Control Interno

Por: CP Iván Rodríguez. Colaborador de Auditool.

El Gobierno federal de los EE. UU. ha establecido estándares para el control interno que son conocidos como el Libro Verde^[1]. Estos estándares de control son adoptados por las agencias estatales y locales dentro de su proceso organizacional para trabajar de manera más eficiente y efectiva, aumentar la precisión en los informes y garantizar el cumplimiento de las leyes y regulaciones. Los estándares también se pueden utilizar para fortalecer un sistema de control interno existente o crear un nuevo sistema, en caso de ser necesario.

Los controles pueden agruparse en cinco componentes principales, que están conformados por 17 principios detallados que, a su vez, forman la base para el desarrollo de controles internos. Los componentes principales son: Entorno de control, Evaluación de riesgos, Actividades de control, Información y comunicación, y Monitoreo.

Entorno de control

El entorno de control es la base de los recursos y objetivos. Hay cinco principios en esta área. El órgano de supervisión y la administración debería:

• Demostrar un compromiso con la integridad y los valores éticos.

• Supervisar el sistema de control interno de la entidad.

• Establecer una estructura organizativa.

• Demostrar un compromiso para reclutar, desarrollar y retener individuos competentes.

• Evaluar el desempeño.

Evaluación de riesgos

Una vez desarrollado este marco básico, continúa la evaluación de riesgos. Hay cuatro principios básicos en este componente:

• Definir claramente los objetivos para identificar los riesgos.

• Definir tolerancias de riesgo e identificar, analizar y responder a los riesgos.

• Considerar el potencial de fraude al identificar, analizar y responder a los riesgos.

• Identificar, analizar y responder a cambios significativos que podrían afectar el sistema de control interno.

Actividades de control

Una vez definidos los riesgos y determinado el proceso básico, una entidad necesitaría desarrollar las actividades de control. Hay tres principios para esta área:

• Diseñar actividades de control para alcanzar objetivos y responder a los riesgos.

• Diseñar el sistema de información y las actividades de control de la entidad.

• Implementarlos a través de políticas.

Por otro lado, estos son los procesos y procedimientos detallados establecidos para responder a los riesgos observados, así como para garantizar que se cumplan los objetivos. Algunos ejemplos incluyen:

• Llevar a cabo revisiones de alto nivel del desempeño real.

• Implementar controles sobre el procesamiento de la información.

• Establecer control físico sobre los activos vulnerables.

• Restringir el acceso a recursos y registros y establecer responsabilidades.

• Requerir documentación adecuada de las transacciones y control interno.

• Requerir que las contraseñas de las computadoras tengan caracteres especiales y delimitaciones fuertes.

Información y comunicación

Este componente incluye tres principios para guiar la gestión:

• Utilizar información de calidad para lograr los objetivos de la organización.

• Comunicar la información necesaria internamente.

• Comunicar la información necesaria externamente.

La información utilizada tanto dentro como fuera de la organización debe ser lo más precisa y relevante posible. Primero, la entidad debe determinar qué información se requiere, luego identificar dónde se pueden obtener los datos y qué tan confiables son, finalmente, procesarlos en información de calidad.

Esta información debe proporcionarse a partir de los registros del proyecto y de la contabilidad. Las fuentes más confiables pueden ser el software de contabilidad, las facturas de proveedores y los recibos.

Los controles sobre esta área también deben incluir qué información se puede proporcionar a fuentes internas o externas.

Monitoreo

Finalmente, la entidad debe garantizar el monitoreo de todos estos elementos. Los dos principios para esta área son:

• Establecer y operar actividades de monitoreo para el sistema de control interno y evaluar los resultados.

• Remediar las deficiencias de control interno identificadas de manera oportuna.

De manera continua y regular, la organización debe revisar sus controles internos para asegurarse de que están funcionando correctamente. Esto debe documentarse apropiadamente e incluir evaluaciones de procesos individuales, así como garantizar su funcionalidad como sistema integrado. Después de las revisiones, cualquier deficiencia observada debe ser evaluada y la organización debe determinar si son necesarios cambios en los procesos. Además, se podría proporcionar más capacitación al personal si se advierte que el control está diseñado adecuadamente, pero los colaboradores no lo están implementando de manera correcta.

Ahora bien, es necesario tener en cuenta que los anteriores principios deben operar en conjunto para crear o fortalecer un sistema de control efectivo. La falta o debilidad de alguno de los principios puede afectar significativamente al sistema en su conjunto. Por ejemplo, si una organización carece de los principios del entorno de control o estos son débiles, es probable que los controles de procesos mejor diseñados no se ejecuten de manera efectiva.

Si una organización carece de los principios de evaluación de riesgos, es posible que el enfoque de los controles internos no esté en las áreas que deben controlarse, lo que reduce la rentabilidad de los esfuerzos y deja vulnerables otras áreas de riesgo. De otra parte, si los principios relativos a las actividades de control son difusos, es posible que la organización no opere de manera eficaz para responder a los riesgos y cumplir los objetivos comerciales.

Como se aprecia, de manera semejante al marco COSO, los componentes y principios de control interno planteados en el libro verde permiten que las entidades que se adhieran a estos logren sus objetivos de una manera más eficiente y efectiva, por lo que deben ser conocidos por los auditores y fortalecer su labor profesional.

^[1] Este documento está disponible en: https://www.gao.gov/products/gao-14-704g

CP Iván Rodríguez - CIE AF

Auditor y consultor, diplomado en Alta Gerencia de Seguros y Derecho de Seguros. Especialista en Dirección Financiera y Desarrollo Organizacional, diplomado en Gerencia de la Calidad. Contador público (CP) de la Pontificia Universidad Javeriana con 20 años de experiencia en diversas empresas. Tiene amplia experiencia en la elaboración y ejecución de auditorías y revisorías fiscales. Dirección y ejecución de asesorías, consultorías y capacitaciones. Colaborador de Auditool.

Bogotá D.C., Colombia.