garantizar que se mantenga la calidad y se cumplan los estándares profesionales. ^{[ 10 ]} Los auditores internos también desempeñan un papel importante al ayudar a las empresas a ejecutar una evaluación de riesgo descendente SOX 404. En estas dos últimas áreas, los auditores internos suelen formar parte del equipo de evaluación de riesgos en un rol de asesoramiento.

La actividad de auditoría interna, en lo que respecta al gobierno corporativo, ha sido tradicionalmente informal, llevándose a cabo principalmente mediante la participación en reuniones y debates con los miembros del consejo de administración. Según el marco de gestión de riesgos empresariales (ERM) de COSO, el gobierno corporativo comprende las políticas, los procesos y las estructuras que utiliza la dirección de la organización para dirigir las actividades, alcanzar los objetivos y proteger los intereses de los diversos grupos de interés de manera coherente con las normas éticas. El auditor interno suele considerarse uno de los cuatro pilares del gobierno corporativo, siendo los otros el consejo de administración, la dirección y el auditor externo. ^{[ 11 ]}

Un aspecto fundamental de la auditoría interna en lo que respecta al gobierno corporativo es ayudar al comité de auditoría del consejo de administración (o equivalente) a desempeñar sus funciones con eficacia. Esto puede incluir informar sobre cuestiones críticas de control de gestión, sugerir preguntas o temas para las agendas de las reuniones del comité de auditoría y coordinar con el auditor externo y la dirección para garantizar que el comité reciba información eficaz. En los últimos años, el IIA ha abogado por una evaluación más formal del gobierno corporativo, especialmente en las áreas de supervisión del riesgo empresarial por parte del consejo, la ética corporativa y el fraude. Véase también el apartado «  Tres líneas de defensa» a continuación.

Con base en la evaluación de riesgos de la organización, los auditores internos, la gerencia y los consejos de supervisión determinan dónde enfocar los esfuerzos de auditoría interna. Esta priorización forma parte del plan de auditoría anual o plurianual . El plan de auditoría suele ser propuesto por el Director de Auditoría Interna (en ocasiones con varias opciones o alternativas) para su revisión y aprobación por el comité de auditoría o el consejo de administración. La actividad de auditoría interna generalmente se lleva a cabo como una o más asignaciones independientes.

Debe adaptarse al propósito específico de la auditoría, y la selección del método de auditoría debe adaptarse a dicho propósito. De lo contrario, se desviará del propósito de la auditoría. ^{[ 12 ]}

Una auditoría interna típica ^{[ 13 ]} implica los siguientes pasos:

1. Establecer y comunicar el alcance y los objetivos de la auditoría a los miembros de la dirección que corresponda.
2. Desarrollar una comprensión del área de negocio que se está analizando, lo que incluye objetivos, mediciones y tipos clave de transacciones, e implica entrevistas y una revisión de documentos; se pueden crear diagramas de flujo y narrativas, si es necesario.
3. Describir los principales riesgos a los que se enfrentan las actividades empresariales comprendidas en el ámbito de la auditoría.
4. Identificar las prácticas de gestión en los cinco componentes de control utilizados para garantizar que cada riesgo clave se controle y supervise adecuadamente. Una lista de verificación de auditoría interna ^{[ 14 ]} puede ser una herramienta útil para identificar riesgos comunes y controles deseados en el proceso o sector específico que se audita.
5. Desarrollar y ejecutar un enfoque de muestreo y prueba basado en el riesgo para determinar si los controles de gestión más importantes están funcionando según lo previsto.
6. Informar sobre los problemas y desafíos detectados y negociar planes de acción con la gerencia para abordarlos.
7. Realizar un seguimiento de los hallazgos reportados a intervalos apropiados. Los departamentos de auditoría interna mantienen una base de datos de seguimiento para este fin.

La duración de una auditoría varía según la complejidad de la actividad auditada y los recursos de auditoría interna disponibles. Muchos de los pasos anteriores son iterativos y es posible que no todos se realicen en la secuencia indicada.

Además de evaluar los procesos de negocio, los especialistas denominados auditores de tecnología de la información (TI) revisan los controles de tecnología de la información .

Los auditores internos suelen emitir informes al final de cada auditoría que resumen sus hallazgos, recomendaciones y cualquier respuesta o plan de acción de la gerencia. Un informe de auditoría puede incluir un resumen ejecutivo (un cuerpo que incluye los problemas o hallazgos específicos identificados y las recomendaciones o planes de acción relacionados) y apéndices con información como gráficos y tablas detallados o información sobre procesos. Cada hallazgo de auditoría dentro del cuerpo del informe puede contener cinco elementos, a veces denominados las "5 C":

1. Condición: ¿Cuál es el problema específico identificado?
2. Criterios: ¿Cuál es el estándar que no se cumplió? El estándar puede ser una política de la empresa u otro punto de referencia.
3. Causa: ¿Por qué se produjo el problema?
4. Consecuencia: ¿Cuál es el riesgo/resultado negativo (o la oportunidad perdida) debido al hallazgo?
5. Medidas correctivas: ¿Qué debe hacer la gerencia ante este hallazgo? ¿Qué se han comprometido a hacer y para cuándo?

Las recomendaciones de un informe de auditoría interna están diseñadas para ayudar a la organización a lograr procesos de gobernanza, riesgo y control eficaces y eficientes relacionados con los objetivos operativos, los objetivos de información financiera y de gestión, y los objetivos de cumplimiento legal y normativo.

Los hallazgos y recomendaciones de la auditoría también pueden estar relacionados con afirmaciones específicas sobre las transacciones, como si las transacciones auditadas fueron válidas o autorizadas, procesadas en su totalidad, valoradas con precisión, procesadas en el período de tiempo correcto y reveladas adecuadamente en los informes financieros u operativos, entre otros elementos.

A continuación se detallan los pasos para lograr la mejora continua a través de los resultados de las auditorías.

• Desarrollar acciones correctivas y preventivas (CAPA) para abordar los problemas de calidad.
• Capacitar a los usuarios o empleados para que desarrollen procesos o procedimientos de auditoría eficaces.
• Mantener una relación estable y saludable con proveedores, vendedores, usuarios, auditores y organismos de auditoría.

Según las normas del IIA, un componente fundamental del proceso de auditoría es la elaboración de un informe equilibrado que permita a los ejecutivos y al consejo de administración evaluar y ponderar los asuntos presentados en el contexto y la perspectiva adecuados. Al proporcionar perspectiva, análisis y recomendaciones prácticas para la mejora del negocio en áreas críticas, los auditores ayudan a la organización a alcanzar sus objetivos.

Las funciones de auditoría interna también pueden desarrollar estrategias funcionales descritas en planes estratégicos plurianuales. El Instituto de Auditores Internos publicó en julio de 2012 una guía profesional sobre cómo elaborar un plan estratégico de auditoría interna a través de una Guía práctica titulada « Desarrollo del plan estratégico de auditoría interna» . ^{[ 16 ]} Un aspecto clave para desarrollar la estrategia de auditoría interna es comprender las expectativas de las partes interesadas, como el comité de auditoría y la alta dirección. Esto ayuda a orientar la función de auditoría interna en su misión de ayudar a la organización a abordar los riesgos a los que se enfrenta. Los temas específicos que se consideran en la planificación estratégica de auditoría interna incluyen:

• Alcance y énfasis: Una función de auditoría interna puede participar en la gestión de riesgos relacionados con la información financiera, las operaciones, el cumplimiento legal y normativo, y la estrategia de la empresa. También pueden existir temas de interés especial para las partes interesadas que varían considerablemente de un año a otro.
• Cartera de servicios: Las funciones de auditoría interna pueden ofrecer servicios de aseguramiento de auditoría tradicionales en todo el espectro de riesgos, así como apoyo a proyectos de consultoría en diversas áreas, como gestión de proyectos, análisis de datos y seguimiento de iniciativas importantes de la empresa. Las funciones de auditoría de mayor tamaño pueden establecer áreas de especialización para gestionar su cartera de servicios.
• Desarrollo de competencias: Las expectativas de las partes interesadas en cuanto al alcance y la cartera de servicios determinan las competencias que necesita la función, lo que influye en las decisiones relativas a la contratación de habilidades específicas y los programas de formación. La función de auditoría interna se utiliza a menudo como un "campo de entrenamiento para la gestión" con el fin de proporcionar a los empleados un conocimiento más profundo de las operaciones de la empresa antes de que roten a un puesto directivo. ^{[ 17 ]}
• Tecnología: Las funciones de auditoría interna utilizan diversas herramientas y software tecnológicos para respaldar el flujo de trabajo del proceso de auditoría, el análisis estadístico y la obtención de datos de los sistemas.

La construcción de la estrategia de IA puede implicar una variedad de conceptos y marcos de gestión estratégica , como la planificación estratégica , el pensamiento estratégico y el análisis FODA . ^{[ 16 ]}

• Auditor certificado de sistemas de información
• Instituto Colegiado de Auditores Internos
• Comité de Organizaciones Patrocinadoras de la Comisión Treadway (COSO)
• Disuasión del fraude
• Instituto de Auditores Internos
• Consejo de Normas Internacionales de Auditoría y Aseguramiento
• Auditoría de sistemas de información
• Auditoría operativa
• auditoría interna basada en riesgos