El control es automático. Perfecto: también puede equivocarse 10.000 veces sin cansarse.
Automatizar puede eliminar muchos errores humanos. Pero también puede convertir un pequeño error de configuración, programación o datos en miles de operaciones procesadas incorrectamente con una precisión impecable.
“Preguntamos quién hacía el control y respondieron: el ERP.”
Es una escena cada vez más común en auditoría.
El auditor pregunta:
—¿Quién valida que el precio facturado coincida con el precio autorizado?
—El sistema.
—¿Quién evita que se procese una orden por encima del límite aprobado?
—El sistema.
—¿Quién calcula los descuentos?
—El sistema.
Y, casi sin darnos cuenta, aparece una asociación peligrosa:
Pero esa igualdad no existe.
Un control automatizado puede ser extraordinariamente consistente, rápido y eficiente. Precisamente por eso, cuando está mal diseñado o configurado también puede ejecutar el error de manera extraordinariamente consistente, rápida y eficiente.
Un empleado puede equivocarse una vez. Un control automatizado mal configurado puede repetir exactamente el mismo error 10.000 veces sin cansarse, sin dudar y sin levantar la mano.
1. El verdadero riesgo de la automatización
Uno de los principales beneficios de automatizar un control es reducir la dependencia de la intervención humana.
Un sistema puede:
- comparar automáticamente límites;
- bloquear determinadas transacciones;
- calcular descuentos;
- validar campos obligatorios;
- generar alertas;
- impedir pagos duplicados;
- segregar determinadas funciones;
- calcular intereses, provisiones o depreciaciones.
Eso es excelente.
Hasta que el auditor formula una pregunta distinta:
Porque detrás de cualquier control automatizado existen, entre otros, parámetros, reglas, algoritmos, interfaces, datos maestros, accesos y cambios de configuración.
Y cada uno puede fallar.
| Elemento | Ejemplo de falla | Consecuencia posible |
|---|---|---|
| Configuración | Límite de autorización configurado en $100 millones en lugar de $10 millones. | Transacciones no autorizadas pueden procesarse. |
| Programación | Una regla calcula incorrectamente una comisión. | El error se replica sobre miles de operaciones. |
| Datos maestros | Condición tributaria equivocada en el maestro del proveedor. | El sistema aplica sistemáticamente un tratamiento incorrecto. |
| Interfaz | El ERP no recibe todas las operaciones provenientes de otro sistema. | Controles posteriores operan sobre información incompleta. |
| Accesos | Un usuario puede modificar parámetros críticos. | El control puede alterarse o evadirse. |
2. El error que puede cometer el auditor
El problema no está únicamente en el sistema.
También está en una posible conclusión prematura del auditor:
“Como el control es automático, el riesgo de error es bajo.”
Eso puede ser exactamente al revés.
Si un control manual falla, posiblemente afecte una o varias operaciones.
Si una regla automática está equivocada, la falla puede ser sistemática y afectar toda la población procesada bajo esa regla.
Por eso la pregunta correcta no es:
“¿El control es automático?”
Sino:
3. Las cinco preguntas mínimas que todo auditor debería hacer
4. Mini caso: un control que funcionaba perfectamente… mal
Escenario:
Una empresa tiene configurado un control automático que impide aprobar descuentos superiores al porcentaje autorizado para cada perfil comercial.
Durante meses no existen reportes de fallas.
El sistema funciona rápidamente. No presenta errores técnicos. Nadie reporta incidentes.
El auditor pregunta:
—¿Cuál es el porcentaje máximo permitido?
La gerencia responde:
—10 %.
Pero al revisar la parametrización, el auditor encuentra que el ERP tiene configurado:
El sistema no estaba fallando.
Estaba ejecutando perfectamente la instrucción equivocada.
Este ejemplo encierra una enseñanza importante:
5. Tres niveles que el auditor no debería confundir
| Nivel | Pregunta | Qué demuestra |
|---|---|---|
| 1. Existe | ¿El sistema tiene configurado el control? | Existencia. |
| 2. Está bien diseñado | ¿La lógica permite prevenir o detectar realmente el riesgo? | Diseño adecuado. |
| 3. Opera efectivamente | ¿Ha funcionado como estaba diseñado durante el periodo? | Efectividad operativa. |
Encontrar el control dentro del sistema no basta.
Ver una parametrización tampoco basta.
Incluso probar una sola transacción puede ser insuficiente dependiendo del riesgo, de la naturaleza del control y de los cambios ocurridos durante el periodo.
6. El auditor también debe mirar lo que rodea al control
Existe otro punto crítico.
Muchos controles automatizados dependen de que determinados controles generales de tecnología funcionen adecuadamente.
Piensa, por ejemplo, en:
¿Quién puede modificar la aplicación o sus parámetros?
¿Cómo se autorizan, prueban y migran modificaciones?
¿Los procesos tecnológicos que soportan el control funcionan correctamente?
Si cualquier persona puede modificar la regla sin autorización, la confiabilidad del control automatizado disminuye.
Si los cambios al sistema no se prueban adecuadamente, una actualización puede modificar inadvertidamente su funcionamiento.
Por eso auditar un control automático muchas veces exige mirar más allá de la pantalla donde aparece configurado.
7. Prueba rápida: las 10 preguntas que deberías poder responder
- ¿Qué riesgo pretende mitigar el control?
- ¿Qué evento dispara su ejecución?
- ¿Cuál es exactamente la lógica programada?
- ¿Qué parámetros utiliza?
- ¿De dónde provienen los datos?
- ¿Quién puede modificar la configuración?
- ¿Cómo se autorizan los cambios?
- ¿Qué ocurre cuando detecta una excepción?
- ¿Existe evidencia de que ha operado durante el periodo?
- ¿Qué controles tecnológicos soportan su funcionamiento?
Regla práctica: si frente a un control automático solamente puedes explicar qué hace, pero no puedes explicar cómo lo hace, con qué datos, quién puede modificarlo y cómo maneja las excepciones, todavía probablemente no conoces suficientemente el control.
8. Una forma diferente de pensar
Cuando escuches nuevamente:
No cierres tu papel de trabajo.
Ábrelo.
Esa respuesta debería generar más preguntas:
- ¿Cómo está configurado?
- ¿Quién definió la regla?
- ¿Quién puede modificarla?
- ¿Qué pasa si los datos de entrada son incorrectos?
- ¿Cómo sé que funcionó durante todo el periodo?
La automatización no elimina la necesidad de auditoría.
En muchos casos, cambia el lugar donde el auditor debe buscar el riesgo.
Para llevarte a tu próxima auditoría
Cuando evalúes un control automatizado recuerda estas cinco preguntas:
✓ ¿Qué dispara el control?
✓ ¿Qué lógica utiliza?
✓ ¿Quién puede modificarlo?
✓ ¿Qué datos recibe?
✓ ¿Qué ocurre con las excepciones?
Porque un sistema no necesita cansarse para cometer 10.000 errores. Solo necesita que alguien le haya enseñado una vez a hacer perfectamente lo incorrecto.
Del concepto al papel de trabajo
Identificar que un control es automático es apenas el comienzo. El verdadero trabajo del auditor consiste en evaluar su diseño, parametrización, datos, accesos, cambios, excepciones y evidencia de operación.
En Auditool puedes complementar este enfoque con programas de auditoría, matrices de riesgos tecnológicos, listas de verificación y herramientas prácticas que te ayuden a convertir estas preguntas en procedimientos documentados y conclusiones defendibles.
Y luego Agregar a la pantalla de inicio.
Escribir un comentario