Funciones del auditor interno: qué hace y qué debe evitar

La función del auditor interno no consiste en revisar documentos durante todo el día ni en buscar culpables. Su trabajo combina comprensión del negocio, análisis de riesgos, evaluación de controles, obtención de evidencia, comunicación y seguimiento.

Las tareas cambian según el puesto, el tamaño del equipo y el tipo de organización. Sin embargo, las Normas Globales establecen principios y responsabilidades que permiten reconocer el trabajo profesional [1].

Comprender objetivos, procesos y riesgos

Antes de probar controles, el auditor necesita entender qué busca lograr la actividad revisada. Para ello puede analizar políticas, reportes, sistemas, organigramas y trabajos anteriores; también entrevista a las personas responsables y observa cómo se realiza el proceso.

El objetivo no es acumular información. Es identificar qué podría impedir el resultado esperado, qué medidas existen para atender ese riesgo y dónde conviene concentrar el trabajo.

En una auditoría de pagos, por ejemplo, el auditor debe comprender desde la solicitud hasta el registro y la salida de fondos. Si solo revisa facturas sin conocer quién crea proveedores, cambia cuentas, autoriza y libera pagos, podría dejar fuera riesgos importantes.

Planear cada trabajo

La planificación convierte una necesidad de revisión en un trabajo posible. El auditor participa en actividades como:

• comunicar el propósito general al área revisada;

• evaluar los riesgos del proceso;

• establecer objetivos y alcance;

• identificar criterios de evaluación;

• calcular los recursos y el tiempo necesarios;

• preparar procedimientos en un programa de trabajo.

Las Normas requieren que los objetivos y el alcance se documenten y que el programa identifique las tareas necesarias para alcanzar esos objetivos [1].

Obtener y analizar evidencia

El auditor ejecuta los procedimientos aprobados y conserva respaldo del trabajo. Puede utilizar entrevistas, observación, inspección de documentos, confirmaciones, recorridos del proceso, análisis de datos y pruebas de operaciones.

La información debe ser relevante para el objetivo, confiable y suficiente para respaldar hallazgos y conclusiones. Una explicación verbal puede ser útil para comprender, pero quizá necesite corroborarse con registros, evidencia del sistema u otra fuente independiente.

Documentar no significa llenar formatos sin propósito. Los papeles de trabajo deben permitir entender qué se probó, con qué información, cuál fue el resultado y cómo se llegó a la conclusión.

Evaluar condiciones y desarrollar hallazgos

Cuando el auditor encuentra una diferencia entre la situación observada y el criterio esperado, analiza si existe un hallazgo. Un desarrollo útil considera:

• condición: qué sucede;

• criterio: qué debería suceder;

• causa: por qué existe la diferencia;

• efecto o riesgo: qué puede provocar;

• importancia: cuánto afecta los objetivos;

• respuesta: qué acción puede atender la causa.

No toda excepción merece un hallazgo formal. El auditor usa juicio profesional, considera el riesgo y conversa con el área para validar hechos y contexto.

Comunicar durante todo el trabajo

La comunicación no debe reservarse para el informe final. El auditor informa avances, aclara solicitudes, comenta posibles hallazgos y escucha explicaciones. Esto permite corregir errores de interpretación antes de emitir conclusiones.

La comunicación final debe ser clara, objetiva, precisa, breve sin omitir lo necesario, constructiva y oportuna. Además, debe estar respaldada por evidencia y recibir la revisión correspondiente [1].

Una redacción firme puede coexistir con un trato respetuoso. El auditor evalúa procesos y hechos; no califica a las personas.

Dar seguimiento a las acciones

Después del informe, el trabajo no termina con el envío de una solicitud de avance. El auditor confirma, con un enfoque basado en riesgos, si las recomendaciones o planes de acción fueron implementados. La extensión de la prueba depende de la importancia del hallazgo [1].

Cerrar una acción porque se recibió un documento puede ser insuficiente. Conviene comprobar si la medida funciona y si reduce el riesgo que originó el hallazgo.

La dirección es responsable de ejecutar las acciones. Auditoría interna registra avances, evalúa evidencia y comunica retrasos o riesgos aceptados cuando corresponda.

Cuidar la ética y la calidad

Las Normas agrupan las expectativas del auditor en cinco principios de ética y profesionalidad: integridad, objetividad, competencia, debido cuidado profesional y confidencialidad [1]. En la práctica, esto implica:

• decir la verdad aun cuando resulte incómoda;

• reconocer conflictos o impedimentos a la objetividad;

• aceptar solo trabajos para los que existe capacidad suficiente o buscar apoyo;

• cuestionar la información de forma profesional;

• proteger los datos recibidos;

• actualizar conocimientos;

• aceptar supervisión y corregir el trabajo cuando sea necesario.

Responsabilidades del director de auditoría interna

El director de auditoría interna tiene tareas adicionales. Entre ellas se encuentran proponer la estrategia y el plan, administrar recursos, establecer metodologías, comunicarse con el órgano de gobierno y la alta dirección, asegurar la calidad y supervisar los trabajos. Puede delegar actividades, pero mantiene la responsabilidad final sobre la gestión efectiva de la función [1].

Lo que debe evitar el auditor interno

Para conservar su papel, el auditor no debería:

• autorizar operaciones del área revisada;

• elegir proveedores o aprobar pagos;

• ser dueño de riesgos que corresponden a la dirección;

• diseñar un control y después asegurar sin salvaguardas que su propio diseño funciona;

• modificar evidencia para sostener una conclusión;

• ocultar una limitación de alcance;

• prometer que no existirán errores o fraude;

• divulgar información sin autorización o causa válida.

El asesoramiento es posible, pero debe acordarse su alcance y evitar que el auditor asuma responsabilidades de gestión.

Una jornada vista como secuencia, no como rutina

En un mismo trabajo, el auditor puede entrevistar a tesorería, revisar accesos bancarios, analizar pagos duplicados, documentar una prueba, comentar una excepción con el supervisor y preparar una reunión con la dirección. Lo que une esas actividades es el objetivo del trabajo.

Por eso, una buena pregunta diaria es: ¿esta tarea ayuda a obtener evidencia y responder el objetivo de auditoría? Si la respuesta es no, conviene revisar la prioridad.

Para ordenar estas funciones de principio a fin, consulta el proceso de auditoría interna basado en riesgos.