Auditoría Externa

Informe de una organización de servicio – Pruebas de eficacia del diseño o eficacia operativa    

Si eres una organización dedicada a prestar servicios de outsourcing, muy seguramente necesitarás obtener un informe tipo 1 o tipo 2, y es probable que te surjan muchas preguntas.

Cuando prestamos este tipo de servicios, nuestros clientes se preguntan sobre el tiempo, el nivel de esfuerzo de auditoría, cómo se prueban los controles y los costos o inversión que deberán efectuar.

Para efectuar un informe tipo 1 se requieren pruebas de diseño e implementación, mientras que para los informes tipo 2 se requieren, adicionalmente, pruebas de eficacia operativa. En este artículo abordaremos cuál es la diferencia entre una prueba de diseño y un control en relación con una prueba de la eficacia operativa de un control, y cómo se realizan este tipo de pruebas en una auditoría.

Diferencia entre la prueba de diseño y la prueba de eficacia operativa

Prueba de diseño

Una prueba de diseño valida que el control está adecuadamente descrito e implementado, es decir que operó como mínimo una vez. Se valida que la organización de servicios identificó los riesgos que amenazan el logro de los objetivos de control establecidos en la descripción del sistema. Los controles identificados en la descripción ofrecen, en caso de operar como se indica, seguridad razonable de que esos riesgos no impiden el logro de los objetivos de control establecidos. Esto incluye que las personas con autoridad y competencia hayan aplicado dichos controles.

Las pruebas principales consisten en:

• La evaluación de la anatomía del control
• La realización de una prueba de recorrido
• La inspección de la ejecución del control
• La verificación de la autoridad y competencia de quien desarrollo el control

Al realizar estos procedimientos, el auditor puede validar y opinar dentro de un informe Tipo 1 que la organización ha diseñado el control que afirman tener.

Prueba de eficacia operativa

Una prueba de eficacia operativa se realiza para aquellos controles que se consideran adecuados en su diseño. Ahora, una prueba de la eficacia operativa de un control interno particular responde si el control funcionó o no de manera consistente durante un período de tiempo en el pasado (generalmente 12 meses). 

Para probar la efectividad operativa, el auditor tendrá que examinar una muestra de eventos que generan la ejecución del control durante el período objeto de auditoría. Los tamaños de las muestras dependerán de los tamaños de las poblaciones que son objeto de muestreo, generalmente se obtienen de tablas de frecuencias de control como la siguiente:

El auditor debe asegurar la integridad de la información suministrada por el cliente para garantizar que cualquiera evento de la población, que debe ser sujeto de muestreo, tiene la posibilidad de ser seleccionada.

El auditor debe ejecutar el control para lo cual tiene que obtener, de la muestra seleccionada, todos los reportes, computación de usuario final, querys o presentaciones en Power Point que genera el dueño del control para la ejecución del mismo. También debe asegurarse de efectuar la documentación correspondiente de cada IPE (Información Preparada por el Cliente) y concluir por cada IPE si es o no adecuada.

El resultado de la evaluación permitirá, en un informe tipo 2, confirmar con suficiente seguridad que el control ha operado en el periodo objeto de evaluación.

Resumen

En resumen, probar el diseño de un control es un "punto en el tiempo". Ahora, probar la efectividad operativa de un control interno es probar la operación de control durante un “periodo de tiempo”, lo que requeriría una muestra. Teniendo esto en cuenta, un informe tipo 1 en el que solo se realice el diseño de los controles requeriría menos tiempo y esfuerzo.  Esto en comparación, especialmente, con las pruebas de la efectividad operativa de los controles durante un periodo de tiempo, como se hace mediante el uso de pruebas de muestra en un informe de Tipo 2.

Sin embargo, probar la efectividad operativa en un informe Tipo 2 brinda a los lectores del informe una mayor seguridad sobre si el entorno de control interno de una organización está funcionando correctamente.

CP Alexander Camargo M.

Contador Público, CFCS “Especialista Certificado en delitos financieros”, especialista en Control Interno de la Universidad Militar Nueva Granada, magíster en Gestión Integral del Riesgo de la Universidad Externado de Colombia (Pendiente Tesis). Cuenta con más de 25 años de experiencia en procesos de aseguramiento y consulta en empresas de diferentes sectores de la economía adquirida en firmas internacionales de auditoría, KPMG y CROWE. Actualmente CEO de C&G Auditores y Consultores Ltda.

•  www.auditorescyg.com
• https://www.facebook.com/Cygauditor
• https://www.linkedin.com/company/cygauditore/
• https://www.instagram.com/auditorescyg/