Auditoría interna basada en riesgos: revisar lo que realmente importa

Auditoría interna basada en riesgos: revisar lo que realmente importa

Durante muchos años, la auditoría fue relacionada principalmente con revisar documentos, comprobar operaciones y buscar errores. Estas actividades siguen siendo necesarias, pero la auditoría interna actual debe ir más allá.

Una organización puede tener miles de operaciones correctamente documentadas y, al mismo tiempo, mantener riesgos importantes que no están siendo atendidos adecuadamente.

Por esta razón, uno de los principales cambios en la profesión ha sido pasar de una auditoría centrada en revisar actividades a una auditoría basada en riesgos.

La diferencia parece pequeña, pero cambia por completo la forma de planear y realizar una auditoría.

¿Qué significa auditar con base en riesgos?

Significa concentrar el trabajo de auditoría en aquellos aspectos que tienen mayor posibilidad de afectar los objetivos de la organización.

En términos sencillos, antes de decidir qué revisar, el auditor debe preguntarse:

• ¿Qué quiere lograr la organización?

• ¿Qué podría impedir que lo logre?

• ¿Qué tan grave sería si ocurre?

• ¿Qué controles existen para evitarlo o detectarlo?

• ¿Esos controles realmente funcionan?

• ¿Qué riesgo permanece después de considerar los controles?

Estas preguntas permiten dirigir el trabajo hacia lo que realmente puede causar un problema importante.

No todos los procesos tienen el mismo riesgo y tampoco todas las operaciones deben recibir la misma cantidad de atención.

Primero el objetivo, después el riesgo

Un error frecuente es comenzar una auditoría directamente con una lista de documentos que se van a solicitar.

Por ejemplo:

• manuales;

• contratos;

• expedientes;

• reportes;

• autorizaciones;

• comprobantes;

• estados de cuenta.

Estos documentos pueden ser necesarios, pero deberían solicitarse después de entender qué se quiere evaluar.

El punto de partida debería ser el objetivo del proceso.

Supongamos que una organización tiene como objetivo otorgar créditos únicamente a personas que cuentan con capacidad suficiente para pagarlos.

Un riesgo relacionado podría ser:

Otorgar créditos a personas sin capacidad de pago suficiente.

A partir de ese riesgo resulta más sencillo identificar qué debe revisar auditoría.

Por ejemplo, podrían existir controles relacionados con:

• análisis de ingresos;

• consulta del historial crediticio;

• cálculo de capacidad de pago;

• autorización por niveles;

• validación de documentos;

• revisión independiente antes de liberar el crédito.

Ahora la revisión tiene una razón clara: determinar si esos controles reducen adecuadamente el riesgo.

No se trata de revisar todo

Una auditoría basada en riesgos no necesariamente revisa más.

En muchos casos, revisa menos, pero revisa mejor.

Imaginemos que una organización tiene diez procesos. Dos presentan riesgos muy altos, tres riesgos medios y cinco riesgos bajos.

Si auditoría dedica el mismo tiempo a los diez procesos, puede terminar utilizando recursos importantes en actividades que representan poco riesgo mientras deja con poca revisión aquellas que podrían generar las mayores pérdidas o problemas.

El enfoque basado en riesgos permite establecer prioridades.

Por ello, la planeación de auditoría debería considerar, entre otros elementos:

Impacto. Qué tan grave sería para la organización que el riesgo ocurriera.

Probabilidad. Qué posibilidad existe de que ocurra.

Controles. Qué medidas existen actualmente para reducirlo.

Riesgo residual. Qué nivel de riesgo permanece después de considerar los controles existentes.

Esta evaluación permite justificar por qué determinados procesos deben revisarse antes que otros.

El control es el punto de unión

Una vez identificado el riesgo, el siguiente paso es conocer qué hace la organización para administrarlo.

Aquí aparecen los controles.

Un control puede ser una autorización, una revisión, una validación automática, una comparación, una conciliación, una supervisión o cualquier otra medida utilizada para reducir un riesgo.

Sin embargo, que un control exista no significa que funcione.

Auditoría interna debe evaluar por lo menos dos aspectos.

1. Si el control está bien diseñado

El auditor debe analizar si, en teoría, el control puede prevenir, detectar o reducir el riesgo identificado.

Por ejemplo, si una persona prepara un pago y esa misma persona lo autoriza sin ninguna revisión adicional, existe una debilidad en el diseño del control.

2. Si el control realmente se aplica

Un procedimiento puede indicar que todos los pagos requieren una segunda autorización.

Pero si en la práctica existen pagos sin esa autorización, el control no está funcionando como fue establecido.

Por ello, la auditoría no debería limitarse a comprobar que existe una política. También debe obtener evidencia de que los controles se aplican y funcionan.

La evidencia sigue siendo fundamental

Trabajar con base en riesgos no significa reducir la importancia de la evidencia.

Al contrario.

Las conclusiones del auditor deben estar respaldadas por información suficiente y confiable.

Dependiendo del trabajo, la evidencia puede obtenerse mediante:

• revisión documental;

• análisis de información;

• entrevistas;

• observación;

• confirmaciones;

• inspección;

• repetición de cálculos;

• pruebas sobre operaciones;

• revisión de sistemas.

El auditor debe evitar llegar a conclusiones únicamente por comentarios, percepciones o casos aislados.

La pregunta siempre debería ser:

¿Qué evidencia tengo para sostener esta conclusión?

Del problema encontrado al hallazgo de auditoría

Cuando una revisión identifica una diferencia importante entre lo que debería ocurrir y lo que realmente ocurre, puede generarse un hallazgo.

Un buen hallazgo no debería limitarse a señalar:

"No se cumplió el procedimiento."

Debe ayudar a entender el problema.

Para ello conviene explicar:

Condición: qué se encontró.

Criterio: qué debería cumplirse.

Causa: por qué ocurrió.

Efecto: qué consecuencia ya se produjo, cuando pueda demostrarse.

Riesgo: qué podría ocurrir si la situación continúa.

Recomendación: qué puede hacerse para corregir o reducir el problema.

Evidencia: qué información respalda la conclusión.

Esta estructura ayuda a que el informe tenga mayor utilidad para quienes deben tomar decisiones.

La auditoría no termina con el informe

Otro cambio importante en la auditoría moderna es entender que emitir el informe no significa que el trabajo haya terminado.

Si auditoría identifica una debilidad importante y la organización acuerda corregirla, posteriormente debe verificarse si la acción realmente fue realizada.

Por ejemplo, no basta con recibir como respuesta:

"Se actualizará el procedimiento."

Auditoría debería comprobar posteriormente:

• si el procedimiento fue actualizado;

• si fue autorizado;

• si fue comunicado;

• si comenzó a aplicarse;

• y, cuando corresponda, si realmente redujo el riesgo.

El seguimiento convierte una recomendación escrita en una posible mejora real.

¿Qué aportan las Normas Globales de Auditoría Interna?

Las Normas Globales de Auditoría Interna emitidas por el Instituto de Auditores Internos refuerzan este enfoque.

La auditoría interna debe contribuir al logro de los objetivos de la organización mediante la evaluación y mejora de los procesos de gobierno, gestión de riesgos y control.

También establecen bases para planear los trabajos, evaluar riesgos, definir objetivos y alcance, obtener información, evaluar hallazgos, comunicar resultados y dar seguimiento a los planes de acción.

Por ello, una auditoría basada en riesgos no consiste únicamente en elaborar una matriz antes de comenzar una revisión.

Es una forma de trabajar durante todo el proceso de auditoría.

Un ejemplo sencillo

Supongamos que se realizará una auditoría al proceso de compras.

Una revisión tradicional podría comenzar solicitando una muestra de facturas para comprobar:

• firmas;

• cotizaciones;

• fechas;

• importes;

• comprobantes de pago.

Una revisión basada en riesgos comenzaría preguntando cuáles son los principales riesgos del proceso.

Por ejemplo:

• realizar compras no autorizadas;

• pagar precios mayores a los razonables;

• contratar proveedores con conflictos de interés;

• pagar bienes que no fueron recibidos;

• duplicar pagos;

• modificar datos bancarios de proveedores sin autorización.

Después se identificarían los controles existentes para reducir esos riesgos.

Finalmente, los procedimientos de auditoría serían diseñados para determinar si dichos controles existen, están correctamente diseñados y funcionan.

Las facturas seguirían siendo revisadas, pero ahora cada prueba tendría un propósito relacionado con un riesgo.

Una forma práctica de aplicarlo

Una manera sencilla de comenzar puede resumirse así:

Objetivo → Riesgo → Control → Procedimiento de auditoría → Evidencia → Resultado

Primero se entiende qué busca lograr el proceso.

Después se identifica qué podría impedirlo.

Posteriormente se determinan los controles establecidos para reducir ese riesgo.

Con esta información se diseñan los procedimientos de auditoría.

Las pruebas generan evidencia.

Y finalmente, con base en esa evidencia, el auditor obtiene un resultado y determina si existe o no una situación que deba comunicarse.

Esta secuencia ayuda a evitar auditorías formadas únicamente por listas de comprobación que se repiten año tras año sin analizar si los riesgos de la organización han cambiado.

Auditoría interna debe ayudar a mirar hacia donde está el riesgo

El valor de auditoría interna no se encuentra en la cantidad de documentos revisados ni en el número de hallazgos emitidos.

Su aportación está en identificar oportunamente situaciones que pueden afectar a la organización y proporcionar información confiable para que se puedan tomar mejores decisiones.

Una auditoría basada en riesgos permite utilizar mejor los recursos disponibles, concentrarse en los asuntos de mayor importancia y relacionar cada revisión con los objetivos de la organización.

En otras palabras, la pregunta principal deja de ser:

¿Qué documentos debemos revisar?

Y pasa a ser:

¿Qué puede impedir que este proceso cumpla su objetivo y cómo sabemos que ese riesgo está siendo controlado?

Cuando una auditoría comienza con esta pregunta, cambia la manera de entender todo el trabajo.