Control Interno

De acuerdo al “Risk IT framework”, los Key Risk Indicators son métricas capaces de mostrar si una organización está expuesta o tiene una alta probabilidad de ser objeto de un riesgo que excede del apetito de riesgo que se hubiese definido.

Cada Empresa debe seleccionar sus propios KRI, tomando en cuenta los siguientes pasos:

• Considerar a los diferentes stakeholders de la organización

• Realizar una selección balanceada de los Indicadores de Riesgo, indicadores de cobertura, indicadores claves y tendencias

• Seleccionar Indicadores que profundicen en la causa de los eventos

• Seleccionar los más relevantes y los de mayor probabilidad de predicción de los riesgos claves por:

1. Su alto impacto en el negocio
2. La facilidad de medición
3. Alta correlación con los Riesgos
4. Sensibilidad.

En forma breve podemos decir que los KRI´s son herramientas de control interno, a poder ser, preferiblemente de tipo preventivo, que nos permitirán.

1º) Detectar amenazas.

2º) Se aplican de forma selectiva, revelando los riesgos significativos.

3º) Su eficacia dependerá del grado de anticipación con que podamos intuir la presencia de las amenazas, antes de que estas se materialicen.

Es evidente que los conductores de los vehículos que aparecen en la foto no han dispuesto, o no han considerado oportuno atender, los avisos sobre los riesgos de nevada que amenazaban su trayecto, aventurándose a emprender el camino sin adoptar los controles que resultaran pertinentes, por ejemplo llevando cadenas, o tomando otras rutas alternativas que pudieran existir.

Un aspecto que entendemos conveniente comentar es que los KRI´s están basados en prácticas cotidianas.

Supongamos que al despertarnos nos encontramos que desde la ventana de nuestro dormitorio se aprecia el panorama de la imagen. La respuesta a la  pregunta de si hará buen tiempo hoy, parece que no será muy positiva, pues los nubarrones no nos pronostican buen tiempo, pero sobre todo sí  lluvia.

Siendo así, lo normal es que cuando salgamos de casa para dirigirnos al trabajo, nos cojamos un paraguas o nos pongamos una gabardina. Es decir, que al ser conocedores de que tenemos el riesgo de mojarnos, hayamos decidido aplicar algunos controles en el proceso de desplazarnos de casa al trabajo para no llegar empapados al mismo.

Bueno, pues esto tan frecuente y tan habitual es el mismo criterio en el que se basan los KRI, identificando indicios de que podemos encontrarnos con riesgos que hagan peligran los objetivos perseguidos, a fin de que preventivamente adoptemos las decisiones que correspondan, es decir, que decidamos los controles que debamos aplicar para minimizar el efecto de esas amenazas.

Los KRI son señales/anticipos que nos permiten alertarnos de la existencia de una amenaza.

   Esto NO es un Indicador

   Esto SI es un Indicador

El ejemplo que hemos puesto la señal de tráfico circular, no nos alerta de ningún peligro, es solo un recordatorio de que está prohibido que los perros anden sueltos. En tanto que la triangular si es un KRI, pues nos advierte que nos aproximamos a un paso de nivel sin barrera, y que debemos ser muy prudentes a la hora de cruzarlo, adoptando todas los controles que estimemos oportunos para que no tengamos un accidente ante el paso de un convoy de ferrocarril.  

Los KRI´s  no son un fin en si mismos, sino un medio para alcanzar un fin.

Si observamos las pirámides de edad de los españoles del año 1950 y del 2010, podemos observar varias  y claras diferencias.

La más evidente es que la pirámide de 1950, si exceptuamos la caída de la natalidad para la población entre 10 y 14 años, así como para los de 30 a 39, ello debido a los efectos que tuvo la guerra civil del 1936-1939 en la natalidad de esos años, así como los fallecidos por los combates entre los intervinientes de ambos bandos en el periodo 1936-39, que en el 1950 hubieran cumplido, de no haber fallecido esos 30-39 años. Por lo demás la figura se asemeja mucho a un triángulo isósceles.

Sin embargo la pirámide de edad del 2010, ya no es un triángulo, más bien se parece a un rombo, del que puede concluirse que hay un gran envejecimiento de la población, y que el grado de natalidad es muy bajo, lo que ocasiona que los jóvenes no sean tantos como deberían ser, y además la esperanza de vida de los españoles se ha elevado bastante, pues el límite no está en los 85, como en 1950, sino que se ha elevado a los 90.

Estos datos, si se analizan desde la perspectiva de la Seguridad Social, es decir del organismo que cubre las prestaciones de jubilación de los trabajadores españoles, así como desde la perspectiva de la salud pública, nos estarán alertando de un riesgo importante, el envejecimiento de la clase trabajadora, lo que podrá tener efectos muy negativos a las políticas sociales vigentes. Lo que ha obligado a reconsiderarlas, ampliando la edad para jubilarse y a recortar las prestaciones a los jubilados.

Tomando como ejemplo el gráfico anterior, podemos observar que partiendo de los  indicadores que hayamos seleccionado, estos deben ser actualizados en base a los datos que existan en las aplicaciones que gestionen la información correspondiente a los procesos que estemos supervisando, para ello debemos extraer la información que esté vinculada con los mismos, para, a  partir de ahí, empleando los programas específicos que hayamos confeccionado, obtener los valores actualizados de dichos indicadores, lo que nos permitirá, en función de los criterios que hayamos establecido, decidir que correspondería realizar, ya que los indicadores no auditan procesos, lo que nos informan es de la marcha de los mismos según los aspectos que se hayan seleccionado.

Para que esto pueda ser así, lo que debemos hacer es:

Pongamos los cimientos: definamos el modelo antes de seleccionar los indicadores. Aunque resulte paradójico, lo último que debe preocuparnos en un sistema de Auditoria Continua es la selección de los indicadores, antes tenemos que evaluar el ámbito de actuación del sistema, el diseño conceptual de la plataforma de gestión, cómo involucramos en el proceso a las áreas tecnológicas y de negocio, los cambios en la estructura de la Dirección de Auditoría Interna que permitan analizar y seguir a los nuevos indicadores, los cambios que realizaremos en la planificación anual (incluso nos preguntamos si el calificativo “anual” sigue teniendo sentido). En definitiva, cómo cambia nuestra estrategia y programas de auditoría interna.

1º. Definición de los objetivos y los Key Risk Indicators (KRIs).Para ello deberemos:

Analizar los trabajos realizados por la Auditoría Interna..

Clasificar y priorizar los principales riesgos inherentes.

Evaluar el nivel de automacización de los procesos y los controles, relacionados con los riesgos identificados.

Definir los KRIs de acuerdo con los riesgos y el nivel de automatización existente.

Validar con los gestores los KRIs seleccionados.

2º. Mapeamiento de las Bases de Datos. Entendiendo que ello requiere:

Mapear para cada processo, los principales sistemas y el banco de datos relacionados.

Mapear informaciones necesarias para el  cálculo de los indicadores.

Descartar los indicadores que no posean informaciones adecuadas para los objetivos perseguidos.

3. Extracción  de Datos. Lo que requiere:

Definir o modelo de extracción de los datos disponibles en las bases de datos.

Establecer los Querys que serán  utilizadas para la extracción de las informaciones.

Programar los periodos de extracción de las informaciones de acuerdo com la periodicidad de cálculo.

4. Cálculo de los Indicadores y  Repositório de Datos

Crear o alterar los “scrpits” ya pré-definidos.

Realizar ensayos piloto de cálculo.

Validar el cálculo con las áreas responsables.

Realizar los eventuales ajustes necesarios.

Programar la periodicidad del cálculo.

5º. Dashboard  Priorización de los resultados.

Configurar los criterios de visualización (Semáforo: verde, amarillo y rojo) de acuerdo con las definiciones  de AI.

Contrastar los KRIs com los Dashborad.

Distribuir los Dashboard a los gestores.

Continuando con la secuencia que hemos comentado anteriormente, podemos señalar que un buena hoja de ruta sería la que respondiese a la siguiente secuencia:

1. Analizando la versatilidad, fiabilidad e integridad de los sistemas.

2. Capacitando y familiarizando a los auditores en las nuevas técnicas.

3. Seleccionando los procesos sobre los que se va aplicar la metodología.

4. Identificando los KRI más adecuados asociados a los factores de riesgo inherentes a los procesos seleccionados.

5. Estableciendo los rangos de oscilación aceptable del indicador.

6. Compartiendo la idoneidad del KRI con el responsable del proceso a auditar.

7. Implementar la herramienta verificando su eficacia.

8. Ampliar el uso de la herramienta al resto de lo procesos clave de la organización

  Jesús Aisa Díez  

Ingeniero Técnico Industrial Universidad Politécnica de Madrid, Licenciado en Ciencias Económicas y Empresariales por la Universidad Complutense de Madrid, Ex-Subdirector General Corporativo de Auditoría Interna de Telefónica SA., ponente de diversos cursos y workshops sobre materias relacionadas con el control interno. Evaluador certificado de Quality Assurance y director de múltiples evaluaciones de calidad de Unidades de Auditoría Interna realizadas en el ámbito iberoamericano, tanto en España, Portugal, como en diversos países latinoamericanos (Chile, Perú y Colombia). Ponente y conferencista en diversos eventos internacionales, tanto en España, como Iberoamérica. Colaborador de www.auditool.org.

Madrid, España