El proceso auditor tiene, como cualquier otro proceso empresarial, varias fases, debiendo ser atendidas y revisadas convenientemente para asegurar que se alcancen los objetivos perseguidos. En el caso de las auditorías internas el objetivo es el garantizar razonablemente el grado de eficiencia del control interno existente de las Organizaciones en las que trabajemos.
En su inicio, parece claro que las auditorías nacen cuando se decide incluirlas en el Plan Anual de Auditoría, desarrollándose posteriormente con su planificación, programación, trabajo de campo, reuniones con los auditados, etcétera.
En este punto nos surge una primera duda, cómo de amplio es este etcétera, hasta dónde alcanza.
Parece evidente que en el extremo del final del proceso auditor esté la fase de preparación y envío del informe en borrador, el análisis de los comentarios recibidos de los auditados, y la confección-distribución del informe final, en el que, necesariamente, debe incluirse el plan de acción asumido por los responsables del ente auditado, conteniendo asimismo la identificación de los encargados de realizar las acciones correctoras estimadas necesarias, y las fechas estimadas de realización.
Si nos atenemos a lo recogido por el Marco Profesional para la Práctica Profesional de la Auditoría Interna, que como sabemos, es el “libro de cabecera” de los auditores internos al encontrarse en él recogidas las pautas de actuación que no son de aplicación, observaremos que en la Norma 2500, Seguimiento del Progreso, se señala que: El director de Auditoría interna debe establecer y mantener un sistema para vigilar la disposición de los resultados comunicados a la dirección. Aclarándose este requerimiento en el sentido de que: el director de auditoría interna debe establecer un proceso de seguimiento para vigilar y asegurar que las acciones de la dirección hayan sido implantadas eficazmente, o que la alta dirección haya aceptado el riesgo de no tomar medidas (N. 2500. A1).
En base a lo cual estimamos que, en principio, un informe de auditoría no estaría acabado hasta que no esté implementada la última de las recomendaciones recogidas en el informe final, y se haya confirmado la eficacia de las recomendaciones sugeridas o, en su defecto, haber sido desestimadas por la alta dirección.
Por estos principios de actuación, los Planes anuales de Auditoría deben contemplar las acciones necesarias para verificar el grado de atención real a las recomendaciones de las auditorías previamente realizadas, actuando de forma selectiva en función del riesgo y de la exposición al mismo, ya que no resultará posible supervisar todas las recomendaciones emitidas con anterioridad.
En este contexto, una sugerencia que suele ofrecerse a la Unidades de Auditoría Interna que se someten a evaluaciones externas de calidad, es la de buscar la necesaria pro-actividad de las áreas auditadas, requiriendo su compromiso de informar a aquellas del avance de la implementación de los planes de remediación aceptados, de forma que, al cumplirse el plazo previsto, los responsables de los procesos susceptibles de mejoras informen a Auditoría de la situación existente y, en su caso, de los motivos de los incumplimientos y las reprogramaciones necesarias. De esta forma, si una acción está reconocida por los propietarios de los procesos como no implantada, no se hace preciso la verificación del estatus real por auditoría, reservando nuestras actuaciones para los casos en los que se nos haya confirmado la atención de las mejoras recogidas en los planes de acción.
De acuerdo con esta dinámica, cuando se efectúe la verificación de la situación verdaderamente existente por parte de Auditoría, nos podemos encontrar con que la misma responde a la información aportada por los propietarios de los procesos, que entendemos será la situación más probable, pero también será posible que nos encontremos con que la información aportada previamente haya sido inexacta, en cuyo caso procedería informar a la Comisión de Auditoría sobre este conflicto, a fin de que se adopten las medidas correctoras que procedan, pues no solo se habrían incumplido los compromisos asumidos, sino también probablemente habrá existido voluntad de confundir. Aspectos que entendemos se deben aclarar con la mayor prontitud posible.
En este contexto, una buena práctica que Auditoría Interna debería sugerir, tanto a la alta dirección de la Organización, como a la Comisión de Auditoría, es la posibilidad de vincular los “bonus” a los gestores, al grado de atención a las recomendaciones asumidas por ellos en los planes de acción derivados de los informes de auditoría a los que se hayan visto sometidos.
Por consiguiente, la respuesta a la pregunta con la que encabezamos estas líneas sería que: Una auditoría solo estará concluida cuando se hayan implementados todas las recomendaciones incluidas en los Informes, y adicionalmente hayamos comprobado que la eficacia que de ellas se esperaba, se está alcanzando.
Por tanto si esto fuese así, entendemos que esta conclusión debería guiar nuestras actuaciones, a fin de poder incrementar el auténtico valor que aportemos a las Organizaciones, pues no debemos olvidar que “el papel lo aguanta todo”.
Jesús Aisa Díez -
ç
Ingeniero Técnico Industrial Universidad Politécnica de Madrid, Licenciado en Ciencias Económicas y Empresariales por la Universidad Complutense de Madrid, Ex-Subdirector General Corporativo de Auditoría Interna de Telefónica SA., ponente de diversos cursos y workshops sobre materias relacionadas con el control interno. Evaluador certificado de Quality Assurance y director de múltiples evaluaciones de calidad de Unidades de Auditoría Interna realizadas en el ámbito iberoamericano, tanto en España, Portugal, como en diversos países latinoamericanos (Chile, Perú y Colombia). Ponente y conferencista en diversos eventos internacionales, tanto en España, como Iberoamérica. Colaborador de www.auditool.org.
Y luego Agregar a la pantalla de inicio.