LA FALACIA DE LAS AUDITORÍAS DE SEGUIMIENTO

Estándar

22 de abril de 2019

Durante mis primeros años en la profesión como un auditor interno joven, yo siempre estaba orgulloso de mis informes, en particular las conclusiones y recomendaciones. Por lo tanto, emitir un nuevo informe de auditoría fue motivo de celebración. Pero nada fue más desmoralizador que cuando invariablemente realizaba la auditoría de seguimiento requerida solo para descubrir que mis recomendaciones cuidadosamente elaboradas o mis planes de acción de gestión nunca se implementaron. Después de todo, la gerencia había aceptado las acciones correctivas propuestas (o había propuesto sus propias acciones correctivas) para rectificar los problemas identificados en mis auditorías. Entonces, ¿por qué fallaron tan a menudo para seguir adelante?

Siempre hubo muchas excusas de la administración cuando las auditorías de seguimiento revelaron que “los problemas no se habían corregido”:

• “Subestimamos la complejidad de la acción que acordamos tomar”.
• “No nos dimos cuenta del tiempo que llevaría implementar las acciones prometidas”.
• “Las circunstancias cambiaron y las acciones acordadas ya no son válidas”. 
• “Resultó que no teníamos los recursos para corregir los problemas”.
• “El perro se comió nuestra tarea, etc.”

Eventualmente, crecí para temer las auditorías de seguimiento, porque los resultados a menudo eran decepcionantes. Cuando me convertí en director ejecutivo de auditoría (CAE), cuestioné seriamente el valor de las auditorías de seguimiento. Descubrí que rara vez son un uso eficiente de los recursos de auditoría interna. Después de todo, ¿cuál generó el mayor impacto para la organización: forjar nuevas áreas de alto riesgo o volver a visitar áreas donde dedicamos recursos solo unos meses antes? Incluso cuando descubrimos que todo se había corregido, sentí que mis recursos limitados podrían haberse desplegado mejor.

Como auditor del gobierno en ese momento, realmente no tenía otra opción si realizábamos auditorías de seguimiento. Fueron obligados por nuestros estándares profesionales y requeridos por las regulaciones. Afortunadamente, hoy en día, los Estándares Internacionales para la Práctica Profesional de la Auditoría Interna delIIA   brindan una latitud mucho mayor cuando se trata de auditorías de seguimiento. El enfoque ha cambiado de productos (auditorías de seguimiento) a resultados (disposición adecuada de los hallazgos y recomendaciones en nuestros informes).

El Estándar 2500 del IIA: Monitoreo del progreso aborda las responsabilidades de los auditores internos con respecto a la disposición de nuestros hallazgos y recomendaciones. Afirma:

El director ejecutivo de auditoría debe establecer y mantener un sistema para monitorear la disposición de los resultados comunicados a la gerencia.

2500.A1 – El director ejecutivo de auditoría debe establecer un proceso de seguimiento para monitorear y garantizar que las acciones de la administración se hayan implementado de manera efectiva o que la administración superior haya aceptado el riesgo de no tomar medidas.

En ninguna parte de la norma aparecen las palabras “auditoría de seguimiento”. En cambio, el énfasis está en un “proceso de seguimiento”. El IIA ofrece detalles mucho más detallados sobre cómo se pueden diseñar e implementar dichos procesos en la guía de implementación del Estándar 2500. Al diseñar dicho proceso, la guía enfatiza adecuadamente que los auditores internos “solicitan los aportes de la administración sobre formas de crear un monitoreo eficaz y eficiente. proceso.” La guía señala que el proceso de monitoreo puede ser “sofisticado o simple” dependiendo del tamaño y la complejidad de la función de auditoría interna y la organización a la que sirve. 

La guía del IIA ofrece claramente alternativas a las auditorías de seguimiento obligatorias que muchos de nosotros trabajamos en el pasado. De hecho, afirma:

“… algunos CAE pueden elegir preguntar periódicamente, como trimestralmente, sobre el estado de todas las acciones correctivas que debían completarse en el período anterior. Otros pueden optar por realizar trabajos de seguimiento periódicos para auditorías con recomendaciones importantes para evaluar específicamente la calidad de las acciones correctivas tomadas. Otros pueden optar por realizar un seguimiento de las acciones pendientes durante una auditoría futura programada en la misma área de la organización. El enfoque se determina según el nivel de riesgo adjudicado, así como la disponibilidad de recursos . “

Como se indica en la guía, algunos CAE aún pueden optar por realizar auditorías de seguimiento, en particular por hallazgos anteriores que señalaron riesgos significativos para la organización. También reconozco que, en algunos casos, la administración, los comités de auditoría o los reguladores pueden querer que la auditoría interna realice auditorías de seguimiento de rutina. En esos casos, recomiendo un enfoque muy práctico antes de realizar auditorías de seguimiento que aseguren el uso más inteligente de los recursos escasos de la auditoría interna. Antes de programar una auditoría de seguimiento, me haría varias preguntas.

• ¿La administración ha informado que la acción correctiva está completa?  Nunca iniciaría una auditoría de seguimiento sin preguntar a la gerencia de antemano: “¿Ha implementado las acciones correctivas acordadas?” Si no es así, probablemente debamos preguntarnos por qué la acción correctiva está retrasada, pero aún no es tiempo para un compromiso de seguimiento. No es necesario realizar una auditoría de seguimiento cuando ya sabe que algo todavía está “roto”.
• ¿Ha intentado la administración del área bajo revisión engañar a la auditoría interna sobre la integridad de la acción correctiva o sobre otros problemas de auditoría?  Si es así, esa es una tremenda bandera roja que claramente garantiza una auditoría de seguimiento. Sin embargo, si su cliente es de confianza y usted tiene una relación de trabajo abierta y sincera, es posible que desee confiar en su afirmación de que se han implementado acciones correctivas. Si los problemas son particularmente de alto riesgo, es posible que aún desee realizar un seguimiento selectivo o por muestreo para asegurarse de que la afirmación de la administración sea correcta.
• ¿Fue la acción correctiva planificada tan compleja que probablemente causaría problemas imprevistos  ? Es más probable que los controles se descompongan cuando se están cambiando los procesos; y cuando se realizan cambios complejos, puede justificarse una revisión adicional. Pero si las acciones correctivas planificadas son relativamente sencillas, los errores son menos probables y es posible que no se justifique una revisión. 
• ¿Es probable que se repitan los resultados?  Si conoce bien a sus clientes, es posible que conozca algunos gerentes que tienden a cometer los mismos errores o que parecen subestimar la importancia de los controles internos. Cuando un cliente es propenso a los errores o cuando a menudo tiene resultados repetidos, los riesgos son mayores. Pero si las operaciones están bien controladas y el cliente informa que la acción correctiva está completa, es posible que pueda omitir la visita de seguimiento. 
• ¿La auditoría de seguimiento es requerida por el comité de auditoría o por reglamento?  Como se señaló anteriormente, algunos comités de auditoría insisten en las auditorías de seguimiento, particularmente en aquellos con resultados de mayor riesgo. Si el CAE cree que esta expectativa está conduciendo a un uso ineficiente de los recursos de auditoría interna, recomendaría una conversación sincera con la administración y el comité de auditoría que describa disposiciones alternativas como se describe en la guía de implementación del IIA para el Estándar 2500. Pero la decisión es en última instancia, de la junta directiva. no la nuestra. 

Si, después de una evaluación cuidadosa, las auditorías de seguimiento a menudo parecen justificadas, es posible que desee preguntarse  por qué los planes de implementación de su organización se desvían . ¿Fueron vagas tus recomendaciones? ¿Fuiste poco persuasivo? ¿No escuchó a la gerencia o se tomó en serio sus objeciones? ¿Las recomendaciones o los planes de acción de gestión son poco claros o inespecíficos? ¿Existe una cultura de incumplimiento dentro de la organización? 

Obviamente, es mejor encontrar errores repetidos que pasarlos por alto, y en ocasiones eso puede significar que se requiere una auditoría de seguimiento. Pero los hallazgos repetidos a menudo son tanto un fracaso para la auditoría interna como para la administración. Si necesitamos auditorías de seguimiento con frecuencia para hacer el trabajo, entonces necesitamos llegar a la causa raíz. Es mejor prevenir las fallas de seguimiento que detectarlas después del hecho.

Es hora de que reconozcamos que el objetivo final no son las puntuaciones de las auditorías de seguimiento. En su lugar, el objetivo es que se implementen acciones correctivas y que exista un sistema de monitoreo que permita garantizarlo.

Como siempre, este blog representa mis opiniones y no debe sustituirse por la orientación formal del IIA. Pero espero que te provoque repensar cualquier proceso obsoleto que tengas implementado.

SOBRE EL AUTOR

Richard F. Chambers, CIA, QIAL, CGAP, CCSA, CRMA, es presidente y CEO de The IIA. En Chambers on the Profession , comparte sus reflexiones e ideas personales en base a sus 40 años de experiencia en la profesión de auditoría interna.