Auditoría Interna

Por: CP Iván Rodríguez. Colaborador de Auditool. 

La auditoría interna desempeña un rol esencial en la supervisión de los procesos organizacionales, la identificación de riesgos y la promoción de la mejora continua. Esto implica gestionar apropiadamente los riesgos que enfrentan en su labor. Según un reciente documento del Instituto de Auditores Internos (IIA)^[1], la gestión proactiva de riesgos es fundamental para garantizar la eficacia, credibilidad y alineación estratégica de la auditoría interna. Como garante de la gobernanza, el control interno y la mitigación de riesgos, la auditoría interna debe operar con un alto grado de eficacia y objetividad. Sin embargo, está expuesta a riesgos que pueden comprometer su capacidad para cumplir con sus objetivos. Estos riesgos incluyen desde problemas estratégicos, tales como la falta de alineación con las metas organizacionales, hasta asuntos operativos, como la escasez de personal calificado. Por ello, es necesario gestionar estos riesgos; de esta manera es posible proteger la reputación y credibilidad de la auditoría interna, así como asegurar que pueda proporcionar valor agregado a la organización mediante la identificación oportuna de problemas críticos. Los principales riesgos que enfrenta la auditoría interna, de acuerdo con el documento del IIA son:

Riesgos estratégicos

Estos riesgos están relacionados con la posición de la auditoría interna dentro de la organización y su relación con los stakeholders. Algunos jemplos incluyen:

• Gestión de stakeholders: La falta de apoyo o comprensión por parte de la alta dirección o el consejo de administración puede limitar la influencia de la auditoría interna.
• Falta de alineación con objetivos organizacionales: Si las prioridades de la auditoría no reflejan las metas estratégicas de la organización, su relevancia puede disminuir.
• Reputación: Los errores en las auditorías o la percepción de falta de objetividad pueden dañar la credibilidad de la función.

Riesgos operacionales

Estos riesgos surgen de los procesos internos y la dinámica de la función de auditoría:

• Cultura interna: Una cultura resistente al cambio o poco colaborativa puede obstaculizar la implementación de recomendaciones de auditoría.
• Falta de personal calificado: La escasez de auditores con habilidades técnicas, como análisis de datos o conocimientos en ciberseguridad, puede limitar la eficacia de las auditorías.
• Gestión de proveedores: La dependencia de terceros para servicios de auditoría introduce riesgos relacionados con la calidad y la confidencialidad.
• Resistencia al cambio: Tanto dentro del equipo de auditoría como en las áreas auditadas, la oposición a nuevas metodologías o tecnologías puede frenar el progreso.

Riesgos financieros y de cumplimiento

Son riesgos que están vinculados a los recursos y las obligaciones normativas:

• Recursos financieros insuficientes: La falta de presupuesto puede restringir la capacidad de la auditoría interna para invertir en tecnología, capacitación o personal.
• Incumplimiento normativo: La no adherencia a las leyes, regulaciones o estándares profesionales, como las Normas Globales de Auditoría Interna, puede generar sanciones o pérdida de credibilidad.

Una herramienta que contribuye a la gestión de estos riesgos es el marco de las Normas Globales de Auditoría Interna del IIA, toda vez que proporcionan un marco robusto para mitigar los riesgos mencionados al establecer directrices claras en áreas clave como:

• Objetividad: Garantizan que los auditores mantengan independencia y eviten conflictos de interés, reduciendo los riesgos estratégicos relacionados con la reputación.
• Gestión de recursos: Orientan sobre la asignación eficiente de personal, tecnología y presupuesto, abordando riesgos financieros y operacionales.
• Evaluación de la eficacia: Promueven revisiones periódicas del desempeño de la auditoría interna, ayudando a identificar y corregir deficiencias.

Al adherirse a estas normas, las funciones de auditoría interna pueden establecer procesos estandarizados que minimicen los riesgos y fortalezcan su capacidad para cumplir con sus objetivos. Un enfoque sistemático para la gestión de riesgos podría incluir lo siguiente:

• Identificación de riesgos: Mapear los riesgos estratégicos, operacionales, financieros y de cumplimiento específicos de la función de auditoría, así como los riesgos provenientes de otras áreas de la organización que afecten a la auditoría.
• Evaluación: Determinar la probabilidad y el impacto de cada riesgo, utilizando herramientas como matrices de riesgo o análisis cuantitativo.
• Priorización: Enfocarse en los riesgos de mayor impacto o urgencia, asignando recursos de manera eficiente.
• Implementación de controles: Diseñar e implementar medidas preventivas, como políticas de capacitación, controles de acceso a datos o auditorías internas de la propia función de auditoría.
• Monitoreo continuo: Revisar regularmente la efectividad de los controles y ajustar las estrategias según los cambios en el entorno organizacional o los riesgos emergentes.

Para lograr los propósitos esperados, es fundamental la participación del equipo de auditoría en el proceso. Ello implica fomentar una cultura de colaboración y responsabilidad compartida y así asegurar que todos los miembros estén alineados en la gestión de riesgos. Ahora bien, para que la gestión de riesgos sea efectiva, el documento del IIA destaca varios factores clave:

• Liderazgo sólido: Los líderes de auditoría interna deben establecer una visión clara, promover la adopción de mejores prácticas y garantizar el apoyo de la alta dirección.
• Comunicación clara: La interacción transparente con los stakeholders, desde el consejo de administración hasta los equipos operativos, es esencial para alinear expectativas y obtener recursos.
• Gestión adecuada de recursos: Invertir en tecnología, capacitación y talento humano permite a la auditoría interna adaptarse a los desafíos modernos, como los riesgos cibernéticos o el análisis de big data.

El auditor debe tener presente que la auditoría interna además de ser un pilar de la gobernanza organizacional debe protegerse a sí misma de los riesgos que enfrenta. Por tanto, la gestión proactiva de riesgos estratégicos, operacionales, financieros y de cumplimiento es esencial para mantener la credibilidad, la eficacia y el valor de su labor.

^[1] Ver: https://iia.org.au/technical-resources/white-paper/iia-australia-white-paper-managing-internal-audit-function-risks 

CP Iván Rodríguez - CIE AF

Auditor y consultor, diplomado en Alta Gerencia de Seguros y Derecho de Seguros. Especialista en Dirección Financiera y Desarrollo Organizacional, diplomado en Gerencia de la Calidad. Contador público (CP) de la Pontificia Universidad Javeriana con 20 años de experiencia en diversas empresas. Tiene amplia experiencia en la elaboración y ejecución de auditorías y revisorías fiscales. Dirección y ejecución de asesorías, consultorías y capacitaciones. Colaborador de Auditool.

Bogotá DC, Colombia.