Auditoría Interna

Por: CP Iván Rodríguez. Colaborador de Auditool.

El universo de auditoría está conformado por el conjunto completo de posibles actividades de auditoría y entidades auditables que contribuyen a alcanzar los objetivos de una organización. Suele incluir programas, unidades, actividades y riesgos. También puede tratarse como un universo de riesgos, puesto que constituye la base de evaluación de riesgos, lo que permite priorizar los esfuerzos de la función de auditoría.

Ahora bien, el universo de auditoría se emplea con frecuencia en conjunto con un enfoque basado en riesgo y por ello, el área de auditoría debe evaluar en qué manera debe conformarse. Toda vez que las organizaciones y las áreas de auditoría suelen tener recursos limitados, no resulta conveniente emprender todas las actividades o encargos de auditoría posibles, por lo que las evaluaciones se ejecutan con base en la priorización de riesgos. En ese sentido, el universo de auditoría se determina y actualiza en función de las áreas de riesgo que podrían ser objeto de auditoría. Esto determinará la lista de posibles encargos de auditoría que pueden realizarse para abordar las áreas de riesgo identificadas.

No existe una única forma de crear un universo de auditoría; sin embargo, debe dividirse en unidades (cuyos nombres pueden variar, por ejemplo, se denomina unidad, entidad, área auditable). Cada una de estas son formas en las que el área de auditoría puede ver la organización con el propósito de evaluar riesgos y adelantar la planificación de auditoría. Normalmente, en la conformación del universo de auditoría, se incluyen unidades de negocio, equipos o áreas de responsabilidad, productos, líneas de servicio o áreas geográficas, así como los programas y proyectos clave. Cada organización, en función de sus intereses, debe determinar qué es lo más conveniente. Por ejemplo, una organización minorista puede considerar para su universo áreas auditables separadas para cada una de sus sucursales o puntos de venta, permitiendo de esta forma la evaluación de riesgos y la cobertura de operaciones. Ahora bien, con independencia de la forma en que el área de auditoría elija ver los riesgos, es aconsejable que cada área auditable se conforme sobre la base de un conjunto coherente de reglas u orientaciones y se procure que tenga aproximadamente el mismo tamaño que las demás.

Una preocupación común al considerar el universo de auditoría es el número de componentes que lo conforman. Normalmente depende de la complejidad y naturaleza de la organización, así como de su propósito y estrategia. No existe un valor único, pero los auditores deben utilizar una medida objetiva que respalde el diseño del universo de auditoría, por ejemplo el valor de los activos, el impacto en los resultados o cualquier otra métrica que exista dentro de la organización y que sea útil para ayudar a la decisión.

Hay que tener en cuenta que las áreas auditables no deben ser tan grandes que "oculten" riesgos que no se están cubriendo, ni tan pequeñas que impidan que el auditor vea el panorama general. En los casos en que se considere que hay áreas específicas que necesitan una atención especial, el director de auditoría puede considerar compromisos individuales en el plan de auditoría, extraídos del universo de auditoría, para abordar los principales riesgos para la organización.

En el universo de auditoría, pueden incluirse conceptos o áreas útiles para satisfacer las necesidades del comité de auditoría, peticiones de la alta dirección o que tienen requisitos regulatorios o estándares de la industria, de manera que logre una cobertura apropiada a diferentes niveles de la organización. Algunos de los factores que se emplean con frecuencia en la determinación del universo de auditoría, son los siguientes:

• Riesgos: Se identifican por cada área o proceso, ayudando a determinar dónde deben centrarse las actividades de auditoría.
• Impacto financiero: Las áreas que pueden tener un impacto significativo en los costos y gastos de la organización.
• Cumplimiento normativo: Procesos o áreas que deben cumplir con regulaciones específicas.
• Eficiencia operativa: Se suelen incluir aquellos procesos clave para asegurar que se estén llevando a cabo de manera eficiente y efectiva.
• Cambios recientes: Los procesos o áreas que han experimentado cambios recientes, ya sean estructurales, tecnológicos, o de personal, normalmente se consideran en el universo, toda vez que podrían representar nuevos riesgos.

Una vez definido el diseño del universo de auditoría, el auditor debe definir qué hacer con los resultados de cada una de las áreas auditables. Una práctica habitual es identificar un nivel de riesgo con base en la evaluación de cada área auditable y emplearlo para definir la frecuencia de evaluación. Aquellas áreas dentro del universo de auditoría que poseen una clasificación de riesgo menor podrían ser auditadas con menos frecuencia que aquellas con una calificación de riesgo más alta. Para efectos de lograr mayor eficiencia, se puede trabajar de manera coordinada con los proveedores de aseguramiento de la primera y segunda línea (por ejemplo, cumplimiento o gestión de riesgos) y determinar cuáles controles clave debe probar la auditoría y en qué casos puede apoyarse en el trabajo que ejecuten dichos proveedores. Esto minimiza la duplicación de trabajo y permite que la auditoría se centre en las áreas de mayor riesgo (La norma 2050 del IIA se refiere al tema de coordinación, puede consultarse para más detalle).

Si bien el empleo del universo de auditoría no es obligatorio, ciertas normas, tales como las Normas Globales de Auditoría Interna del Instituto de auditores internos - IIA exigen que el director ejecutivo de auditoría establezca un plan de auditoría interna basado en el riesgo (Guía de Planificación e  Implementación de la Norma 2010), lo que implica la definición del universo de auditoría, pues es necesario para realizar la evaluación de riesgos y así determinar cuál debe ser el plan basado en riesgos. Por su parte, la Norma 2020 del IIA establece que el director ejecutivo de auditoría debe asegurarse que el plan de auditoría interna cubra todas las áreas significativas del universo de auditoría, de manera que se garantice una cobertura adecuada de los riesgos clave de la organización. Incluso, podría pensarse que en cumplimiento de la norma 1100 del IIA, que enfatiza en la independencia y objetividad de los auditores internos, el empleo del universo de auditoría permite una selección de áreas a auditar basada en una evaluación objetiva de los riesgos.

Otra consideración para tener en cuenta es que las organizaciones se ven sometidas a constantes cambios, causados por factores internos y externos, lo que implica que el universo de auditoría, la evaluación de riesgos y el plan de auditoría, deban revisarse con alguna frecuencia para adaptarse a las circunstancias. Esto es de vital importancia ya que permite que el área de auditoría tenga claro el grado de cobertura de los riesgos clave y otras áreas de riesgo de manera permanente a la vez que facilita al comité de auditoría y a la alta dirección evaluar y valorar mejor las prioridades asignadas a las actividades auditables.

Como se aprecia, el universo de auditoría se constituye en un valioso apoyo para establecer el grado de cobertura de la auditoría, lo que favorece las discusiones sobre asignación de recursos y presupuestos. Adicionalmente, en el caso de la auditoría interna garantiza el cumplimiento de las normas del IIA que propenden por que el universo de auditoría sea utilizado de manera efectiva para evaluar y gestionar riesgo y se garantice la cobertura y eficacia del trabajo.

• Checklist para definir las áreas clave del próximo proyecto
• Herramienta para la identificación y evaluación de los riesgos para determinar el plan de auditoría
• AuditU/ Plan de auditoría

CP Iván Rodríguez - CIE AF

Auditor y consultor, diplomado en Alta Gerencia de Seguros y Derecho de Seguros. Especialista en Dirección Financiera y Desarrollo Organizacional, diplomado en Gerencia de la Calidad. Contador público (CP) de la Pontificia Universidad Javeriana con 20 años de experiencia en diversas empresas. Tiene amplia experiencia en la elaboración y ejecución de auditorías y revisorías fiscales. Dirección y ejecución de asesorías, consultorías y capacitaciones. Colaborador de Auditool.

Bogotá D.C., Colombia.