Auditoría Interna

Por: CP Iván Rodríguez. Colaborador de Auditool 

La gestión de evidencia recopilada es uno de los elementos más importantes de cualquier auditoría, pero puede causar confusión, inconvenientes e incluso violaciones regulatorias si la documentación no se maneja adecuadamente. De acuerdo con la Norma 2330 del Instituto de Auditores Internos  entiende por evidencia apropiada, la información suficiente, confiable, relevante y útil para lograr los objetivos del compromiso. Los auditores, en ejecución de su trabajo, además de tener en cuenta las disposiciones normativas como la citada previamente, también tienen que considerar cómo solicitar, recopilar y almacenar adecuadamente la documentación respectiva. El contenido, la organización y el formato de los documentos de trabajo pueden variar según la organización y la naturaleza del compromiso, sin embargo, es importante lograr la coherencia de la documentación mediante la aplicación de las mejores prácticas.

Para facilitar la gestión de la documentación, se presenta a continuación una lista de verificación[1], que puede emplearse durante las diferentes etapas de la auditoría e incluye el trabajo tanto con copias impresas de archivos, como con archivos electrónicos.

Etapa inicial - Solicitud y seguimiento de pruebas

Las principales consideraciones al solicitar y acumular la documentación inicial son las siguientes:

• Identificar, en cuanto sea posible, la fuente apropiada y confiable para la evidencia de auditoría.
• Decidir si la evidencia puede ser obtenida directamente o si se necesitará ayuda.
• En caso de no poderse obtener la evidencia internamente, hay que determinar si una organización externa o un tercero puede proporcionar la evidencia.
• Hay que ser muy preciso y específico al momento de solicitar evidencia. En particular, hay que tener en cuenta los rangos de fechas de acuerdo con el alcance de la auditoría.
• Al obtener datos que constituirán evidencia y que deben extraerse de un sistema de información, hay que comunicarle claramente a la organización, qué datos deben incluirse, en que formatos y con qué características.
• Las capturas de pantalla deben incluir la fecha y hora de su obtención.
• Hay que considerar posibles restricciones legales y normativas, en caso de solicitar datos y documentos de otras jurisdicciones.
• Los archivos deben enviarse a través de canales aprobados y protegidos con cifrado según sea necesario.
• Deben registrarse todos los datos relevantes relacionados con la solicitud, tales como:
  • Nombre del archivo o documento.
  • Descripción.
  • Nombre de contacto con quien se gestiona la solicitud.
  • Fecha (y hora) para la recepción de datos.
  • Seguimiento (solicitudes efectuadas, observaciones, etc.)

Etapa intermedia – Recopilación y manejo de pruebas

Además de la cadena de custodia y la seguridad de los datos y documentos, hay que tener en cuenta:

 Evidencia impresa

• Recoger los documentos originales y mantener la custodia. Los documentos impresos (originales y copias) deben mantenerse bajo llave.
• Mantener los documentos bien organizados.
• No dejar documentos a la vista. Hay que mantener el escritorio
• En entornos de oficina abiertos, deben protegerse los datos y documentos.
• Las medidas de protección de datos que se acostumbran en oficina deben aplicarse en casa y en otras localizaciones donde se manejen archivos.

• Es aconsejable, al trabajar con documentos originales impresos, escanearlos o fotocopiarlos, para que no se vean
• Debe devolverse cualquier documento con información de identificación personal, que no sea necesaria como evidencia.
• Hay que documente los métodos utilizados para reunir la evidencia, con suficiente detalle, para facilitar el desempeño.

 Evidencia de copia digital

• En cuanto sea posible, debe usarse un software de gestión de auditoría para el manejo de la evidencia.
• No deben dejarse archivos ni documentos abiertos y descuidados (pueden ser modificados).
• Los archivos deben protegerse en entornos de oficina abiertos y en otras localizaciones donde se trabaje con ellos.
• Las computadoras portátiles deben contar con protectores de pantalla y protección de archivos con clave.
• No deben trabajarse datos confidenciales en redes de wi-fi no seguras.
• Los datos deben cifrarse en tránsito y en reposo (almacenados en una base de datos).
• Las bases de datos y archivos deben respaldarse, encriptarse y almacenarse fuera del sitio, como medida de seguridad en caso de desastre.
• La evidencia en la auditoría debe restringirse al equipo de auditoría y a los administradores.

Etapa final - Uso y eliminación de pruebas

Al finalizar la auditoría, hay que asegurarse que la evidencia final esté debidamente escaneada y almacenada, se han devuelto los documentos originales recibidos y se destruyen y eliminan las copias innecesarias adecuadamente. También debe considerarse:

• Actualizar la hoja/control de seguimiento.
• Evaluar la información recibida para determinar si es precisa y completa.
• Deben referenciarse apropiadamente los documentos y datos, para tener la evidencia y las pruebas en contexto dentro de los documentos de trabajo.
• Deben eliminarse los documentos que no son necesarios y aquellos que no se referencian en el archivo de auditoría.
• Deben devolverse los documentos originales y destruir cualquier copia que no se necesite ser retenida como evidencia de acuerdo con la política de retención de datos de auditoría (copias físicas y digitales).
• Deben tenerse en cuenta las normas profesionales y legales en relación con la retención de la evidencia de auditoría.

[1] Basado en: https://www.auditboard.com/blog/audit-evidence-collection-checklist/

CP Iván Rodríguez

Auditor y Consultor, Diplomado en Alta Gerencia de Seguros y Derecho de Seguros. Especialista en Dirección Financiera y Desarrollo Organizacional, Diplomado en Gerencia de la Calidad, Contador Público de la Pontificia Universidad Javeriana, con 20 años de experiencia en diversas empresas. Amplia experiencia en la elaboración y ejecución de auditorías y revisorías fiscales. Dirección y ejecución de asesorías, consultorías y capacitaciones. Colaborador de Auditool

Bogotá DC, Colombia