Auditoría Interna

Por: CP Iván Rodríguez. Colaborador de Auditool.

Una de las preocupaciones de los directivos de las organizaciones y de los auditores es la identificación de los riesgos operativos y financieros que proporcionan las mayores amenazas para los servicios empresariales. Ahora bien, una vez identificados los riesgos, para los auditores es necesario determinar si las organizaciones han implementado las medidas necesarias para mantener las operaciones durante las recesiones y otras interrupciones económicas. En particular, las amenazas y riesgos originados en las relaciones con terceros revisten especial importancia, pues pueden afectar sensiblemente el desarrollo del objeto social de la organización.

Algunas de las preguntas que un auditor debería tener presente en su evaluación del riesgo originado en la relación con terceros o proveedores, son las siguientes:

• ¿Se ha establecido un plan formal de gestión de riesgos de terceros, incluida la mitigación y respuesta al riesgo?
• ¿Están debidamente formalizadas las actividades de gestión de riesgos y permiten el monitoreo, la revisión y la acción continuos para hacer frente a los riesgos operativos desde el momento de la selección del proveedor hasta su terminación?
• ¿Se han definido y priorizado los servicios empresariales en función de factores de importancia predeterminados?
• ¿Ha identificado la organización qué proveedores externos son críticos para garantizar el éxito de la prestación de servicios empresariales?
• ¿Se han establecido y probado planes de continuidad del negocio? ¿Estos consideran estrategias frente a riesgos operativos y financieros?
• ¿Tiene la organización un plan financiero claro que demuestre una comprensión del flujo de efectivo del negocio?
• ¿Tiene o está el negocio en proceso de identificar nuevas oportunidades de ingresos?
• ¿Se desarrollan estrategias para la planificación financiera, incluidas las inversiones a corto y largo plazo, y la estructura de capital planificada?
• ¿Existen funciones y responsabilidades definidas para gestionar y supervisar las estrategias de resiliencia financiera y operativa?

Toda vez que los proveedores externos son clave para garantizar que los servicios empresariales se cumplan, se lleven a cabo y se entreguen a tiempo a los clientes los productos y servicios, deben formar parte de la planificación de los planes de continuidad y de riesgos de la organización. Los vendedores o proveedores críticos pueden identificarse a través del proceso de elaboración de perfiles y organización por niveles. Al definir la prioridad de los servicios empresariales, se deben considerar los factores relacionados con la participación del cliente, la estabilidad financiera y los requisitos reglamentarios o legales. Por otro lado, es importante indagar si los proveedores cuentan con un plan de continuidad del negocio actualizado y de trabajo que aborde no solo las preocupaciones digitales, sino también las interrupciones operativas externas y los desafíos financieros internos que pueden alterar la prestación de servicios o productos.

Un auditor debe verificar que la organización adelante ciertas acciones respecto del tratamiento de los riesgos con terceros. Por ejemplo, comprometerse con ellos para abordar las brechas de rendimiento de seguridad tácticas y sistémicas necesarias para lograr una posición satisfactoria de gestión de riesgos. Lo anterior reduce su exposición al riesgo y busca que los terceros asuman su responsabilidad de cumplir con los estándares de desempeño de gestión de riesgos. La retroalimentación del riesgo del cliente a los proveedores debe ser oportuna, relevante y procesable, lo que se convierte en un poderoso motivador para que terceros hagan lo correcto.

Para el efecto, debe haber un trabajo conjunto, en el que se proporcione a los terceros, en cuanto sea pertinente, planes de acción priorizados por el riesgo que los guíen para abordar el riesgo táctico y sistémico. Deben establecerse expectativas para el tiempo de corrección de problemas y hacer un seguimiento de todos los compromisos. La priorización adecuada de riesgos es esencial para garantizar que los recursos se desplieguen primero a los problemas que más importan y a aquellos que realmente exponen a riesgos.

También es importante que, en conjunto con los terceros, se actúe sobre eventos de seguridad materiales de estos, con el propósito de minimizar los daños causados tales como pérdida de datos, fallas en compromisos e interrupciones de operación. Hay que evitar que las condiciones de control peligrosas resulten en incidentes de seguridad. Para el efecto, deben evaluarse los eventos que hayan ocurrido e iniciar los procesos de respuesta a incidentes de los proveedores tras la detección. Asimismo, debe analizarse con alguna frecuencia el esquema de seguridad de terceros para identificar situaciones de riesgo peligrosas que los involucren tácticamente y, de esta manera, contar con un contexto para facilitar una corrección rápida. Además, para un esquema más colaborativo con sus terceros, es conveniente permitir cierto acceso a los resultados continuos de la evaluación de riesgos. Con dicho acceso los terceros pueden abordar de manera más eficiente y proactiva los problemas que de otro modo tendrían que comunicar.

De otra parte, en el entorno globalizado actual, es importante conocer las geolocalizaciones de terceros y de sus sistemas. Pueden presentarse riesgos derivados de regulaciones, tensiones geopolíticas o desastres naturales. El conocimiento de la geolocalización del tercero y sus sistemas es esencial para garantizar que no se están haciendo negocios en países sancionados por la OFAC, bajo embargo de la UE o de la ONU. El conocimiento de la geolocalización de sistemas de terceros también es útil para armar a los equipos de recuperación de desastres y continuidad del negocio con inteligencia para manejar la exposición al riesgo geopolítico y los desastres naturales.

Otras líneas de acción que pueden abordar las organizaciones (y que el auditor debe verificar) para enfrentar los riesgos a los que se ven expuestos los terceros y que pueden afectarlos, son las siguientes:

• Crear un programa de gestión de riesgos de terceros integral, ágil y maduro basado en las mejores prácticas comprobadas de la industria
• Hacer cumplir las disposiciones clave de los contratos a lo largo del ciclo de vida de la relación con terceros; en particular, aquellas que tienen que ver con seguridad y riesgos
• Automatizar la identificación y evaluación de terceros en función de su criticidad para la organización
• Evaluar a los proveedores con respecto a las regulaciones y marcos de la industria
• Monitorear continuamente los riesgos comerciales y financieros, y correlacionar los hallazgos con los resultados de la evaluación

Si bien esta no es una lista exhaustiva, sí es de gran ayuda para el auditor en su propósito de efectuar una evaluación más robusta e integral, relacionada con los riesgos de terceros que pueden impactar el logro de objetivos de la organización.

CP Iván Rodríguez - CIE AF

Auditor y consultor, diplomado en Alta Gerencia de Seguros y Derecho de Seguros. Especialista en Dirección Financiera y Desarrollo Organizacional, diplomado en Gerencia de la Calidad. Contador público (CP) de la Pontificia Universidad Javeriana con 20 años de experiencia en diversas empresas. Tiene amplia experiencia en la elaboración y ejecución de auditorías y revisorías fiscales. Dirección y ejecución de asesorías, consultorías y capacitaciones. Colaborador de Auditool.

Bogotá D.C., Colombia