Auditoría de TI

Por: CP Iván Rodríguez. Colaborador de Auditool.

La Automatización Robótica de Procesos (Robotic Process Automation – RPA) es una tecnología que utiliza programas y aplicaciones para automatizar tareas repetitivas y basadas en reglas dentro de los procesos empresariales. Normalmente, los bots^[1] de RPA imitan las acciones humanas en sistemas digitales, como capturar datos, realizar cálculos, mover archivos y llenar formularios, permitiendo a las empresas aumentar la eficiencia y reducir errores.

La RPA posee diferentes ventajas al usar los bots, entre las que se encuentran:

• Ahorro de tiempo: Los bots suelen realizar tareas repetitivas mucho más rápido que los humanos.
• Reducción de costos: La automatización de procesos manuales permite disminuir los costos operativos.
• Mayor precisión: Los bots suelen eliminar errores humanos comunes, en tareas repetitivas.
• Escalabilidad: Los bots permiten abordar grandes volúmenes de trabajo sin mayores dificultades.
• Mejora del cumplimiento: Los bots pueden configurarse para cumplir estrictamente con las normativas y políticas internas.

Algunos ejemplos de aplicación de RPA son la generación de facturas, conciliaciones bancarias, procesamiento de pagos, actualización de bases de datos, manejo de nóminas, respuesta a consultas comunes entre otras actividades.

Ahora bien, la automatización robótica de procesos puede integrarse al marco de control interno de COSO para garantizar una gobernanza efectiva y minimizar los riesgos. En la medida en que las organizaciones adoptan RPA para automatizar sus tareas repetitivas, deben enfrentar desafíos relacionados con la seguridad, el control interno y la gobernanza. En ese sentido, puede lograrse un enfoque estructurado basado en los componentes de COSO, de la siguiente manera:

Entorno de Control

Este componente establece la base para un sistema efectivo de control interno al influir en la cultura y las normas de control de la organización. Al aplicarlo en RPA, se pueden considerar las siguientes líneas de acción:

• Competencia: Garantizar que los desarrolladores de bots estén capacitados en tecnologías de RPA y principios de control interno.
• Supervisión: Crear una unidad central de gobernanza, como un Centro de Excelencia, para coordinar las iniciativas de RPA.
• Roles claros: Definir responsabilidades para la gestión de RPA, asegurando la alineación con los valores éticos y estratégicos de la organización.

Evaluación de Riesgos

Este componente se enfoca en identificar, analizar y mitigar riesgos relevantes para los objetivos organizacionales. Al aplicarlo en RPA se debe tener en cuenta:

• Identificar procesos adecuados para la automatización y evaluar su impacto en los controles existentes.
• Reconocer vulnerabilidades específicas de RPA, como accesos no autorizados o dependencia excesiva de bots en procesos críticos.
• Desarrollar planes de respaldo y continuidad del negocio para abordar fallos en bots y evitar interrupciones operativas.

Actividades de Control

Incluye las políticas, procedimientos y acciones que ayudan a garantizar que se implementen las directivas de la administración. Su aplicación en RPA considera las siguientes acciones:

• Controles de acceso: Restringir acceso al código de los bots según las responsabilidades laborales mediante controles basados en roles (RBAC).
• Gestión de cambios: Establecer un proceso formal para documentar, probar y aprobar actualizaciones en los bots.
• Cumplimiento normativo: Integrar bots en el marco de control existente, asegurando adherencia a estándares de TI y normativas regulatorias.

Información y Comunicación

De acuerdo con este componente, se garantiza la generación y el flujo adecuado de información para apoyar el control interno y la toma de decisiones. En el caso del RPA, es conveniente:

• Mantener un inventario preciso y actualizado de todos los bots implementados, especialmente los desatendidos.
• Establecer registros de auditoría de las actividades de los bots para fomentar transparencia.
• Facilitar la comunicación entre equipos de TI, desarrollo y unidades de negocio para alinear las iniciativas de RPA con los objetivos organizacionales.

Actividades de Monitoreo

Dicho componente se centra en evaluar la eficacia de los controles internos a través de supervisión continua y evaluaciones separadas. En el caso de RPA pueden seguirse las siguientes líneas de acción:

• Implementar sistemas automatizados para monitorear el uso y desempeño de los bots, identificando desviaciones de las operaciones programadas.
• Realizar auditorías internas y externas para evaluar la gobernanza de RPA y detectar áreas de mejora.
• Documentar y analizar incidentes operativos relacionados con los bots, utilizando estas lecciones para mejorar los controles.

La integración de los principios de COSO en las iniciativas de RPA, permite que las organizaciones pueden abordar los riesgos asociados con la automatización, mantener la integridad del control interno y maximizar los beneficios operativos. Este es un enfoque estructurado que contribuye a mantener una gobernanza robusta y así lograr el debido equilibrio de la eficiencia con la seguridad y el cumplimiento normativo.

Los auditores (y por supuesto, la alta dirección de las organizaciones) deben tener en cuenta que la integración efectiva de RPA y COSO requiere una planificación cuidadosa, supervisión constante y un enfoque equilibrado entre automatización y participación humana. Es así como las organizaciones pueden maximizar los beneficios de RPA mientras mitigan los riesgos asociados.

^[1] Se entiende por bot una aplicación (programa o aplicativo) automatizada que realiza tareas repetitivas en una red o sistema.

CP Iván Rodríguez - CIE AF

Auditor y consultor, diplomado en Alta Gerencia de Seguros y Derecho de Seguros. Especialista en Dirección Financiera y Desarrollo Organizacional, diplomado en Gerencia de la Calidad. Contador público (CP) de la Pontificia Universidad Javeriana con 20 años de experiencia en diversas empresas. Tiene amplia experiencia en la elaboración y ejecución de auditorías y revisorías fiscales. Dirección y ejecución de asesorías, consultorías y capacitaciones. Colaborador de Auditool.

Bogotá DC, Colombia.