Control interno

El director ejecutivo (máximo responsable) de la organización tiene la responsabilidad general de diseñar e implementar un control interno eficaz. Más que ninguna otra persona, el director ejecutivo marca la pauta, lo que influye en la integridad, la ética y otros factores de un entorno de control positivo. En una gran empresa, el director ejecutivo cumple con esta función liderando y guiando a los altos directivos y supervisando su gestión. A su vez, los altos directivos asignan la responsabilidad de establecer políticas y procedimientos de control interno más específicos al personal responsable de las funciones de la unidad. En una entidad más pequeña, la influencia del director ejecutivo, a menudo propietario-gerente, suele ser más directa. En cualquier caso, en una estructura de responsabilidad en cascada, un gerente es, en la práctica, el director ejecutivo de su ámbito de responsabilidad. Son especialmente importantes los responsables financieros y sus equipos, cuyas actividades de control se extienden a todas las unidades operativas y demás unidades de la empresa, tanto de arriba hacia abajo como de abajo hacia arriba.

La dirección rinde cuentas al consejo de administración, que proporciona gobernanza, orientación y supervisión. Los miembros eficaces del consejo son objetivos, competentes e inquisitivos. Además, conocen las actividades y el entorno de la entidad y dedican el tiempo necesario para cumplir con sus responsabilidades. La dirección puede eludir los controles e ignorar o reprimir las comunicaciones de sus subordinados, lo que permite a una dirección deshonesta, que tergiversa intencionadamente los resultados, encubrir sus acciones. Un consejo sólido y activo, especialmente cuando se combina con canales de comunicación ascendente eficaces y funciones competentes de finanzas, derecho y auditoría interna, suele ser el más capacitado para identificar y corregir este tipo de problemas.

Los auditores internos y externos de la organización también evalúan la eficacia del control interno mediante su labor. Analizan si los controles están diseñados, implementados y funcionan correctamente, y formulan recomendaciones para su mejora. Asimismo, pueden revisar los controles de tecnología de la información , relacionados con los sistemas informáticos de la organización. Para garantizar la eficacia de los controles internos involucrados en el proceso de información financiera , estos son evaluados por el auditor externo (los contadores públicos de la organización), quien debe emitir una opinión sobre los controles internos de la empresa y la fiabilidad de su información financiera.

El rol y las responsabilidades del comité de auditoría, en términos generales, son: (a) Discutir con la gerencia, los auditores internos y externos y las partes interesadas principales la calidad y adecuación del sistema de controles internos de la organización y el proceso de gestión de riesgos, y su efectividad y resultados, y reunirse regularmente y en privado con el Director de Auditoría Interna; (b) Revisar y discutir con la gerencia y los auditores externos y aprobar los estados financieros auditados de la organización y hacer una recomendación sobre la inclusión de esos estados financieros en cualquier presentación pública. También revisar con la gerencia y el auditor independiente el efecto de las iniciativas regulatorias y contables, así como los asuntos fuera del balance en los estados financieros de la organización; (c) Revisar y discutir con la gerencia los tipos de información que se divulgarán y los tipos de presentaciones que se harán con respecto al comunicado de prensa de ganancias de la compañía y la información financiera y la guía de ganancias proporcionada a los analistas y agencias de calificación; (d) Confirmar el alcance de las auditorías que realizarán los auditores externos e internos, monitorear el progreso y revisar los resultados y revisar los honorarios y gastos. Revisar los hallazgos significativos o los informes de auditoría interna insatisfactorios, o los problemas o dificultades de auditoría encontrados por el auditor externo independiente. Supervisar la respuesta de la gerencia a todos los hallazgos de auditoría; (e) Gestionar las quejas relacionadas con la contabilidad, los controles contables internos o los asuntos de auditoría; (f) Recibir informes periódicos del director ejecutivo, el director financiero y los demás comités de control de la empresa sobre deficiencias en el diseño o funcionamiento de los controles internos y cualquier fraude que involucre a la gerencia u otros empleados con un papel significativo en los controles internos; y (g) Apoyar a la gerencia en la resolución de conflictos de interés. Supervisar la adecuación de los controles internos de la organización y garantizar que se actúe en todos los casos de fraude. El comité de auditoría también tiene un papel clave en la selección y recomendación del nombramiento del auditor externo, y en la aprobación de cualquier servicio distinto de auditoría prestado por dicho auditor, para salvaguardar la independencia del auditor. ^{[ 4 ]}

En términos generales, las funciones y responsabilidades del departamento de beneficios para el personal son: (a) Aprobar y supervisar la administración del Programa de Remuneración Ejecutiva de la empresa ; (b) Revisar y aprobar asuntos específicos de remuneración para el director ejecutivo, el director de operaciones (si corresponde), el director financiero, el asesor jurídico general, el director sénior de recursos humanos, el tesorero, el director, el responsable de relaciones corporativas y gestión, y los directores de la empresa; (c) Revisar, según corresponda, cualquier cambio en los asuntos de remuneración de los directivos mencionados anteriormente con el consejo de administración; y (d) Revisar y supervisar todas las actividades e informes de desempeño y cumplimiento relacionados con los recursos humanos, incluido el sistema de gestión del desempeño. Asimismo, garantizan que la dirección de la organización utilice adecuadamente las medidas de desempeño relacionadas con los beneficios.

Todo el personal debe ser responsable de reportar problemas operativos, monitorear y mejorar su desempeño, y supervisar el incumplimiento de las políticas corporativas y los diversos códigos profesionales, así como las infracciones de políticas, estándares, prácticas y procedimientos. Sus responsabilidades específicas deben estar documentadas en sus expedientes personales. En las actividades de gestión del desempeño, participan en todas las actividades de recopilación y procesamiento de datos de cumplimiento y desempeño, ya que forman parte de diversas unidades organizativas y también pueden ser responsables de diversas actividades operativas y de cumplimiento de la organización.

El personal y los gerentes subalternos pueden participar en la evaluación de los controles dentro de su propia unidad organizativa mediante una autoevaluación de controles .

Los avances tecnológicos y el análisis de datos han propiciado el desarrollo de numerosas herramientas que permiten evaluar automáticamente la eficacia de los controles internos. Utilizado junto con la auditoría continua , el monitoreo continuo de controles brinda seguridad sobre la información financiera que fluye a través de los procesos de negocio.

Existen leyes y regulaciones sobre el control interno relacionado con la información financiera en varias jurisdicciones. En los EE. UU., estas regulaciones están específicamente establecidas por las Secciones 404 y 302 de la Ley Sarbanes-Oxley . La guía sobre la auditoría de estos controles se especifica en

• SSAE n.° 18 publicada por el Instituto Americano de Contadores Públicos Certificados (AICPA).
• Norma de Auditoría N° 5 publicada por la Junta de Supervisión Contable de Empresas Públicas (PCAOB).
• Las directrices de la SEC se analizan con más detalle en la evaluación de riesgos descendente de la SOX 404 .

Las afirmaciones son declaraciones de la gerencia plasmadas en los estados financieros. Por ejemplo, si un estado financiero muestra un saldo de $1,000 en activos fijos , esto implica que la gerencia afirma que dichos activos existen a la fecha del estado financiero, cuya valoración es exactamente de $1,000 (según el costo histórico o el valor razonable, dependiendo del marco y las normas de información financiera) y que la entidad tiene plenos derechos u obligaciones derivados de dichos activos (por ejemplo, si están arrendados, debe revelarse debidamente). Además, dichos activos fijos deben revelarse y representarse correctamente en el estado financiero de acuerdo con el marco de información financiera aplicable a la empresa.

Los controles pueden definirse en relación con la afirmación particular de los estados financieros a la que se refieren. Hay cinco de estas afirmaciones que forman el acrónimo "PERCV" (que se pronuncia "percibir"):

1. Presentación y divulgación: Las cuentas y las revelaciones se describen adecuadamente en los estados financieros de la organización.
2. Existencia/Ocurrencia/Validez: Solo se procesan las transacciones válidas o autorizadas.
3. Derechos y obligaciones: Los activos son los derechos de la organización y los pasivos son sus obligaciones a una fecha determinada.
4. Integridad: Se procesan todas las transacciones que deberían procesarse.
5. Valoración: Las transacciones se valoran con precisión utilizando la metodología adecuada, como un método de cálculo o una fórmula específicos.

Por ejemplo, un objetivo de control de validez podría ser: "Los pagos se realizan únicamente por los productos y servicios autorizados recibidos". Un procedimiento de control típico sería: "El sistema de cuentas por pagar compara la orden de compra , el registro de recepción y la factura del proveedor antes de autorizar el pago". La gerencia es responsable de implementar los controles apropiados que se aplican a todas las transacciones en sus áreas de responsabilidad.

Las actividades de control también pueden explicarse por el tipo o la naturaleza de la actividad. Estas incluyen (pero no se limitan a):

• Separación de funciones : separar las funciones de autorización, custodia y registro para prevenir el fraude o el error por parte de una sola persona.
• Autorización de transacciones: revisión de transacciones específicas por parte de la persona adecuada.
• Conservación de registros: mantener la documentación que respalde las transacciones.
• Supervisión o control de las operaciones: observación o revisión de la actividad operativa en curso.
• Medidas de seguridad físicas: uso de cámaras, cerraduras, barreras físicas, etc., para proteger la propiedad, como por ejemplo el inventario de mercancías.
• Revisiones de alto nivel: análisis de los resultados reales en comparación con los objetivos o planes de la organización, revisiones operativas periódicas y regulares, métricas y otros indicadores clave de rendimiento (KPI).
• Controles generales de TI: controles relacionados con: a) Seguridad, para garantizar que el acceso a los sistemas y datos esté restringido al personal autorizado, como el uso de contraseñas y la revisión de los registros de acceso; y b) Gestión de cambios , para garantizar que el código del programa esté debidamente controlado, como la separación de los entornos de producción y prueba, las pruebas del sistema y del usuario de los cambios antes de su aceptación y los controles sobre la migración del código a producción.
• Controles de aplicaciones de TI: Controles sobre el procesamiento de la información impuestos por las aplicaciones de TI, como comprobaciones de edición para validar la entrada de datos, el registro de transacciones en secuencias numéricas y la comparación de los totales de los archivos con las cuentas de control.

La precisión del control describe la alineación o correlación entre un procedimiento de control específico y un objetivo o riesgo determinado. Se dice que un control con impacto directo en el logro de un objetivo (o la mitigación de un riesgo) es más preciso que uno con impacto indirecto. La precisión se distingue de la suficiencia; es decir, pueden intervenir múltiples controles con distintos grados de precisión para lograr un objetivo de control o mitigar un riesgo.

La precisión es un factor importante al realizar una evaluación de riesgos descendente según la Sección 404 de la Ley Sarbanes-Oxley (SOX) . Tras identificar riesgos específicos de errores materiales en la información financiera, la gerencia y los auditores externos deben identificar y probar los controles que mitiguen dichos riesgos. Esto implica emitir juicios sobre la precisión y la suficiencia de los controles necesarios para mitigarlos.

Según las directrices de la PCAOB, los riesgos y los controles pueden ser a nivel de entidad o a nivel de aserción. Los controles a nivel de entidad se identifican para abordar los riesgos a nivel de entidad. Sin embargo, para abordar los riesgos a nivel de aserción, generalmente se identifica una combinación de controles a nivel de entidad y a nivel de aserción. La PCAOB estableció una jerarquía de tres niveles para considerar la precisión de los controles a nivel de entidad. ^{[ 5 ]} Posteriormente, la PCAOB proporcionó directrices sobre pequeñas empresas públicas, incluyendo varios factores a considerar para evaluar la precisión. ^{[ 6 ]}