Alcance de la auditoría interna

El papel que puede desempeñar la auditoría interna en una organización puede ser relevante y de gran valor para la Comisión de Auditoría. El alcance no ha de limitarse a proporcionar a la Comisión de Auditoría garantías sobre los controles implantados por la dirección, sino que puede enfocarse hacia un rol de consultoría, brindando así apoyo estratégico a la Comisión de Auditoría y a la compañía.

Establecer el alcance adecuado para la función de auditoría interna no es un ejercicio simple y estándar y se debe adaptar a cada organización concreta. Eso es lo que vamos a analizar en este nuevo artículo de la serie Comisión de Auditoría: cuestiones clave para una supervisión eficaz.

La Comisión de Auditoría debe participar en el desarrollo del cometido, los objetivos y la misión de la auditoría interna para cerciorarse de su adecuado papel en la función de supervisión. Un mandato claramente definido y comunicado ayuda a eliminar duplicidades innecesarias de esfuerzos y a garantizar que los equipos de auditoría y los conocimientos estén centrados y que se maximice la inversión en esta función.

La colaboración con la dirección y la auditoría interna para desarrollar el alcance de la función de esta última ayudará a garantizar un equilibrio adecuado entre la evaluación del control interno y las responsabilidades de eficiencia operativa, gestión de riesgos y otros proyectos especiales de la organización.

Pese a basarse en los riesgos, el alcance del trabajo de auditoría interna rara vez debe ser estático de un año al otro. La Comisión de Auditoría debe participar en la revisión regular del alcance para garantizar su adecuada actualización, de conformidad con los cambios en las actividades, mercados u otros aspectos del entorno externo de la organización que puedan incidir en los riesgos a los que esta se enfrenta. Por ello, el establecimiento de su alcance no es algo simple y estándar.

Obtener el equilibrio adecuado entre las garantías y la creación de valor puede ser complicado. En un negocio con un entorno de control inmaduro, o que está experimentando cambios o un crecimiento significativo, el valor se obtiene  al ofrecer garantías de calidad sobre la efectividad de los controles centrales. Esto contribuye a mitigar el riesgo de fallos en los controles y las sorpresas financieras asociadas. Las funciones de auditoría interna de reciente creación también tienen más probabilidades de centrarse en evaluar la efectividad de los procesos y controles básicos.

Allá donde existe un sólido entorno de control, equipos experimentados y procesos de gestión de riesgos consolidados, la auditoría interna puede realizar un trabajo de garantías menos básico y desempeñar un papel más relevante trabajando codo con codo con la dirección como si de un socio de negocio se tratara. Este tipo de función requiere una gestión a conciencia para garantizar que las responsabilidades del negocio y la independencia de la auditoría interna no se desdibujen.

Es importante recordar que la Guía Técnica sobre Comisiones de Auditoría de la CNMV  desarrolla en su apartado 5 la función de supervisión de la auditoría interna por parte de la comisión y su relación con esta.

Preguntas clave para la Comisión de Auditoría

• ¿Cuál es el estado actual del entorno de control? ¿Se considera dicho entorno lo suficientemente maduro como para no precisar toda la atención de la auditoría interna?
• ¿Cuál es el estado actual del proceso de gestión de riesgos de la sociedad?
• ¿Cuál es el proceso para priorizar los esfuerzos de auditoría interna? ¿Cuenta auditoría interna con el personal adecuado para asumir roles adicionales? ¿Provocará esto retrasos en las responsabilidades de control?
• ¿Hay margen para que auditoría interna desempeñe un papel de consultoría interna? ¿Cómo se mantendrá/garantizará la independencia de la auditoría interna si se incorpora este rol adicional a su alcance?
• ¿Está experimentando el negocio un cambio significativo en sus operaciones, o cambios en los riesgos externos?

• ¿Cuenta auditoría interna con unos términos de referencia claramente definidos que articulen el alcance de su trabajo?
• ¿Se revisa periódicamente la política de auditoría interna para garantizar que continúa siendo adecuada?
• ¿Cuál es la participación de la Comisión de Auditoría en el establecimiento del alcance del plan de auditoría interna? ¿Se limita a la aprobación de los planes sugeridos o desempeña la Comisión de Auditoría un rol en el establecimiento de los planes?
• ¿Cuál es el papel de la dirección en el establecimiento del alcance del plan de auditoría interna? ¿Apoya la auditoría interna a la dirección en la evaluación del control interno sobre la información financiera? ¿Hay margen para que auditoría interna realice labores de garantías adicionales que resulten favorables para la dirección y la Comisión de Auditoría?
• ¿Qué criterios se utilizan para establecer los planes de auditoría interna anuales y a largo plazo? ¿Se integran estos en el programa de gestión de riesgos?
• ¿Se coordina el plan de auditoría interna con el auditor externo?
• ¿Cómo reacciona auditoría interna a los cambios en el entorno de negocio?

• ¿Cuál es la visión de la auditoría interna acerca del entorno de control?
• ¿En qué medida se puede confiar en el plan de auditoría interna para detectar errores significativos, irregularidades y debilidades importantes en el control interno?
• ¿Se ha comunicado alguna deficiencia de control? ¿Se han trasladado recomendaciones significativas a la dirección acerca de mejoras en los controles? ¿Se han puesto estas recomendaciones en marcha?
• ¿Existen otras formas de garantía acerca del entorno de control, es decir, autoevaluación?

• ¿Cuál es el alcance actual de la auditoría interna? ¿Es adecuado el nivel de garantías ofrecido?
• ¿Ofrece garantías la auditoría interna acerca del cumplimiento con las leyes y reglamentos? ¿Se ha identificado algún caso de incumplimiento?
• ¿Cuál es el papel de auditoría interna a la hora de ofrecer garantías acerca del cumplimiento de las políticas y procedimientos? ¿Se ha identificado algún caso de incumplimiento?
• ¿Abarca el papel de auditoría interna la evaluación de la efectividad de las políticas y procedimientos y/o del entorno de control?
• ¿Evalúa auditoría interna el modo en que la sociedad responde a los nuevos riesgos?