Proceso de auditoría interna basado en riesgos: del plan al seguimiento

Una auditoría interna no comienza al pedir documentos ni termina al emitir un informe. Es un proceso conectado: seleccionar asuntos relevantes, planear, obtener evidencia, evaluar, comunicar y confirmar las acciones. Si una etapa se realiza sin relación con las demás, el resultado pierde fuerza.

Las Normas Globales organizan el desempeño de los servicios en tres grandes principios: planificar eficazmente los trabajos, ejecutar el trabajo y comunicar conclusiones con seguimiento a los planes de acción [1].

1. Seleccionar el trabajo dentro del plan

Antes de una auditoría específica existe un plan de auditoría interna. Las Normas requieren que ese plan apoye los objetivos de la organización y se base en una evaluación documentada de estrategias, objetivos y riesgos [1].

Esto significa que una revisión no debería programarse solo porque “siempre se ha hecho”. La selección puede considerar impacto financiero, cambios, resultados anteriores, cumplimiento, dependencia tecnológica, tiempo desde la última revisión y preocupaciones del órgano de gobierno o de la alta dirección.

El plan debe ser dinámico. Si surge un riesgo importante, puede ser necesario ajustar prioridades con la aprobación correspondiente.

2. Comprender la actividad bajo revisión

Al comenzar el trabajo, el equipo recopila información para entender:

• objetivos del proceso;

• responsables y estructura;

• entradas, actividades y resultados;

• sistemas utilizados;

• leyes, contratos, políticas y procedimientos aplicables;

• indicadores y reportes;

• riesgos y controles conocidos;

• cambios recientes;

• problemas o auditorías anteriores.

Las entrevistas son útiles, pero conviene acompañarlas con documentos, datos, observación o recorridos. El propósito es construir una visión suficiente para evaluar riesgos.

3. Evaluar riesgos del trabajo

El auditor identifica los eventos que podrían afectar los objetivos de la actividad. Después analiza su importancia y conoce los controles existentes.

Una pregunta sencilla ayuda a mantener el orden: ¿qué puede salir mal, por qué importa y qué hace la organización para evitarlo o detectarlo?

En tesorería, un riesgo puede ser transferir fondos a una cuenta modificada sin autorización. Los controles podrían incluir validación independiente de cambios, doble autorización bancaria y alertas de modificación. La auditoría decidirá cuáles controles son importantes y qué pruebas necesita.

4. Definir objetivos, alcance y criterios

Los objetivos indican qué pretende determinar la auditoría. El alcance establece los límites: procesos, ubicaciones, sistemas, operaciones y periodo. Los criterios representan el estado esperado con el cual se comparará la condición.

Los criterios pueden provenir de leyes, contratos, políticas, procedimientos, metas, marcos aceptados o diseños de control. Deben ser relevantes y acordes con el objetivo. Usar un criterio inexistente o desactualizado debilita cualquier hallazgo.

Las limitaciones de acceso a personas, datos o instalaciones deben tratarse oportunamente. Si impiden alcanzar los objetivos y no se resuelven, se comunican al nivel correspondiente [1].

5. Preparar el programa de trabajo

El programa traduce los objetivos en procedimientos. Debe indicar qué se hará, con qué método, sobre qué información y quién lo realizará. Puede incluir análisis de poblaciones completas o muestreo, según el riesgo, la calidad de los datos y los recursos.

Un procedimiento útil identifica:

• control o afirmación a evaluar;

• fuente de información;

• población y periodo;

• método de selección, cuando exista muestra;

• pasos de prueba;

• resultado esperado;

• forma de documentar las excepciones.

La cantidad de operaciones revisadas no demuestra por sí sola la calidad. La prueba debe producir evidencia que responda al objetivo.

6. Ejecutar y documentar

Durante la ejecución, los auditores aplican el programa y recopilan información relevante, confiable y suficiente. Las Normas señalan que la evidencia debe permitir una base razonable para los posibles hallazgos y conclusiones [1].

El auditor analiza resultados, corrobora explicaciones y conserva papeles de trabajo. Si encuentra una excepción, determina si es aislada o revela un problema mayor. También puede modificar el programa cuando aparece información nueva, con la aprobación requerida.

La supervisión acompaña el trabajo. No debe limitarse a una firma final: orienta al equipo y verifica que los papeles respaldan los resultados.

7. Desarrollar hallazgos y acciones

Un hallazgo surge cuando existe una diferencia importante entre el criterio y la condición. El auditor analiza causa, efecto, importancia y relación con el riesgo. Antes de cerrar el análisis, conversa con las personas responsables para confirmar los hechos y conocer el contexto.

Las recomendaciones o planes de acción deben atender el riesgo y, de ser posible, la causa. Agregar una autorización puede parecer una solución rápida, pero podría no funcionar si el problema real es falta de datos, acceso excesivo o un sistema mal configurado.

La dirección conserva la responsabilidad de decidir e implementar las acciones. El auditor puede recomendar o colaborar en su definición sin convertirse en dueño del proceso.

8. Comunicar la conclusión

La comunicación final debe responder a los objetivos del trabajo. Según el caso, incluye objetivos, alcance, hallazgos, importancia, conclusiones, responsables y fechas de acción. Debe ser precisa, objetiva, clara, concisa, constructiva, completa y oportuna [1].

Una conclusión no es la suma de observaciones. Es el juicio profesional sobre el conjunto de resultados. Debe explicar lo que la evidencia permite afirmar y reconocer las limitaciones relevantes.

9. Dar seguimiento

El seguimiento confirma la implementación de recomendaciones o planes de acción mediante una metodología definida. Puede incluir consultas de avance, revisión de evidencia y pruebas selectivas según el riesgo [1].

Una acción no está resuelta solo porque venció la fecha o porque se modificó un procedimiento. El auditor evalúa si se implementó y si atiende el hallazgo. Cuando existen retrasos, obtiene la explicación y determina cómo comunicar el riesgo pendiente.

Lista breve para revisar la conexión entre etapas

Antes de cerrar el trabajo, pregunta:

• ¿El trabajo responde a un riesgo que justifica los recursos usados?

• ¿Cada objetivo tiene procedimientos suficientes?

• ¿Los procedimientos produjeron evidencia confiable?

• ¿Cada hallazgo se relaciona con un criterio y un riesgo?

• ¿La conclusión responde a los objetivos y respeta el alcance?

• ¿Las acciones tienen responsable y fecha?

• ¿El seguimiento se ajusta a la importancia del riesgo?

La calidad del proceso depende de la conexión entre estas respuestas. Un informe bien escrito no compensa una planificación débil, y una prueba extensa no compensa un objetivo confuso.

Para ver el proceso aplicado a un caso sencillo, continúa con una auditoría interna básica de tesorería.