viernes, 7 de junio de 2019

¿QUÉ PIENSAN CUANDO VIENEN LOS AUDITORES INTERNOS?

Estándar
Ia casa en linea
03 de junio de 2019
Hemos terminado el Mes de Concientización de Auditoría Interna Internacional, mi plan es tirar la moneda para junio. Al igual que nuestra profesión se centró en el exterior durante el mes pasado para mostrar el talento y el valor que aportamos a nuestras organizaciones, creo que junio debería ser un mes para la introspección, lo que extraoficialmente llamaré “Mes de la autoconciencia de la auditoría interna”. Las publicaciones de mi blog de este mes revisarán las publicaciones anteriores de esta serie que nos ayudarán a mirar hacia adentro.
Este tema es tan vital como cualquier esfuerzo para crear conciencia acerca de nuestra profesión. Debemos tener una visión realista y dura de lo que hacemos, cómo lo hacemos y cómo somos vistos por aquellos que están fuera de la función de auditoría interna. Como profesión, a veces sucumbimos a la cámara de eco que suena nuestra queja perenne: la auditoría interna es difamada y mal entendida o no se valora como debería ser. Estas condiciones a menudo son ciertas, pero debemos estar dispuestos a examinar cómo nuestras acciones, actitudes y prácticas contribuyen a ellas.
Lo que sigue es una publicación de blog publicada por primera vez en 2013 que aún hoy sigue vigente. Los auditores internos pueden ser sus propios peores enemigos al hacer que las interacciones con quienes auditamos sean incómodas y de confrontación. Si bien hemos logrado grandes avances en la mejora de nuestras habilidades sociales, nunca está de más recordar que se recuerde la importancia y el valor de las interacciones positivas y de colaboración.
Auditor: n) de la anglo-francesa  auditour  – oyente .
¿Eres bueno escuchando? Es curioso cómo “auditor”, una palabra que comenzó como algo tan deseable, ha llegado a evocar miedo y temor entre algunos, como “dentista”.
Somos víctimas de los estereotipos que perpetuamos. Menciona la palabra Auditoría y, para muchas personas, su nivel de ansiedad aumentará. Para algunos, la asociación más cercana emocionalmente sería la de obtener una multa de tráfico. Piénsalo. ¿Qué tan diferente te haría sentir si el oficial de policía que te detuvo, en lugar de solo darte las malas noticias, te felicitara por conducir y se posicionara para ayudarlo? Bueno, tal vez esa analogía es un tramo.
Nuestros estándares profesionales dicen que tenemos que ser objetivos, pero eso no significa que no podamos ser humanos. Ya hay una tendencia para que la gente vea a los auditores internos como fríos e impersonales. Sugiero que nos corresponda cambiar este estereotipo al 1) reconocer que existe, y 2) trabajar activamente para cambiarlo mejorando las habilidades de nuestra gente. 
El punto es que los compromisos / entrevistas de auditoría interna exitosos a menudo pueden comenzar simplemente rompiendo el hielo. Unos pocos minutos invertidos en conocer a aquellos que estamos auditando o entrevistando como personas en lugar de “auditados” (Dios mío, odio ese término), pueden pagar dividendos durante todo el proceso, y especialmente cuando se trata de obtener la aceptación de la implementación de recomendaciones de auditoria.
A pesar de los estereotipos, los auditores internos son los humanos primero. Es solo en tratar de ser tan estrictos que sea posible que podamos apagar accidentalmente nuestros interruptores de personalidad, y creo que lo hacemos en nuestro propio detrimento. Una de las características distintivas de los buenos auditores internos es su escepticismo profesional. Sin embargo, como he señalado anteriormente, hay una línea muy fina entre el escepticismo y la sospecha. Aquellos auditores internos que ponen sus sospechas en sus mangas son los que dan mala fama a la profesión. Creo que es posible ser colegial y objetivo al mismo tiempo: “confiar pero verificar”, como dice la expresión anterior.
Puede ser útil reconocer que aquellos a los que auditamos enfrentan exactamente los mismos problemas y desafíos que nosotros. Están bajo las mismas presiones de tiempo y las mismas restricciones de recursos. La única diferencia es que somos lo suficientemente afortunados como para no ser los que están siendo auditados. Y, como he señalado a menudo, deberíamos estar muy contentos de que así sea, porque no estoy tan seguro de que todo lo que hacemos como auditores internos sea tan eficiente y efectivo como sea posible.
De lo que realmente estoy hablando aquí es de la empatía. Someterse a una auditoría es un ejercicio de vulnerabilidad. Un poco de comprensión humana básica puede contribuir en gran medida a cambiar la forma en que las personas piensan de los auditores internos. Recuerda, nuestro objetivo aquí es mejorar la organización. Eso generalmente funciona mejor cuando todos trabajamos juntos.
Por lo tanto, la próxima vez que elabore una carta o nota que anuncie una próxima auditoría, póngase en el lugar del destinatario. ¿Qué piensan cuando te oyen venir? ¿Están llenos de temor y ansiedad, o esperan la validación de sus logros y el asesoramiento constructivo que ofrecerá al final de la auditoría? Debemos esforzarnos incesantemente por lo último.
Doy la bienvenida a sus pensamientos sobre este tema atemporal.
El Auditor Interno se complace en brindarle la oportunidad de compartir sus opiniones sobre los artículos publicados en este sitio. Algunos comentarios pueden ser reimpresos en otros lugares, en línea o fuera de línea. Alentamos la discusión abierta y enérgica y solo le pedimos que se abstenga de hacer comentarios y observaciones personales que estén fuera de tema. El auditor interno se reserva el derecho de eliminar comentarios.
Autor:
Richard F. Chambers, CIA, QIAL, CGAP, CCSA, CRMA, es presidente y CEO de The IIA. En Chambers on the Profession , comparte sus reflexiones e ideas personales en base a sus 40 años de experiencia en la profesión de auditoría interna.

UN DÍA MENOS

Estándar
domingo, 2 de junio de 2019
Blog:
Nahun Frett, MBA, CIA, CCSA, CRMA, CPA, CFE
AUDITOR INTERNO – INSTRUCTOR – CONSULTOR – CONFERENCISTA

LENGUAJE NO VERBAL PARA SER LÍDER

Estándar
sábado, 1 de junio de 2019
Blog:
Nahun Frett, MBA, CIA, CCSA, CRMA, CPA, CFE
AUDITOR INTERNO – INSTRUCTOR – CONSULTOR – CONFERENCISTA

EL FANTASMA DEL CONTROL REPRESIVO

Estándar
CONTROL INTERNO  
Por: Marco Bonilla. Colaborador de Auditool
“A veces pienso que en el trabajo me odian, pero me acuerdo que soy de control interno y se me pasa”.
Desde tiempos inmemoriales se concibió la figura del CONTROL, como una práctica asociada a la vigilancia, al dominio mediante el uso de la fuerza, al establecimiento del control por medios policivos, a veces bajo presiones atribuibles a manifestaciones de miedo o castigo, razón por la cual nuestras actuaciones obedecían prácticamente a tratar de hacer las cosas bajo intimidación física, psicológica o ante toda clase de repercusiones negativas, constituyéndose en el pasado la figura del control como una cultura represiva,
Paradigma que por fortuna cambio en su concepción y que por supuesto debe ser un referente importante desde la misma cultura familiar  encaminada y comprometida con el desarrollo de la persona y con la realización de valores esenciales  y con miras a la formación integral, desarrollada posteriormente desde las aulas de estudio,  la investigación y la participación de la comunidad universitaria en la vida política, cultural y socioeconómica de la nación;  dentro de un contexto académico pero material dedicado a observar las necesidades arraigadas y severas que afronta los países, como es el caso de la corrupción, el Fraude y el ineficiente manejo de los recursos, para que desde su competencia sean sus profesionales los forjadores de administraciones limpias, con comportamientos éticos, fundamentados esencialmente en una nueva cultura de lo que significa controlar.
La Administración moderna ante la necesidad de generar operación y gestión de manera mediática y con alto contenido de utilidad, asume riesgos que por lo general no son fáciles de contener y que en la mayoría de ocasiones generan descalabros a las organizaciones, mucho más difícil de recuperar.
Para hacer más fuerte y consistente éste proceder, es necesario la adopción de una serie de elementos formales, intrínsecos dentro de las propias funciones, procesos y actividades, so pena de caer en el fracaso, y estoy refiriéndome a CONTROLES como la planeación, presupuestación, calidad del talento humano en todos los niveles, sistemas de información automatizados y fiables, procesos y actividades administrativas formalizadas y  controladas a través de indicadores y metas como una manera de corregir el rumbo y  de aplicar el AUTOCONTROL.
De modo que el problema no es, detectar las causas y la materialidad de los hechos a través de auditorías posteriores y selectivas, si no la de generar acciones preventivas a través de prácticas de control interno que garanticen el adecuado manejo, uso y aplicación de los recursos.
De tal suerte que la respuesta está en el fortalecimiento del control interno, donde la responsabilidad y el control recaiga sobre los gerentes, directores, presidentes y todos los que hacen parte de la organización en razón a sus roles y competencia, comprometidos y éticos.
Hasta Pronto.
IMPORTANTE: Ya está disponible la versión digital del libro Formación de Líderes de Auditoría y Control Interno. Mayor información AQUÍ
Marcbon/007  
E-MAIL:  marco.bonilla@auditool.org

¿CÓMO DOCUMENTAR LAS PRUEBAS DE DETALLE EN UNA AUDITORÍA?

Estándar
AUDITORÍA EXTERNA  
PRUEBAS DE DETALLE
Las pruebas de detalle son procedimientos de auditoría en los que los montos que conforman un saldo de cuenta, clase de transacciones o revelación, se comparan con información corroborante. Estas pruebas generalmente se dirigen a cuentas de balance y se usan para probar la existencia, propiedad y valoración de activos, y la existencia, obligación y monto de los pasivos. Ejemplos de pruebas de detalle: El registro de las inversiones temporales se confrontan contra la existencia física de los títulos originales; la mercancía en almacén contra los Kardex y registros contables; las cuentas por cobrar en relación con la existencia de pagarés, garantías o documento que legitiman el derecho.
El auditor debe documentar lo siguiente para pruebas de detalle:
  • La naturaleza, tiempo y extensión de las pruebas
  • La vinculación de esos procedimientos con los riesgos evaluados en el nivel de aseveración relevante
  • Los resultados de los procedimientos de auditoría
Para pruebas de detalle, los papeles de trabajo generalmente muestran lo siguiente:
  • El saldo de la cuenta
  • Fecha del balance probado
  • Objetivos de la prueba
  • Procedimientos aplicados alineados con los objetivos
  • Resultados de los procedimientos
  • Elementos a los que se aplicaron las pruebas
  • Cualquier ítem que no fue adecuadamente soportado y su disposición
  • Resúmenes o copias de contratos o acuerdos significativos que se examinaron para evaluar la contabilidad para transacciones significativas
  • Conclusiones que respondan a los objetivos de la prueba
Cuando las pruebas de detalle se realizan por muestreo, los documentos de trabajo también pueden mostrar:
  • Cómo se determinó el tamaño de la muestra
  • Cómo se seleccionó la muestra
  • Cómo se proyectaron las representaciones erróneas a la población
Para un procedimiento que requiere consultas del personal de una entidad específica, el auditor puede registrar:
  • Las fechas de las consultas
  • Los nombres y designaciones de trabajo del personal de la entidad
  • La indagación realizada y
  • La respuesta recibida
Para un procedimiento de observación, el auditor puede registrar:
  • El proceso o materia objeto de observación
  • Los individuos relevantes
  • Sus respectivas responsabilidades y
  • Dónde y cuándo se realizó la observación
Un auditor que no haya solicitado confirmaciones en las cuentas por cobrar de prueba debe documentar cómo superó la presunción de que el auditor confirmará las cuentas por cobrar, a menos que:
  • Las cuentas por cobrar sean inmateriales
  • El uso de confirmaciones sea ineficaz
  • Los niveles evaluados de riesgo inherente y de control son bajos
  • La provisión por procedimientos sustantivos es suficiente para reducir el riesgo de auditoría a un nivel aceptablemente bajo
Al identificar los artículos confirmados o inspeccionados, los documentos de trabajo a menudo enumeran cada artículo individual. Sin embargo, dependiendo de los criterios de selección, una lista detallada podría no ser necesaria. La tabla a continuación sugiere los requisitos mínimos de documentación para varios métodos de selección de elementos a probar.
Criterio de selecciónLo que podría estar documentado
Muestra aleatoria
o al azar
Características de identificación (por ejemplo, los números de factura específicos de los artículos incluidos en la muestra)
Todos los artículos sobre un monto en dólares especificadoEl alcance y la identificación del listado (por ejemplo, todas las facturas sobre $ 25,000 del diario de ventas de diciembre)
Muestra sistemáticaIdentificación de la fuente de los documentos y una indicación del punto de inicio y el intervalo de muestreo (por ejemplo, una muestra sistemática de los informes de envío se seleccionó del registro de envío para el período de X a Y, y comenzó con el número de informe 14564 y seleccionando cada 250 desde ese punto)
Equipo Auditool

¿CÓMO EVALUAR LA SEGURIDAD EN EL ACCESO A UNA APLICACIÓN?

Estándar
AUDITORÍA DE TI  
Por: Javier Klus. Colaborador de Auditool
Aspectos claves a considerar al momento de evaluar la seguridad en el acceso a una aplicación
Uno de los aspectos más importantes a tener en consideración cuando evaluamos el ambiente de control de una compañía y más específicamente el  grado de madurez de su marco de control interno, es poder determinar los controles que la compañía ha implementado en cuanto al acceso no autorizado a aplicaciones de la compañía.
Como sabemos las empresas cada vez más dependen de los sistemas y aplicaciones computadorizadas, es decir la mayoría de los procesos de una compañía están soportados por sistemas: liquidamos sueldos, generamos órdenes de compra, facturamos, despachamos, generamos el balance de la compañía y podemos seguir enumerando otras actividades y funciones en donde los sistemas se han convertido en protagonistas indispensables para que una empresa pueda funcionar.
Teniendo en cuenta esta realidad, la cual se irá cada vez más potenciando en el tiempo, resulta innegable que debemos tener establecidos mecanismos que establezcan controles en el acceso a los sistemas y a las funciones que los mismos otorgan.
Como una guía para quienes están analizando esta dimensión, les adjunto 5 controles claves (tomen estos controles como un marco mínimo que cualquier compañía debería tener implementado a los fines de evitar riesgos).  Obviamente, en función de la complejidad, procesos y sistemas, cada compañía irá definiendo sus propias matrices de controles y controles claves.
Control ClaveDescripción
Las solicitudes de acceso a la aplicación son revisadas y autorizadas adecuadamente por la gerenciaTodas las solicitudes de acceso para usuarios de aplicaciones nuevas o existentes se revisan para verificar el cumplimiento de las prácticas/ políticas de trabajo de la compañía para garantizar que los derechos de acceso sean proporcionales a sus responsabilidades laborales, y los mismos son aprobados por una persona adecuada e ingresados de manera precisa en el sistema.
Los derechos de acceso de usuarios que han dejado de pertenecer a la organización son removidos en tiempo oportunoLos derechos de acceso de los usuarios a las aplicaciones se eliminan de manera oportuna para los empleados despedidos.
Las transacciones  de súper-usuarios o bien usuarios genéricos sensitivos son monitoreadas de forma regularLas transacciones o actividades de alto riesgo / poderosas (p.e. Super-usuarios, etc.) de aplicaciones y las identificaciones genéricas sensibles, se supervisan de acuerdo con la prácticas / políticas de trabajo de la compañía. Situaciones inesperadas son investigadas y resueltas de forma oportuna.
Los derechos de acceso a las aplicaciones se monitorean periódicamente para determinar su idoneidadLa Gerencia revisa periódicamente los derechos de acceso a las aplicaciones para garantizar que los derechos de acceso individuales sean proporcionales a las responsabilidadades de trabajo. Las excepciones indicadas se investigan y resuelven de manera oportuna.
Las contraseñas de las aplicaciones y las configuraciones de seguridad se parametrizan de manera efectivaEl acceso a las aplicaciones  está protegido con contraseñas y cumple con políticas documentadas o prácticas de trabajo que detallan las configuraciones de contraseñas (p.e. longitud mínima, caducidad, complejidad, etc.) y parámetros  de seguridad configurables (p.e. configuración de modo de seguridad, configuración fallida de bloqueo de inicio de sesión, etc.).
Como anteriormente les mencioné este es un marco mínimo (columna vertebral) de controles claves que deberíamos tener en cuenta y que la compañía debería tener implementados a fin de por mitigar los riesgos más relevantes.  Espero que los mismos les sean de utilidad.
Javier Klus
Gerente de Auditoría de una firma internacional de auditoría, especialista en Auditoría Interna, Control Interno, Auditoría, Evaluación de Riesgos, Riesgo Financiero, SOX, Gestión de Riesgo, Gestión de Proyectos, Riesgo Operacional. (Universidades Pontificia Universidad Católica Argentina, Instituto de Auditores Internos, Universidad Politécnica de Madrid, Universidad Argentina de la Empresa).
Buenos Aires, Argentina

¿CÓMO ELABORAR DE FORMA CORRECTA UN DICTAMEN DE AUDITORÍA CON PROPÓSITO ESPECIAL?

Estándar
Logo
auditoría
1 junio, 2019
Tanto los estados financieros, las cuentas específicas, los convenios contractuales y los estados financieros resumidos están sometidos a las nuevas normas de auditoria con propósito especial. En el caso de los estados financieros, se incluyen los que están preparados según una base integral de contabilización diferente de las Normas Internacionales o nacionales.
Cualquier trabajo de auditoría con propósito especial, excepto por un informe sobre estados financieros resumidos, obligatoriamente debe contener título, destinatario, párrafo de entrada (aquí se muestra la identificación de la información financiera auditada y una declaración de la responsabilidad de la administración de la entidad y de la responsabilidad del auditor), y también debe contener un párrafo de opinión, la fecha, la dirección del auditor y la firma del mismo.
Los puntos mencionados anteriormente son importantes, sobre todo el párrafo de opinión, ya que la naturaleza del trabajo que va a ser desarrollado es cambiante de acuerdo a las circunstancias. Por ello, el auditor también debe asegurarse de que hay claridad en el acuerdo sobre la naturaleza del trabajo y la forma como será emitido.
Cuando se le solicita un dictamen en un formato prescrito, el auditor deberá considerar la naturaleza del dictamen prescrito y si es necesario necesario  hacer los cambios indicados para conformarlo a los requerimientos de esta NIA, ya sea anexando uno por separado o corrigiendo el anterior.