Cómo aplicar una auditoría interna básica en tesorería

Tesorería concentra movimientos de dinero, accesos bancarios, pagos, saldos y decisiones de liquidez. Por eso suele ser un área relevante para auditoría interna. El siguiente ejemplo muestra cómo pasar de una idea general a un trabajo ordenado.

No es un programa universal. Cada organización debe adaptar objetivos, criterios, alcance y pruebas a su tamaño, sistemas, riesgos, contratos y reglas aplicables.

1. Comprender el objetivo de tesorería

Antes de hablar de controles, conviene definir qué busca lograr el proceso. Una formulación posible es:

Administrar disponibilidades y pagos de forma segura, autorizada y oportuna, manteniendo información confiable para decidir.

Este objetivo permite identificar riesgos con sentido. Las Normas Globales requieren que la planificación del trabajo comprenda los objetivos de la actividad y evalúe los riesgos relevantes [1].

2. Delimitar el trabajo

Un alcance básico podría incluir:

• cuentas bancarias activas;

• altas y cambios de beneficiarios;

• preparación, autorización y liberación de pagos;

• accesos a banca electrónica;

• conciliaciones bancarias;

• traspasos entre cuentas;

• registros contables relacionados;

• periodo de seis meses.

También deben declararse exclusiones. Por ejemplo, la revisión puede no cubrir inversiones o pronósticos de flujo de efectivo. Las exclusiones permiten que el lector entienda hasta dónde llega la conclusión.

3. Identificar riesgos principales

Los riesgos deben relacionarse con el objetivo. En este caso podrían incluir:

• pagos a beneficiarios no autorizados;

• pagos duplicados o por montos incorrectos;

• cambios de cuentas bancarias sin validación independiente;

• una misma persona preparando y liberando transferencias;

• usuarios con accesos innecesarios o vigencias no revisadas;

• diferencias bancarias sin identificar o resolver;

• cuentas abiertas que ya no son necesarias;

• registros contables tardíos o incorrectos;

• falta de información oportuna sobre saldos y compromisos.

No todos tendrán la misma importancia. El auditor considera impacto, posibilidad de ocurrencia, volumen, cambios, antecedentes y controles existentes.

4. Formular objetivos de auditoría

Para mantener el trabajo manejable pueden definirse tres objetivos:

1. Determinar si los pagos se realizan a beneficiarios válidos, por montos autorizados y con una separación adecuada de funciones.

2. Evaluar si los accesos a las plataformas bancarias están autorizados, corresponden a las responsabilidades actuales y se revisan periódicamente.

3. Determinar si las conciliaciones bancarias se preparan, revisan y resuelven a tiempo, con evidencia suficiente.

Cada objetivo debe tener procedimientos y una conclusión propia. Las Normas piden documentar los objetivos y un alcance suficiente para alcanzarlos [1].

5. Identificar criterios y controles

Los criterios pueden provenir de políticas aprobadas, contratos bancarios, facultades, manuales, descripciones de puesto, requisitos legales y configuraciones autorizadas. Deben comprobarse antes de utilizarlos.

Controles posibles para el primer objetivo:

• proveedores y cuentas dados de alta por personal autorizado;

• confirmación independiente de cambios de cuenta;

• documentos que respaldan el pago;

• niveles de autorización según monto;

• separación entre preparación, autorización, liberación y registro;

• bloqueo o alerta de pagos duplicados;

• revisión posterior de operaciones fuera de parámetros.

El Marco de Control Interno de la oficina de rendición de cuentas de Estados Unidos señala que un sistema de control ayuda a lograr objetivos de operaciones, información y cumplimiento, y pone atención en controles preventivos y en la responsabilidad de la administración [2]. Se usa aquí como referencia técnica; no sustituye las reglas aplicables a la organización.

6. Diseñar pruebas relacionadas con cada riesgo

Pagos

• Obtener la población completa del periodo y comprobar su integridad contra totales contables o bancarios.

• Buscar duplicados por proveedor, monto, fecha, referencia o cuenta.

• Identificar operaciones fuera de horario, montos redondos, pagos fraccionados o beneficiarios nuevos.

• Seleccionar operaciones según riesgo y revisar solicitud, respaldo, autorización, cuenta y registro.

• Confirmar que quienes prepararon y liberaron el pago tenían facultades vigentes.

Accesos bancarios

• Obtener la lista de usuarios directamente de cada plataforma.

• Compararla con personal activo, puestos y autorizaciones.

• Revisar privilegios incompatibles y usuarios sin uso.

• Verificar el proceso de alta, modificación y baja.

• Confirmar la revisión periódica y las acciones derivadas.

Conciliaciones

• Comparar la lista de cuentas con las conciliaciones del periodo.

• Revisar fechas de preparación y aprobación.

• Analizar partidas antiguas, inusuales o repetidas.

• Comprobar que las diferencias se investigaron y registraron.

• Verificar que la persona que concilia tenga independencia razonable respecto de los movimientos revisados.

El tamaño de una muestra depende del objetivo, el riesgo, la población y la posibilidad de analizar todos los datos. No debe elegirse solo por costumbre.

7. Evaluar la evidencia

Las Normas requieren información relevante, confiable y suficiente. La confiabilidad aumenta cuando el auditor obtiene la información directamente, la corrobora o usa datos de un sistema con controles adecuados [1].

Para un pago, la evidencia puede incluir registro bancario, factura, orden, autorización y datos maestros del beneficiario. Si los documentos se contradicen, el auditor investiga antes de concluir.

Conviene registrar para cada prueba: fuente, fecha, periodo, población, selección, pasos realizados, excepciones y conclusión. Así, otra persona competente puede comprender el trabajo.

8. Convertir excepciones en hallazgos útiles

Supongamos que cinco cambios de cuenta bancaria no tienen confirmación independiente. Antes de emitir un hallazgo, el auditor debería determinar:

• qué política o criterio aplicaba;

• si el control estaba diseñado y comunicado;

• quién realizó los cambios y con qué acceso;

• si hubo pagos posteriores a esas cuentas;

• por qué no se confirmó la información;

• qué riesgo e impacto existen;

• si el problema es aislado o se repite.

Una acción útil debe atender la causa. Si el sistema permite cambios sin aviso, una alerta automática y una aprobación independiente podrían ser más efectivas que recordar la política por correo.

9. Comunicar y dar seguimiento

La conclusión de cada objetivo debe indicar qué funcionó, qué limitaciones existieron y qué asuntos requieren acción. La comunicación final se acuerda con responsables y fechas, sin trasladar al auditor la responsabilidad de administrar tesorería.

En el seguimiento, no basta con recibir una política actualizada. Si la acción consistía en restringir accesos, el auditor puede obtener una lista nueva y comprobar los cambios. Si consistía en resolver partidas bancarias, puede revisar su antigüedad y respaldo.

Lista de salida

Antes de cerrar, confirma:

• que la población fue conciliada con una fuente confiable;

• que los objetivos cuentan con evidencia suficiente;

• que las excepciones fueron validadas con el área;

• que cada hallazgo muestra criterio, condición, causa y efecto;

• que los responsables y fechas son claros;

• que la conclusión no rebasa el alcance;

• que el seguimiento considera el nivel de riesgo.

La aplicación práctica de auditoría interna comienza con una pregunta bien definida y termina cuando existe evidencia suficiente para responderla. En tesorería, esa disciplina ayuda a proteger recursos sin convertir al auditor en responsable de operar los controles.