Auditoria Basada En Riesgos 1n37i
This document was ed by and they confirmed that they have the permission to share it. If you are author or own the copyright of this book, please report to us by using this report form. Report r6l17
Overview 4q3b3c
& View Auditoria Basada En Riesgos as PDF for free.
More details 26j3b
- Words: 9,689
- Pages: 45
Seminario de Casos de Auditoría Grupo No. 1
1. CAPITULO I
GENERALIDADES
DEFINICIONES
Para entender adecuadamente el trabajo de una auditoría basada en riesgos, es necesario conocer las diferentes definiciones:
1.1 Auditoría: Es
un
examen
sistemático
de
los
estados
financieros
contables,
istrativos y operativos, para determinar el cumplimiento de principios económico-financieros, la adherencia a los principios de contabilidad generalmente aceptados, el proceso istrativo y las políticas de dirección, normas y otros requerimientos establecidos por la organización.
1.2 Riesgo: En su sentido gramatical significa la contingencia o proximidad de un daño. Se refiere a la posibilidad de que se produzca un resultado desfavorable con relación a un resultado esperado, por lo que involucra incertidumbre de la ocurrencia de un acontecimiento futuro, incierto pero posible, que puede perjudicar los intereses colectivos.
En la teoría de la gestión y la estrategia de los negocios, riesgo es uno de los componentes del continuum de oportunidades, que lleva a resultados favorables y desfavorables y que está asociado con probabilidades -frecuencia- de materialización. El riesgo es la discontinuidad de este continuum. Es lo inesperado.
Auditoría basada en Riesgos
Página 1
Seminario de Casos de Auditoría Grupo No. 1
En la teoría de las decisiones, riesgo es: a) una propiedad de las diversas opciones que hace que el individuo que las enfrenta las pueda diferenciar; b) que las pueda ordenar bajo algún esquema de jerarquía; y c) que les pueda asignar alguna medida tal como el promedio y la variancia.
Para las ciencias del comportamiento, riesgo es la percepción de riesgo. Los individuos no tienen un comportamiento completamente racional cuando se les enfrenta con las mismas opciones pero con diferentes términos.
En la teoría financiera, riesgo es el elemento cuantificable de potenciales pérdidas asociadas con la tenencia de activos, sean inversiones o créditos.
En el área de seguridad ambiental y salud ocupacional, el riesgo se asocia con los peligros de las tareas y operaciones.
Para la auditoría, el riesgo se enfoca en los efectos de las pérdidas de activos.
Para la industria de los seguros, el riesgo y su gestión se enfoca en funciones de probabilidad de pérdidas de eventos que se materializarían.
1.3 Auditoría Basada En Riesgos Significa ampliar la perspectiva de la auditoria para incluir todas las técnicas de riesgo, incluyendo técnicas de istración. Esta práctica incluso le proporciona al Auditor una oportunidad para examinar si existe un excesivo control en el proceso de la istración, dándole la oportunidad de señalar e identificar algunos procedimientos que se encuentren obsoletos o sean ineficientes.
Auditoría basada en Riesgos
Página 2
Seminario de Casos de Auditoría Grupo No. 1
1.4 Mapa O Matriz De Riesgos Es una herramienta para la evaluación de riesgos, que permite presentar gráficamente el impacto (severidad) y la frecuencia (probabilidad de ocurrencia) de los riesgos. Es una guía visual que facilita asignar prioridades en la atención de determinados riesgos.
Por ejemplo en el sistema financiero para el otorgamiento de créditos se utiliza una matriz de riesgos que contiene los parámetros principales que aunados definirán una categoría de cliente y el riesgo de recuperación que representará el mismo.
1.5 Riesgos más comunes Tomando como base que Riesgo es la potencialidad de que eventos, anticipados o no, puedan tener un impacto adverso contra los ingresos y el patrimonio de la institución, a continuación se detallan algunos:
1.5.1 Riesgo De Operaciones Ocurre cuando una organización no puede lograr sus objetivos al no identificar y istrar los riesgos para asegurar la integridad, efectividad y eficiencia de las operaciones y salvaguardar los activos.
Es la posibilidad de pérdida directa o indirecta resultante de la exposición de la institución a fallas en los procesos internos, personal, sistemas o de eventos externos. Suele agrupar una gran variedad de riesgos relacionados con
aspectos diversos tales
como
deficiencias
de
control interno,
procedimientos inadecuados, errores humanos, fraudes y fallos en los sistemas informáticos. Este riesgo tiene su justificación en la pérdida potencial derivada de deficiencias significativas en la integridad o confianza del sistema. Las consideraciones de seguridad son importantes, en la medida en que los Auditoría basada en Riesgos
Página 3
Seminario de Casos de Auditoría Grupo No. 1
bancos pueden ser sujetos de ataques externos o internos sobre sus sistemas o productos. El riesgo operacional puede también surgir de:
Un mal uso del cliente.
De un diseño inadecuado.
De un sistema de banca electrónica mal implantado.
El riesgo operacional se encuentra en estrecha relación con el control sobre el a los sistemas de gestión de riesgo y a la contabilidad de una institución. Este control de a los sistemas se ha convertido en algo tremendamente complejo debido a los avances informáticos, a la dispersión geográfica de los puntos de , y al uso de vías alternativas de comunicación, incluyendo las redes públicas como Internet.
Lo cierto es que los s no autorizados, ya sean realizados por piratas informáticos (hackers) o por empleados (insiders), pueden dar lugar a pérdidas directas debido al uso y manipulación de información confidencial del cliente. Por esta razón, es preciso diseñar sistemas que aseguren la confidencialidad e integridad de cualquier transacción y garanticen la privacidad de la información.
Los malos usos de los clientes, tanto intencionados como inadvertidos, constituyen otra de las fuentes de riesgo operacional. El riesgo puede ser mayor si la empresa no "educa" adecuadamente a sus clientes sobre las precauciones de seguridad.
El uso personal de información del cliente (como por ejemplo la verificación de información, número de las tarjetas de crédito, número de las cuentas bancarias, etc.) en una transmisión electrónica carente de seguridad permitiría a un experto (hacker) tener directo a las cuentas de los Auditoría basada en Riesgos
Página 4
Seminario de Casos de Auditoría Grupo No. 1
clientes. Consecuentemente, la empresa podría incurrir en pérdidas financieras debido a transacciones de clientes no autorizados.
Ejemplos:
s no autorizados.
Fraude de empleados.
Obsolescencia del sistema.
Ausencia de gestión experta.
Riesgo del proveedor del servicio.
El cliente no cumple las pautas de seguridad.
El cliente niega haber realizado una transacción.
1.5.2 Riesgo Financiero: Es una medida de la exposición de la organización a pérdidas financieras o dificultades en virtud de ello.
1.5.3 Riesgo De Información De Tecnología: Ocurre cuando las tecnologías de información en el lugar, para apoyar el logro de los objetivos comerciales no esta operando como se intenta o están comprometiendo la disponibilidad, integridad y seguridad de la información y otros activos.
1.5.4 Riesgo De Entorno: Surge cuando hay fuerzas externas que podrían poner a una compañía fuera de los negocios o cambiar significativamente las presunciones fundamentales que conducen sus objetivos y estrategias generales, y/o afectan su habilidad para lograr sus objetivos.
1.5.5 Riesgo Presupuestario:
Auditoría basada en Riesgos
Página 5
Seminario de Casos de Auditoría Grupo No. 1
Es el riesgo de no asociar correctamente los objetivos, las metas y los planes con la disponibilidad de fondos o bien que por controles insuficientes, deficientes o ausentes, el presupuesto no se istre bien e impida alcanzar los objetivos y las metas.
1.5.6 Riesgo de Reputación: Es el riesgo de que la pérdida de confianza en la organización o en sus es impida el correcto uso de los fondos o que no se le tenga confianza a lo que se está haciendo, todo ello en detrimento de la consecución de los planes. Es la posibilidad de pérdidas financieras como consecuencia de fallas operacionales, fallas en cumplir con leyes y regulaciones relevantes u otras fuentes. El riesgo de reputación es particularmente dañino para los bancos considerando que la naturaleza
de su
negocio requiere mantener la
confianza de sus depositantes, acreedores y el mercado en general.
1.5.7 Riesgo de Crédito: Es la posibilidad actual o futura de que una institución incurra en pérdidas como consecuencia de que un cliente o contraparte, con el que tiene contratada
operaciones,
incumpla
sus
compromisos
contractuales
o
implícitos. Este riesgo aplica a préstamos, inversiones en títulos, garantías, aceptaciones y otras operaciones de balance que constituyan financiamiento.
El riesgo de crédito es simplemente definido como el potencial de que un prestatario o contraparte no cumpla con sus obligaciones de acuerdo con los términos convenidos. La meta de la istración del riesgo es maximizar la tasa de retorno ajustada al riesgo del banco, a través de mantener la exposición del riesgo de crédito dentro de parámetros aceptables. Los bancos también deben considerar las relaciones entre el riesgo de crédito y Auditoría basada en Riesgos
Página 6
Seminario de Casos de Auditoría Grupo No. 1
otros riesgos. La istración efectiva del riesgo de crédito es un componente crítico de un enfoque comprensivo para el manejo del mismo y es esencial para el éxito a largo plazo de cualquier organización bancaria.
1.5.8 Riesgo de Liquidez Es la posibilidad actual o futura de que una institución enfrente incapacidad de cumplir con sus obligaciones al momento de que estas son exigibles o de que incurra en pérdidas excesivas al obtener los recursos necesarios.
Las políticas y procedimientos sobre riesgos de Liquidez deberán estar claramente definidas y serán consistentes con la naturaleza y complejidad de las actividades que realiza el Grupo Financiero, por tal motivo, se deberán establecer límites y cualquier otra práctica que consideren necesaria para mantener la exposición a los riesgos de liquidez dentro de niveles permitidos, que incluyan al menos lo siguiente: Las medidas para controlar los efectos que puedan producirse por la exposición al riesgo de liquidez, así como los mecanismos para obtener los recursos necesarios, a costos razonables y suficientes como para garantizar el giro normal del negocio. Sistema de información gerencial con información suficiente y oportuna, en la forma y frecuencia necesaria para istrar adecuadamente la liquidez. La composición de los activos y pasivos, considerando la concentración de los mismos. Los vencimientos de sus pasivos. La posibilidad de realizar los activos. El manejo de la liquidez en las diferentes monedas en que se realizan las operaciones.
Auditoría basada en Riesgos
Página 7
Seminario de Casos de Auditoría Grupo No. 1
Monitoreo diario y continuo de los activos líquidos y requerimientos de financiamiento. El nivel de confianza respecto de los instrumentos que utilice para ajustar la posición de liquidez, basado en los análisis técnicos de las tendencias de comportamiento de la entidad y las perspectivas del entorno. Análisis de cambios en las necesidades de financiamiento ante diferentes escenarios y los respectivos planes de contingencia para dichos casos. Políticas sobre diversificación de fuentes de financiamiento. Las herramientas para hacer un seguimiento efectivo para el control de riesgos de liquidez. Acciones correctivas y planes de reestructuración. Informarse
diaria y mensualmente sobre la aplicación y grande de
cumplimientos de las políticas, estrategias y procedimientos aprobadas por el Consejo de istración del banco. Establecer las acciones correctivas en caso de que las políticas, estrategias y procedimientos no se cumplan satisfactoriamente. Recibir información permanente y continua sobre la situación de liquidez de las entidades, así como sobre los cambios sustanciales de tal situación y de su evolución en el tiempo. Establecer límites prudenciales para el manejo de la liquidez, compatibles con las actividades, estrategias y objetivos del Grupo Financiero, que permitan una adecuada reacción frente a situaciones adversas.
1.5.9 Riesgo de Mercado: Es la posibilidad de pérdida como consecuencia de la exposición de la condición financiera de la institución a cambios en los factores que inciden sobre la valuación de las posiciones por operaciones activas, pasivas o causantes de pasivo contingente, tales como tasas de interés, tipos de cambio, precios de mercancías, cotizaciones de acciones, entre otros.
Auditoría basada en Riesgos
Página 8
Seminario de Casos de Auditoría Grupo No. 1
1.5.10 Riesgo Legal Es la posibilidad de pérdida como consecuencia de problemas en el ejercicio de sus derechos legales, derivado del inadecuado o incorrecto consejo legal, así como por la emisión de resoluciones istrativas y judiciales desfavorables, la imposición de sanciones o de compensaciones económicas a favor de terceros, en relación con las operaciones que la institución lleva a cabo.
Es conveniente tomar en cuenta que la institución puede estar expuesta a riesgos legales, por las siguientes razones:
Falta de capacidad legal por: Falta de documentos adecuados Descuido por inclusión de algún precepto perjudicial Cambios en las legislaciones, después de redactados los documentos Malas interpretaciones de la ley Compensaciones económicas a terceros Mala imagen en la reputación por litigio con terceros Falta de seguimiento al entorno legislativo
Una manera de minimizar el anterior contenido, es disponer de una unidad que cuente con los recursos necesarios y se proponga los siguientes objetivos: Asegurar la capacidad legal Asegurar el cumplimiento de los requisitos legales Ofrecer sinergia en las oportunidades de negocio Evaluar y monitorear el riesgo legal Establecer un marco legal adecuado para potenciar una actuación sólida
Auditoría basada en Riesgos
Página 9
Seminario de Casos de Auditoría Grupo No. 1
Ejemplos: Incertidumbre y ambigüedad en la aplicación legal. Revelación inadecuada de información del cliente. Fallos en la protección de la privacidad del cliente.
1.6 Roles y Responsabilidades Todo el personal de una entidad tiene alguna responsabilidad en la gestión de riesgos corporativos. El consejero delegado es responsable en último lugar debería asumir su “titularidad”. Otros directivos apoyan la filosofía de gestión de riesgos, promoción el cumplimiento del riesgo aceptado y gestionan los riesgos dentro de sus áreas de responsabilidad, en coherencia con las tolerancias al riesgo. Otras personas son responsables de desarrollar la gestión de riesgos corporativos según las directivas y protocolos establecidos.
Auditoría basada en Riesgos
Página 10
Seminario de Casos de Auditoría Grupo No. 1
CAPITULO II AUDITORIA BASADA EN RIESGOS UN NUEVO ENFOQUE
Durante mucho tiempo, la percepción que la mayoría de empresarios tuvieron sobre la auditoria era parecida a la que tenían respecto a un policía: un ente vigilante y un poco antipático dedicado a encontrar desviaciones respecto a las normas, más concentrado en los detalles que en la visión de lo primordial. La auditoria era un poco más que un mal necesario.
Esta imagen ha sido superada por el rápido incremento de la complejidad de los negocios en las últimas décadas.
La globalización, la aparición de nuevos
competidores en todos los campos, la aceleración de procesos, el auge de las alianzas y la necesidad de buscar capitales internacionales son factores que se han reflejado en un cambio de fondo entre la relación entre auditores y empresas. Una auditoria basada en riesgos es la “que se enfoca en el riesgo y istración de riesgos como el objetivo de la auditoria”
2.1 Objetivos De Una Auditoria Basada En Riesgos Auditoría Basada en Riesgos: Como todo trabajo a desempeñar por el auditor, existen objetivos claramente definidos pudiendo enumerar un objetivo general que implica su desarrollo y varios objetivos específicos, siendo estos:
2.1.1 Objetivo General De Una Auditoría Basada en Riesgos La Auditoria con enfoque basado en riesgos, implica profundos cambios dentro de los objetivos de la auditoria tradicional (indicar si los estados financieros de una entidad son razonablemente correctos acorde a la realidad de la empresa), ahora no basta con hacer una auditoria general y rutinaria,
Auditoría basada en Riesgos
Página 11
Seminario de Casos de Auditoría Grupo No. 1
sino que, se busca estar a favor de los mejores intereses del cliente, centrarse en entender y medir los riesgos e implicaciones del negocios, otorgando un valor agregado de la auditoria.
2.1.1 Objetivos Específicos de una Auditoría Basada en Riesgos Derivado del objetivo general planteado, se desprenden varios objetivos específicos que se pretenden cubrir con el trabajo realizado por el auditor dándole un enfoque de riesgos a su trabajo siendo estos: Que se cumplan los objetivos de la empresa. Promover el desarrollo personal Desarrollar un proceso integrado uniendo personas, procesos, estrategias y liderazgo. Tener identificadas y priorizadas las desviaciones en la istración de riesgos. Destacar las ineficiencias. Convertir las amenazas en oportunidades. Generar confianza en los accionistas e inversionistas. Establecimiento de controles.
2.2 Características Principales De Una Auditoría Basada en Riesgos La Auditoria Basada en Riesgos como un nuevo enfoque de servicios empresarial posee los atributos siguientes: Genera un mayor valor agregado en las recomendaciones obtenidas por todas las áreas de la organización. Permite utilizar los recursos donde más riesgo existe (en el mercado). Tiene mayor cobertura y es más especializada. No representa solamente controles contables. No está restringida a riesgos asegurables. Auditoría basada en Riesgos
Página 12
Seminario de Casos de Auditoría Grupo No. 1
Misión Visión
Plan estratégico
Universo de auditoría
Conceptos y cultura corporativa
Modelo de riesgos
Plan anual de auditoría
2.3 Diferencias entre Auditoría Tradicional y Auditoría Basada en Riesgos Para comprender de mejor manera el enfoque de una Auditoria basada en Riesgos, se efectuara una comparación con el enfoque de una auditoria tradicional, mediante siguiente cuadro.
Auditoria Basada en Riesgos
Auditoria Tradicional
Busca como fin el éxito de una empresa Verificar si los EF cumplen con las NICS y con
estrategias
organizativas
claras,
acordes
estructuras presentan y
razonablemente
la
situación
adecuada financiera de la empresa
prevención y evaluación de riesgos por medio de controles eficientes. Evaluación focalizada en los controles Evaluación de cumplimiento focalizada en de los niveles de supervisión sobre los los riesgos
del
negocio,
incluyendo
controles
de
procesamiento
de
la transacciones a nivel de detalle.
comparación con las mejores prácticas. Realización de benchmarking (mercado) Análisis
de
variaciones
realizadas
e
para detectar y evaluar potenciales interpretaciones por el staff (equipo de
Auditoría basada en Riesgos
Página 13
Seminario de Casos de Auditoría Grupo No. 1
riesgos del negocio, incluyendo posibles auditoria), fundamentalmente para cumplir fraudes.
con normas profesionales.
La auditoria esta orientada a los estados La auditoria esta orientada a los estados contables y produce solo un pequeño contables y produce solo un pequeño numero
de
sugerencias
sobre numero de sugerencias sobre contabilidad y
contabilidad y istración. Análisis de los riesgos de toda la empresa No importa el período de tiempo a
istración. Revisión exclusiva al área financiera y contable –Estados Financieros de la Empresa–. Período de un año como máximo.
revisar. El cuadro anterior indica la medición sistemática y la verificación de los estados financieros en un enfoque donde se tiene que conocer y entender a profundidad el negocio para poder identificar, priorizar y medir los riesgos para que puedan ser minimizados. 2.4 Relación con otros Tipos de Auditoría: El objetivo principal de una auditoria basada en riesgos es maximizar la eficiencia en el uso de los recursos y dar cobertura a todos las situaciones negativas o adversas que afectan a la entidad como un todo. Entre los tipos de Auditoria están: 2.4.1 Auditoría Financiera Involucra un examen con el fin de expresar una opinión respecto a si la información financiera y contable de la empresa esta siendo presentada de conformidad con criterios previamente establecidos. 2.4.2 Auditoría de Cumplimiento Se realiza para determinar si la entidad que se audita está cumpliendo con las condiciones, normas o reglamentos específicos, con el objeto de verificar los riesgos de control. Auditoría basada en Riesgos
Página 14
Seminario de Casos de Auditoría Grupo No. 1
2.4.3 Auditoría Operacional Este tipo de auditoría involucra la evaluación de la actuación del personal del área objeto de revisión, la identificación de oportunidades y el desarrollo de recomendaciones para mejorar el nivel productivo de la empresa.
Al respecto, cabe mencionar que existe el Riesgo por Segmentos, siendo la auditoria operacional un gran apoyo para el auditor respecto a identificar los riesgos operacionales de las empresas y de esa forma contribuir al fortalecimiento de los controles internos operacionales.
2.4.4 Auditoría Fiscal Es el tipo de auditoria que se encarga de verificar si se cumplen adecuadamente las obligaciones tributarias de acuerdo a la legislación vigente. Esta auditoria resulta de apoyo fundamental respecto a minimizar el riesgo legal existente.
Resultado de enunciar los conceptos de estos tipos de auditorias, en sí, este tipo de auditoria se puede clasificar como mixta, cuyo objetivo es el de controlar los riesgos derivados de la operación del negocio.
2.5 Beneficios de una auditoria de riesgo
Genera un mayor valor agregado en las recomendaciones obtenidas por todas las áreas de la organización.
Permite utilizar los recursos donde más riesgo existe.
Mayor cobertura.
Más especializado.
El personal es un equipo de profesionales de una amplia gama de disciplinas, dependiendo del área que se está auditando.
Auditoría basada en Riesgos
Página 15
Seminario de Casos de Auditoría Grupo No. 1
Los informes incluyen hallazgos, implicaciones, causas y efectos, así como las conclusiones y recomendaciones en tono positivo para mejorar la utilización de los recursos de la empresa.
2.6 Diferentes Tipos De Riesgos Que Existen En Las Empresas Derivado de factores internos y externos que afectan a una empresa se producen diferentes tipos de riesgos, los cuales fueron enumerados en su gran mayoría en el Capitulo I, sin embargo, el riesgo de toda empresa esta reflejado en las cifras de los estados financieros, normalmente la gerencia conoce sus riesgos y elabora planes y estrategias para enfrentarlos. Para un auditor conocer los riesgos de una entidad y evaluar los planes para saber que tan competentes son, es una parte importante de su trabajo puesto que este le ayudad a elaborar un plan de trabajo que le permita minimizar los riesgos de auditoria.
El riesgo de auditoria es el origen de tres riesgos
separados, los cuales son:
a) Riesgo Inherente: Es el riesgo de que ocurra un error sustancial en la preparación de los estados contables y financieros, ignorando los efectos de los controles internos.
Es la susceptibilidad de declaración equivocada, material que no tiene una aserción asumiendo que no existen controles relacionados.
El riesgo
inherente, puede probar su eficiencia por medio de una evaluación y conocimiento adecuado de la entidad a auditar, derivado a que este permite conocer la clase de transiciones que manejan, el riesgo del negocio, factores que afectan al negocio internos o externos, la calidad ética de quienes lo istran, etc., permitiendo determinar los objetivos críticos de auditoria.
Auditoría basada en Riesgos
Página 16
Seminario de Casos de Auditoría Grupo No. 1
Al determinar si el riego inherente es alto o bajo, se inicia la evaluación del riesgo de control.
b) Riesgo De Control Interno: Es el riesgo de que el sistema de control implantado por la entidad no sea adecuado y falle en impedir o detectar un error sustancial, si ocurre.
Es el riesgo de que una declaración equivocada, material que ocurriría en una aserción no será prevenida, o detectada y corregida, en una base oportuna por el control interno de la entidad. Ese riesgo es función de la efectividad del diseño y operación del control interno en el logro de los objetivos de la entidad relevantes para la preparación de los estados financieros de la misma. A causa de las limitaciones inherentes del control interno siempre existirá algún riesgo de control.
c) Riesgo De Detección: Riesgo de que los procedimientos de auditoria fallen en detectar un error sustancial. Este riesgo es quizá uno de los más importantes para el auditor externo, puesto que éste está basado en el criterio y experiencia del encargado del trabajo, debido que el deberá planear procedimientos de auditoria que le permitan satisfacerse de las cifran presentadas en los estados financieros
2.6.1 Riesgo Universal Del Negocio: a) Registros y/o información errónea. b) Principios contables inaceptables. c) Interrupción del negocio. d) Crítica gubernamental o acción legal. e) Altos costos. f) Ganancias no percibidas o pérdidas. Auditoría basada en Riesgos
Página 17
Seminario de Casos de Auditoría Grupo No. 1
g) Pérdida o destrucción de activos. h) Desventaja competitiva y/o insatisfacción pública. i) Fraude o conflicto de intereses. j) Inadecuada política de istración y/o procedimientos de toma de decisiones.
2.6.2 Otras clases de Riesgo: a) Pérdidas por sanciones legales. b) Pérdidas por errores en el cálculo de ingresos. c) Pérdidas por errores en el cálculo de egresos. d) Pérdida de negocios, causada por interrupciones, pérdida de reputación o de credibilidad pública. e) Pérdida de ventaja competitiva. f) Pérdidas por daño o destrucción de activos. g) Pérdida de fraude o hurto. h) Pérdida por decisiones erróneas. i) Económicos: Fluctuaciones
de la moneda, tasa de interés, mercado
opcionario. j) Ambientales: Ruidos, contaminación. k) Financieros: Riesgos contractuales, malversaciones de fondos, fraudes y multas. l) Humanos: Motines huelgas, sabotajes, errores. m) Desastres naturales: Condiciones climáticas, terremotos,
incendios de
bosques, plagas, actividad volcánica. n) Salubridad y seguridad ocupacional: Medidas de seguridad inadecuadas, istración de seguridad pobre. o) Responsabilidad de productos: Errores de diseño, calidad baja, estándar pruebas inadecuadas. p) Responsabilidad profesional: Consejo equivocado, negligencia, error de diseño. Auditoría basada en Riesgos
Página 18
Seminario de Casos de Auditoría Grupo No. 1
q) Daños a la propiedad: Fuego, inundaciones, terremotos, contaminación, error humano. r) Responsabilidad pública: , egreso y seguridad pública. s) Seguridad: Desfalcos, vandalismo, robo, apropiación indebida de información, penetración ilegal. t) Tecnológicos: Innovación, obsolescencia, explosiones y dependencia.
2.7
Controles Que Minimizan Los Riesgos Existentes Existen tres tipos de control que pueden ser ejercidos dentro de la organización, con el objetivo de evaluar la eficiencia y eficacia de sus operaciones:
a) Control Preventivo Es el conjunto de medidas y procedimientos orientados a la verificación, revisión y vigilancia del cumplimiento de las operaciones istrativas y financieras de la empresa y que deben ser observados por el personal con anterioridad a su autorización.
Entendido que el control aplicado
antes de que se produzca el hecho, necesariamente ha de conducir a la corrección y legitimidad de las operaciones istrativas y financieras, en control previo se ha aplicado en la istración pública en el ámbito del presupuesto y el gasto público.
Este tipo de control es responsabilidad de cada ente, como parte integrante de sus propios sistemas de control interno; por tal razón el control previo siempre es interno.
La auditoria preventiva abarca todos los controles, tanto operacionales como de contabilidad. La mayoría de los trabajos de revisión y evaluación tienen lugar por adelantado, antes de que se haya gastado el dinero. La materia prima de una auditoria de este tipo incluye las técnicas de Auditoría basada en Riesgos
Página 19
Seminario de Casos de Auditoría Grupo No. 1
planificación, organización, procesos de gestión y sistemas.
Los
beneficios que se obtienen mediante una auditoria preventiva, incluyen una mayor seguridad de lograr un rendimiento puntual, manteniendo el costo establecido y la buena calidad. De esta forma, se mejora la credibilidad y se obtienen beneficios de ahorros operacionales.
b)
Control Durante:
Constituye la revisión y vigilancia de los procesos de trabajo
de la
empresa en el mismo momento que acontecen los hechos: este tipo de control persigue la enmienda de distorsiones en la ejecución misma de un determinado trabajo. Inverso al control previo, este no anticipa, ni verifica procedimientos antes de la ejecución de determinada tarea: la marcha del procedimiento de trabajo representa en sí la fuente que alimenta
el
ejercicio de control.
En este tipo de control, interesa aprender de la experiencia mediante la ejecución de las labores, por cuanto solo de esta forma se garantizarán mecanismos de control adecuados para cada situación. Permite además, realizar las enmiendas necesarias en los casos que se observen debilidades en la estructura del control interno.
c)
Control Posterior:
Consiste en el examen ex-post de las operaciones financieras y istrativas de una entidad: este control es la revisión de las operaciones que se efectúan después de que están se han producido, con el objeto de verificarlas y analizarlas, y en general evaluarlas de acuerdo con la documentación y los resultados de las mismas.
Auditoría basada en Riesgos
Página 20
Seminario de Casos de Auditoría Grupo No. 1
La auditoria interna tradicionalmente ha basado su labor en este tipo de control, por medio de la revisión de los estados financieros y la realización de operaciones en el ámbito financiero y istrativo.
Tanto en control previo, durante y posterior, son partes del control interno de una empresa, pues en su conjunto vienen a constituir uno de los elementos fundamentales de la istración y de la responsabilidad de los es.
2.8 Normas Que Regulan La Actuación De Quienes La Realizan Para que el auditor realice en forma ética este tipo de trabajos y apegándose a los estándares de calidad propuestos por los diferentes órganos internacionales a continuación se listan las normas a seguir:
2.8.1 Normas De Ética Profesional Las Normas de Ética profesional implican un sistema de principios morales y observancia de las reglas prescritas que rigen las acciones de un Contador Público y Auditor en sus operaciones, así como en sus relaciones con sus clientes, con el público y con otros contadores. Las Reglas del Código de Ética de una profesión son perceptibles o consultoras, y se aplican únicamente a los de la organización que estableció el Código; constituyen entonces reglas prácticas que contribuyen al mejoramiento de la calidad profesional de cada miembro. 2.8.2 Normas Internacionales De Auditoría (Nia’s): Son normas internacionales sobre auditoria que se pretende sean aceptadas internacionalmente. Las Normas Internacionales de Auditoria (NIAs) deben ser aplicadas en la auditoria de los estados financieros. Las NIAs deben ser también aplicadas,
Auditoría basada en Riesgos
Página 21
Seminario de Casos de Auditoría Grupo No. 1
con la adaptación necesaria, a la auditoria de otra información y de servicios relacionados.
Las NIAs contienen los principios básicos y los procedimientos esenciales de Auditoria, estandarizados a nivel internacional. 2.8.3 Normas De Auditoría Generalmente Aceptadas (Naga’s): Son el conjunto de reglas y principios que tienen por objetivo primordial orientar la conducta y desempeño de los auditores, para lograr la estandarización en sus actividades y el resultado de las mismas. Declaraciones Sobre Las Normas Para La Práctica Profesional De Auditoría Interna:
Las Declaraciones sobre Normas de Auditoría Interna (SIAS) son emitidas por
el Comité de Normas y Responsabilidades Profesionales, que es el
comité técnico superior nombrado por el Instituto de Auditores Internos para que promulgue pronunciamientos sobre normas de auditoría.
Estas
declaraciones constituyen interpretaciones autorizadas de las Normas para la Práctica Profesional de Organizaciones de Auditoría Interna. Como lo indica el Código de Etica, los del Instituto de Auditores Internos y los contadores públicos autorizados deben adoptar medios idóneos para cumplir con las Normas, cuya aplicación, junto con las guías relativas, se regirá por el ambiente en que el departamento de auditoría interna cumpla con las responsabilidades que se le asignen.
El cumplimiento de los conceptos enunciados en las Normas es esencial para que
los
auditores
internos
puedan
a
su
vez
cumplir
con
sus
responsabilidades.
Auditoría basada en Riesgos
Página 22
Seminario de Casos de Auditoría Grupo No. 1
2.9 Planeación Y Supervisión De Una Auditoría Basada en Riesgos
En la Auditoria Basada en Riesgos debido a que es un nuevo proceso, parte de una planeación que se basa en el conocimiento del negocio y sus estrategias, se trabaja muy de cerca de la junta directiva y de la alta gerencia para identificar los riesgos de negocios en todos los frentes. El auditor debe de ser capaz de ver aquellos riesgos que por lo general no son identificados fácilmente por los directivos de la empresa, más allá de los puros riesgos contables.
Cada empresa enfrenta un conjunto diferente de riesgos; lo importante es comprender el riesgo de negocios de cada compañía. Una vez, identificados los riesgos, el siguiente paso es establecer las prioridades en cada una de las grandes áreas. El orden de esas prioridades estará dado por la combinación de la probabilidad de ocurrencia de cada riesgo y su impacto económico sobre la empresa. Por último, cuando las prioridades están claras, la atención se concentra en los procesos y controles que tiene el cliente para contrarrestar los riesgos.
En la planeación de este tipo de auditoria, se puede encuadrar a los siguientes procesos mínimos:
1. Conocer y entender el negocio de nuestro cliente: tiene por objetivo: identificar, buscar el origen y priorizar los riesgos de auditoria.
2. Evaluación de los controles existentes y determinar el riesgo residual de auditoria: con el objetivo de evaluar si los controles internos reducen los riesgos de auditoria a un nivel aceptable.
Auditoría basada en Riesgos
Página 23
Seminario de Casos de Auditoría Grupo No. 1
3. istrar el riesgo residual de auditoria: Aplicando procedimientos adicionales de auditoria, Normas Internacionales de Auditoria, y Normas Locales, como por ejemplo: Normas de Auditoria Generalmente Aceptadas, etc.
Tanto al inicio como durante y al concluir una auditoria es importante que quien supervisa examine el trabajo de todo el equipo de modo que adquiera un conocimiento exacto de todos los aspectos relacionados y esté en condiciones de asumir la responsabilidad total por el examen efectuado.
Algunos de los principales aspectos que se cubren dentro de la supervisión son: Efectuar una visita al cliente. Ejercer control sobre el desarrollo del trabajo. Mantener un permanente o con el o los encargados del trabajo para ayudarle en la toma de decisiones. Determinar, evaluar y resolver los problemas que puedan surgir.
Al realizar una adecuada supervisión se tiene beneficios implícitos pudiendo para el efecto enumerar los siguientes:
a. La reputación del auditor dependerá de la calidad del trabajo que realiza. b. La supervisión minimiza errores y detecta mayores problemas. c. Ayuda a hacer eficiente el trabajo y proporciona resultados mas satisfactorios. d. Ahorra tiempo al personal calificado o de mas experiencia y le permite tratar asuntos mas delicados.
Auditoría basada en Riesgos
Página 24
Seminario de Casos de Auditoría Grupo No. 1
2.10 Técnicas Y Procedimientos Aplicables En una Auditoria Externa Basada en Riesgos, las técnicas y procedimientos aplicables son: Conocer y entender el negocio. Análisis general del negocio Revisión Financiera Análisis de los procesos críticos del negocio Evaluar los controles existentes. Determinar el Riesgo Residual de auditoria. istrar el Riesgo Residual de auditoria.
2.10.1 Conocer Y Entender El Negocio. Existen innumerables procedimientos para llegar a conocer a perfección un negocio, entender sus necesidades y localizar los posibles riesgos existentes. En esta investigación se enumeran tres procedimientos principales a seguir: Entorno Macroeconómico: el cual puede dividirse en internacional, nacional y regional. Evaluación Sector Bancario: : conocer las características de las fuentes de financiamiento bancario como: tasas de interés, rentabilidad y solvencia entre otras. Marco Normativo: conocer las leyes específicas que regulan la actividad de la empresa. Propietarios: composición de la estructura del capital social. Clientes: identificar los principales clientes. Competencia: conocer las empresas que se encuentran compitiendo en el mercado de nuestro cliente.
Auditoría basada en Riesgos
Página 25
Seminario de Casos de Auditoría Grupo No. 1
2.10.2 Revisión Financiera. Consiste en efectuar un estudio comparativo de la situación financiera del cliente, utilizando –como por ejemplo– técnicas analíticas como: Análisis de Variaciones Análisis de Tamaño Análisis de Indicadores Financieros Pruebas Predictivas Análisis de Sensibilidad Análisis del Cash Flow Presupuestos Gerenciales
2.11 Comunicación De Los Resultados Durante la auditoria de estados financieros, es necesario que un auditor establezca una relación constructiva de trabajo con la istración para lograr una auditoria efectiva y eficiente, comprometiéndose a informar los resultados de su trabajo, ya sea por escrito o de forma oral, formal o informalmente, a través de informes parciales o informes totales. Lo importante del esto, es que se mantenga una adecuada comunicación con la istración durante todo el proceso de auditoria, en la búsqueda de garantizar que esta genere información oportuna y se eviten contratiempos en el ejercicio de la misma.
Algunas de las comunicaciones más importantes en el transcurso de la auditoria se ejemplifican a continuación:
Antes De La Auditoria El objetivo. La responsabilidad de la istración. El alcance. Auditoría basada en Riesgos
Página 26
Seminario de Casos de Auditoría Grupo No. 1
La forma en que se realizaran los informes u otra comunicación de resultados del trabajo. El hecho de que, a causa de la naturaleza de prueba y otras limitaciones inherentes de una auditoría, junto con las limitaciones inherentes de cualquier sistema de contabilidad y de control interno, hay un riesgo inevitable de que alguna declaración errónea de importancia relativa pueda permanecer sin ser descubierta. a cualesquier registros, documentación y otra información solicitada en conexión con la auditoría.
Durante La Auditoria Un entendimiento del negocio El plan de auditoria El efecto de legislación y estándares profesionales. Información necesaria para la evaluación de riesgos. Explicaciones, evidencia y representaciones de la istración o de un nivel más bajo en la organización. Las observaciones y sugerencias que surjan de la auditoría sobre asuntos como la eficiencia operacional o istrativa, estrategias de negocios, y otras cuestiones de interés.
Al Finalizar La Auditoria Cualesquiera dificultades prácticas encontradas al desempeñar la auditoria. Cualesquier desacuerdos con la istración. Los ajustes importantes de auditoria, ya sea que estén o no reflejados en los estados financieros.
Auditoría basada en Riesgos
Página 27
Seminario de Casos de Auditoría Grupo No. 1
Preocupaciones o problemas importantes relativos a políticas de contabilidad y a la revelación de partidas en los estados financieros que pudieran llevar a una modificación del dictamen de auditoria. Cualesquiera irregularidades o sospechas de incumplimiento con las leyes y reglamentos, que hayan surgido a la atención del auditor. Los riesgos o exposiciones significativos que enfrenta la entidad. Recomendaciones (por ejemplo, respecto de asuntos de control interno) que el auditor desee hacer como resultado de la auditoria.
2.12 Elaboración De Mapas O Matriz Para La Medición De Riesgos
Una Matriz de Riesgos, es una combinación de Medición de Riesgos, que se refiere a la evaluación de gravedad de los riesgos, y Prioritización de Riesgos,
la matriz consiste en el uso de riesgo en el eje horizontal y
componentes de sistema o pasos de auditoria en el eje izquierdo. En el eje de la esquina izquierda de la matriz, se escribe Alto, Medio y Bajo, que será la catalogación de los componentes y riesgos evaluados.
Los siguientes son algunos de los aspectos a tomar en cuenta en la elaboración de matrices de riesgos:
a) Los riesgos se definen, consensuan y se asignan a unidades orgánicas. Esto implica definir los riesgos principales y luego desagregar estos en sus componentes
b) El trabajo de conceptualizar, formular y definir la primera versión de la Matriz puede tomar bastante tiempo; posteriormente ésta se ajusta para recoger experiencias externas e internas y hacerla consistente con las
Auditoría basada en Riesgos
Página 28
Seminario de Casos de Auditoría Grupo No. 1
“Mejores Prácticas”, las tendencias de la industria y la situación particular de cada organización.
c) Para los riesgos de la Matriz, se debieran establecer indicadores, que faciliten los análisis, generen planes de acción con responsables, plazos y su posterior seguimiento.
d) Cada organización debe desarrollar su propio enfoque sistemático (desarrollo de herramientas), acorde a sus riesgos y realidad.
2.12.1 Pasos para su Elaboración Paso 1: establecer los objetivo(s) estratégico(s) sobre los que evaluaremos el impacto de los riesgos. Paso 2: identificar los eventos que pueden afectar la implementación de la estrategia o el logro de objetivos. Paso 3: definir el modelo para el mapa o la matriz de riesgos: el método para asignar probabilidades e impactos a cada uno de los riesgos y los niveles de “aversión al riesgo”. Paso 4: estimar el modelo...asignar probabilidades de ocurrencia e impacto a cada uno de los riesgos. Paso 5: construir el mapa de riesgos. Paso 6: identificar las posibles respuestas para cada uno de los riesgos, elaborar planes de acción e implementarlos.
Para realizar este tipo de matriz, es importante indicar que sus componentes principales son: las pruebas de Detalles y todos sus subdivisiones y las pruebas analíticas.
Auditoría basada en Riesgos
Página 29
Seminario de Casos de Auditoría Grupo No. 1
Pruebas De Detalles Las pruebas de detalles son aquellas pruebas que tienen como objeto la validación de las cifras presentadas en los estados financieros a través: Pruebas de validación documental, confirmaciones, muestreo etc.
Pruebas Analíticas Este tipo de pruebas se enfocan a realizar un análisis sobre los saldos presentados en los estados financieros por medio de: análisis de tendencias, proyecciones, presupuestos, es decir que el alcance del auditor se reduce en forma considerable.
Este tipo de matriz se apoya de la etapa de Planeación que es en donde el auditor establece los principales riesgos de al empresa y determina la efectividad y confiabilidad de los controles internos.
2.12.2 Cómo Funciona? Los procedimientos sustantivos que necesita la Matriz ABC pueden agruparse en tres estrategias separadas que se aplican en las aseveraciones críticas de la siguiente manera: RMI
Riesgo Mínimo
RMO
Riesgo Moderado
RA
Riesgo Alto
Riesgo Mínimo El enfoque mínimo, minimiza las pruebas de detalle sobre la convicción de que los factores de entorno, el sistema contable y los procedimientos de control son lo suficientemente aceptables como para permitir aceptar un riesgo de detección mínimo.
Auditoría basada en Riesgos
Página 30
Seminario de Casos de Auditoría Grupo No. 1
Riesgo Moderado El enfoque moderado, generalmente requiere que se aumenten las pruebas de detalle derivado de una aceptación moderada de los factores de entorno, el sistema contable y los procedimientos de control.
Esta estrategia generalmente destaca los procedimientos analíticos sobre los estados de resultados (a través de presupuestos) y las pruebas sustantivas en un enfoque reducido para el balance general (confirmaciones).
Riesgo Alto Este tipo de enfoque depende fundamentalmente de las pruebas de detalles derivado de lo siguiente: Los factores de entorno, el sistema contable o los procedimientos de control son tan débiles que posiblemente generarán errores materiales de estimación en los estados financieros. Este tipo de enfoque requerirá gran cantidad de procedimientos sustantivos tanto sobre el balance general como en el estado de resultados.
El siguiente cuadro muestra en resumen los tipos de procedimientos que se enfatizan para cada una de las estrategias principales derivadas de la evaluación de los riesgos tanto internos como externos del negocio:
Sistema
Factores
Control
Tipo de Balance
Estado de
Contable
Entorno
Interno
Enfoque General
Resultados
Máximo
Máximo
Máximo
RMI
Pruebas
Pruebas
Analíticas
Analíticas
Pruebas
Pruebas
Sustantivas
Analíticas
Pruebas
Pruebas
Sustantivas
Sustantivas
Moderado Moderado
Mínimo
Mínimo
Auditoría basada en Riesgos
Moderado RMO
Mínimo
RA
Página 31
Seminario de Casos de Auditoría Grupo No. 1
EJEMPLO Algunos Tipos de Riesgos
Riesgo genérico Riesgos
Riesgo específico de Terrorismo
propiedad
Área afectada Edificios
Fenómenos naturales
Equipos
Fuego
Automóviles
Riesgos de activos Robos y fraudes
Tesorerías
monetarios
Agencias y sucursales
Asaltos Negligencia
Riesgos humanos
Salud y seguridad de los Todos los funcionarios empleados Leyes laborales
Riesgos comerciales Contratos mal especificados Contratos
con
Propiedad intelectual
clientes, proveedores,
Riesgos de mercado
socios.
Riesgo de reputación
Áreas
de
comunicaciones Mercados financieros Riesgos
de Seguridad física
información
Documentación
Sistemas de información
Archivos
Procedimientos de
información
de
Caídas de sistemas Confidencialidad Aspectos técnicos Riesgos legales
Leyes de competitividad
Áreas comerciales
Protección de información
Áreas financieras
Leyes tributarias Procedimientos publicitarios
Auditoría basada en Riesgos
Página 32
Seminario de Casos de Auditoría Grupo No. 1
Leyes económicas Riesgos políticos
Poderes generales
Áreas comerciales
Libertad comercial
Áreas financieras
Derechos de propiedad Riesgos operativos
Ineficiencia de operaciones
Todas las áreas
Información inexacta Procesos inadecuados e ineficientes Uso inapropiado e ineficiente de los recursos
Auditoría basada en Riesgos
Página 33
Seminario de Casos de Auditoría Grupo No. 1
CAPITULO III LOS OCHO COMPONENTES DEL CONTROL INTERNO Y DE LA GESTIÓN DE RIESGOS
3.1
AMBIENTE DE CONTROL El ambiente interno abarca el talante de una organización, que influye la conciencia de sus empleados sobre el riesgo y forma la base de los otros componentes de la gestión de riesgos corporativos, proporcionando disciplina y estructura. Los factores del ambiente interno incluyen la filosofía de gestión de riesgos de una entidad, su riesgo aceptado, la supervisión ejercida por el consejo de istración, la integridad, valores éticos y competencia de su personal y la forma en que la dirección asigna la autoridad y responsabilidad y organiza y desarrolla a sus empleados.
3.2 ESTABLECIMIENTO DE OBJETIVOS Los objetivos se fijan a escala estratégica, estableciendo con ellos una base para los objetivos operativos, de información y de cumplimiento. Cada entidad se enfrenta a una gama de riesgos pro-cedentes de fuentes externas e internas y una condición previa para la identificación eficaz de eventos, la evaluación de sus riesgos y la respuesta a ellos es fijar los objetivos, que tienen que estar alineados con el riesgo aceptado por la entidad, que orienta a su vez los niveles de tolerancia al riesgo de la misma.
3.3 IDENTIFICACIÓN DE EVENTOS La dirección identifica los eventos potenciales que, de ocurrir, afectaran a la entidad y determina si representan oportunidades o si pueden afectar negativamente a la capacidad de la empresa para implantar la estrategia y logar los objetivos con éxito. Los eventos con impacto negativo representan riesgos, que exigen la evaluación y respuesta de la dirección. Auditoría basada en Riesgos
Página 34
Seminario de Casos de Auditoría Grupo No. 1
Los eventos con impacto positivo representan oportunidades, que la dirección reconduce hacia la estrategia y el proceso de fijación de objetivos. Cuando identifica los eventos, la dirección contempla una serie de factores internos y externos que pueden dar lugar a riesgos y oportunidades, en el contexto del ámbito global de la organización.
3.4 EVALUACIÓN DE RIESGOS La evaluación de riesgos permite a una entidad considerar la amplitud con que los eventos potenciales impactan en la consecución de objetivos. La dirección evalúa estos acontecimientos desde una doble perspectiva – probabilidad e impacto- y normalmente usa una combinación de métodos cualitativos y cuantitativos. Los impactos positivos y negativos de los eventos potenciales deben examinarse, individualmente o por categoría, en toda la entidad. Los riesgos se evalúan con un doble enfoque: riesgo inherente y riesgo residual.
3.5 RESPUESTA A LOS RIESGOS Una vez evaluados los riesgos relevantes, la dirección determina como responder a ellos. Las respuestas pueden ser las de evitar, reducir, compartí y aceptar el riesgo. Al considerar su respuesta, la dirección evalúa su efecto sobre la probabilidad e impacto del riesgo, así como los costes y beneficios, y selecciona aquella que situé el riesgo residual dentro de las tolerancias al riesgo establecidas. La dirección identifica cualquier oportunidad que pueda existir y asume una perspectiva de la cartea de riesgos, determinando si el riesgo residual global concuerda con el riesgo aceptado por la entidad.
3.6 ACTIVIDADES DE CONTROL Las actividades de control son las políticas y procedimientos que ayudan a asegurar que se llevan a cabo las respuestas de la dirección a los riegos. Las actividades de control tienen lugar a través de la organización, a todos Auditoría basada en Riesgos
Página 35
Seminario de Casos de Auditoría Grupo No. 1
los niveles y en todas las funciones, incluyen una gama de actividades tan diversas como aprobaciones, autorizaciones, verificaciones, conciliaciones, revisiones del funcionamiento operativo, seguridad de los activos y segregación de funciones.
3.7 INFORMACIÓN Y COMUNICACIÓN La gestión de riesgos corporativos se supervisa - revisando la presencia y funcionamiento de sus componentes a lo largo del tiempo, lo que se lleva a cabo mediante actividades permanentes de supervisión, evaluaciones independientes o una combinación de ambas técnicas. Durante el transcurso normal de las actividades de gestión, tiene lugar una supervisión permanente. El alcance y frecuencia de las evaluaciones independientes dependerá fundamentalmente de la evaluación de riesgos y la eficacia de los procedimientos de supervisión permanente. Las deficiencias en la gestión de riesgos corporativos se comunican de forma ascendente, trasladando los temas más importantes a la alta dirección y al consejo de istración.
3.8 MONITOREO La gestión de riesgos corporativos se supervisa revisando la presencia y funcionamiento de sus componentes a lo largo del tiempo, lo que se lleva a cabo mediante actividades permanentes de supervisión, evaluaciones independientes o una combinación de ambas técnicas. Durante el transcurso normal de las actividades de gestión, tiene lugar una supervisión permanente. El alcance y frecuencia de las evaluaciones independientes dependerá fundamentalmente de la evaluación de riesgos y la eficacia de los procedimientos de supervisión permanente. Las deficiencias en la gestión de riesgos corporativos se comunican de forma ascendente, trasladando los temas más importantes a la alta dirección y al consejo de istración.
Auditoría basada en Riesgos
Página 36
Seminario de Casos de Auditoría Grupo No. 1
1 2
CAPITULO IV
ISTRACIÓN DE RIESGOS
4.1 Definición Las empresas se enfrentan al problema del riesgo, se convierte en un cargo especializado en manos de una persona a que se le llamaba de Seguros.
El de riesgos se ocupaba únicamente de los riesgos propiamente dichos y los riesgos especulativos están manejados por una autoridad superior. Entre las funciones de un de Riesgos tenemos: El hallazgo de los riesgos existentes por medio de la observación y de la imaginación. El calculo de la gravedad de los siniestros en potencia. La consideración de los métodos para hacer frente a esos riesgos.
El objetivo fundamental de estas funciones es la de ayudar a identificar perdidas de manera organizada y promueve la eficiencia a través del análisis del riesgo, o la reducir los efectos económicos adversos consecuentes a la realización de riesgos.
La istración de riesgos es el que desarrolla una disciplina y un ambiente de decisiones para determinar cual es el riesgo más importante para implementar una estrategia.
Es el proceso de identificar, cuantificar y controlar los riesgos asociados a las actividades
financieras,
mediante
la
implementación
de
políticas,
procedimientos y límites establecidos. Auditoría basada en Riesgos
Página 37
Seminario de Casos de Auditoría Grupo No. 1
4.2 Función de la istración de Riesgos La primordial función de la istración de riesgos es la protección de los activos de una empresa, las operaciones y utilidades.
Y para realizar el
proceso de istración de riesgos se solicita un análisis sistemático y preventivo.
4.3 Planificación de Acción para Riesgo Es el que convierte la información sobre un riesgo en decisiones y acciones. La planificación estudia las acciones para enfrentar los riesgos individuales, establecer prioridades y crear un plan integrado de istración de riesgos.
Las siguientes son las cuatro áreas fundamentales que el equipo debe abordar durante la planificación de acciones para riesgos:
4.3.1 Estrategia para la istración de Riesgo Son estrategias para minimizar los riesgos. En los riesgos que el equipo del proyecto puede controlar, se deben aplicar los recursos necesarios para reducir el riesgo.
4.3.2 La Estrategia de Contingencia de Riesgos El propósito de la estrategia de contingencias es contar con un plan de reserva que pueda activarse en caso de que pierdan todos los esfuerzos para istrar el riesgo.
A menudo se pueden establecer los valores de la activación para el plan de contingencias con base en el tipo de riesgo o en el tipo de consecuencia para el proyecto que se encontrará.
Auditoría basada en Riesgos
Página 38
Seminario de Casos de Auditoría Grupo No. 1
4.3.3 Acción de Riesgo Información que se debe considerar en cuenta en el
desarrollo de un
formulario de acciones automatizadas para el riesgo: Identificador del riesgo: Nombre que emplea el equipo para identificar el riesgo, con el objetivo de elaborar informes y darle seguimiento. Declaración del riesgo: La declaración que describa la condición existente que podría conducir a una pérdida. Estrategia de istración del riesgo: Un párrafo o dos que describa la estrategia del equipo para istrar el riesgo. Unidades de medición para la estrategia de istración del riesgo: Las unidades de medición que usará el equipo para determinar si funcionan las acciones planeadas por la istración. Fechas de entrega: La fecha en que el equipo terminará con la acción planificada. Asignaciones de personal. Las personal asignada para ejecutar las acciones. Estrategia
de
contingencia
del
riesgo:
Un
párrafo
o
dos
que
describa la estrategia del equipo en caso de que no funcionen las acciones planificadas para istrar el riesgo. Unidades de medición y valores de activación para la
estrategia de
contingencia del riesgo: Mediciones y valores que usará el equipo para determinar cuándo debe aplicarse la estrategia de contingencia de riesgo y verificar si ésta funciona.
4.3.4 Seguimiento de Riesgos El equipo inspecciona el estado de los riesgos y las acciones que ha aplicado para disminuirlos. El seguimiento de los riesgos es esencial para la implementación de un plan de acciones eficaz. Esto implica establecer la medición del riesgo y los eventos de activación para asegurar que funcionan Auditoría basada en Riesgos
Página 39
Seminario de Casos de Auditoría Grupo No. 1
las acciones planificadas. Es eficaz incluir una revisión del riesgo durante las revisiones y los análisis del proyecto.
4.4 Elaboración de Informes del Estado de Riesgo Para las revisiones, el equipo debe presentar los riesgos importantes para el proyecto y el estado de las acciones para la istración de riesgos. Si las revisiones del proyecto se programan con precisión, es ventajoso mostrar la clasificación de riesgos anterior, por ejemplo, la cantidad de ocasiones se ha presentado un riesgo en la lista de los más importantes. 4.5 Control de Riesgos Se combinan los procesos de istración de un proyecto para controlar los planes, corregir las variaciones, responder a los eventos de activación y mejorar el proceso de istración de riesgos.
La
istración
de
riesgos
esta
sujeta
a
los
procesos
de
istración para: Controlar los planes de acciones para riesgos. Corregir las variaciones de los planes. Responder a los eventos de activación. Mejorar el proceso de istración de riesgos.
Al no estar el proceso de istración de riesgo integrado con la istración diaria del proyecto, quedará postergado a una actividad secundaria.
4.6 Evaluación de Riesgo de Auditoría Es utilizada para describir, medir y priorizar riesgos con el objetivo de identificar las áreas de mayor relevancia. Bajo ese contexto, tanto las declaraciones sobre normas de auditoría (SAS.- Statement on Auditing Auditoría basada en Riesgos
Página 40
Seminario de Casos de Auditoría Grupo No. 1
Standards), las declaraciones para la práctica profesional de la auditoría y las declaraciones para la práctica profesional de auditoría de sistemas, establecen lineamientos en materia de riesgos que los auditores deben observar para realizar un buen trabajo y cumplir con sus responsabilidades. Se establece, que el auditor debe planear la auditoría para que el riesgo antes señalado se limite a un nivel bajo que sea, a su juicio profesional, apropiado para emitir una opinión.
De igual manera, se establece como los planes para llevar a cabo las responsabilidades del departamento de auditoria, se debe efectuar una valuación de riesgos con relación a su organización y señalar como elementos del proceso de valuación: Identificación de las actividades auditables. Identificación de factores de riesgo que son relevantes a las actividades auditables, y Valuación de los factores de riesgo. No obstante los lineamientos antes expuestos, llama la atención el resultado de dos estudios realizados en Estados Unidos y el Reino Unido, así como en entrevistas del autor con otros auditores de diferentes países, en los que, al menos una tercera parte de los grupos de auditoría interna entrevistados, no realizan auditoría en base a riesgos. Entre las razones de ello se argumentaron: Falta de entendimiento de los conceptos de riesgo. La evaluación de riesgos puede requerir conocimientos especializados o software. Falta de tiempo para planear. El grupo de auditoría es muy reducido para utilizar herramientas de planeación.
Auditoría basada en Riesgos
Página 41
Seminario de Casos de Auditoría Grupo No. 1
4.7 Gestión de Riesgo La auditoria debe estar organizada mediante la identificación y evaluación los riesgos, para la contribución a la mejora de los sistemas de gestión de riesgo y control.
La actividad de auditoria tendrá que ser supervisada y evaluada la efectividad del sistema de gestión de riesgo de la organización.
Teniéndose que evaluar las exposiciones al riesgo referidas a gobierno, operaciones y sistemas de información de la organización con relación a: Confiabilidad e integridad de la información financiera y operativa; Efectividad y eficiencia de las operaciones; Protección de activos; y Cumplimiento de leyes regulaciones y contratos.
Auditoría basada en Riesgos
Página 42
Seminario de Casos de Auditoría Grupo No. 1
CONCLUSIONES
1. Los riesgos no se originan por la falta de controles, estos existen por sí mismos y se presentan cuando son causados.
2. La Auditoria en riesgos en un sistema novedoso para realizar la revisión a los Estados Financieros ya que no se dedica únicamente a evaluar cifras, si no a evaluar los riesgos a que se encuentran expuestos las instituciones.
3. Los controles se establecen para minimizar y
evitar toda clase de
riesgos.
4. La utilización de una matriz para la evaluación de riesgos en cualquier tipo de empresa que sé este trabajando es la forma más sencilla y clara para la interpretación y comprensión de los riesgos inclusive para el personal ajeno al trabajo de Auditoria.
5. La istración de riesgos es el proceso de identificar, cuantificar y controlar los riesgos asociados a las actividades financieras, mediante la implementación de políticas, procedimientos y límites establecidos. Esta desarrolla una disciplina y un ambiente de decisiones para determinar cuál es el riesgo más importante para implementar una estrategia.
Auditoría basada en Riesgos
Página 43
Seminario de Casos de Auditoría Grupo No. 1
RECOMENDACIONES
1. Se recomienda a las Entidades, la elaboración y aplicación de instrumentos que ayuden a mitigar los riesgos, como manuales integrales, para identificar, controlar y prevenir los riesgos.
2. El hecho que las instituciones sean cada vez más sensibles y propensas a los riesgos, debería inducir a éstas a implementar sistemas de autocontrol efectivos; es decir, debería existir una mayor preocupación por conocer de mejor manera el escenario y el ambiente en el que están desarrollando sus actividades, a fin de poder evaluar con mejor juicio su verdadero perfil de riesgos y diseñar los sistemas de gestión más idóneos.
Auditoría basada en Riesgos
Página 44
Seminario de Casos de Auditoría Grupo No. 1
BIBLIOGRAFÍA
Auditoría Basada en Riesgos; Sten Bjelke, 1996
Material de Apoyo; Girón Barahona, Alvaro Joel, Universidad de San Carlos de Guatemala
Tesis “El Contador Público y Auditor y los Riesgos Relativos probables en una Auditoría Externa de Estados Financieros Selva, Manuel Alberto Universidad de San Carlos de Guatemala Guatemala 1999
Consultado en página de Internet: www.monografía.com
Auditoría basada en Riesgos
Página 45
1. CAPITULO I
GENERALIDADES
DEFINICIONES
Para entender adecuadamente el trabajo de una auditoría basada en riesgos, es necesario conocer las diferentes definiciones:
1.1 Auditoría: Es
un
examen
sistemático
de
los
estados
financieros
contables,
istrativos y operativos, para determinar el cumplimiento de principios económico-financieros, la adherencia a los principios de contabilidad generalmente aceptados, el proceso istrativo y las políticas de dirección, normas y otros requerimientos establecidos por la organización.
1.2 Riesgo: En su sentido gramatical significa la contingencia o proximidad de un daño. Se refiere a la posibilidad de que se produzca un resultado desfavorable con relación a un resultado esperado, por lo que involucra incertidumbre de la ocurrencia de un acontecimiento futuro, incierto pero posible, que puede perjudicar los intereses colectivos.
En la teoría de la gestión y la estrategia de los negocios, riesgo es uno de los componentes del continuum de oportunidades, que lleva a resultados favorables y desfavorables y que está asociado con probabilidades -frecuencia- de materialización. El riesgo es la discontinuidad de este continuum. Es lo inesperado.
Auditoría basada en Riesgos
Página 1
Seminario de Casos de Auditoría Grupo No. 1
En la teoría de las decisiones, riesgo es: a) una propiedad de las diversas opciones que hace que el individuo que las enfrenta las pueda diferenciar; b) que las pueda ordenar bajo algún esquema de jerarquía; y c) que les pueda asignar alguna medida tal como el promedio y la variancia.
Para las ciencias del comportamiento, riesgo es la percepción de riesgo. Los individuos no tienen un comportamiento completamente racional cuando se les enfrenta con las mismas opciones pero con diferentes términos.
En la teoría financiera, riesgo es el elemento cuantificable de potenciales pérdidas asociadas con la tenencia de activos, sean inversiones o créditos.
En el área de seguridad ambiental y salud ocupacional, el riesgo se asocia con los peligros de las tareas y operaciones.
Para la auditoría, el riesgo se enfoca en los efectos de las pérdidas de activos.
Para la industria de los seguros, el riesgo y su gestión se enfoca en funciones de probabilidad de pérdidas de eventos que se materializarían.
1.3 Auditoría Basada En Riesgos Significa ampliar la perspectiva de la auditoria para incluir todas las técnicas de riesgo, incluyendo técnicas de istración. Esta práctica incluso le proporciona al Auditor una oportunidad para examinar si existe un excesivo control en el proceso de la istración, dándole la oportunidad de señalar e identificar algunos procedimientos que se encuentren obsoletos o sean ineficientes.
Auditoría basada en Riesgos
Página 2
Seminario de Casos de Auditoría Grupo No. 1
1.4 Mapa O Matriz De Riesgos Es una herramienta para la evaluación de riesgos, que permite presentar gráficamente el impacto (severidad) y la frecuencia (probabilidad de ocurrencia) de los riesgos. Es una guía visual que facilita asignar prioridades en la atención de determinados riesgos.
Por ejemplo en el sistema financiero para el otorgamiento de créditos se utiliza una matriz de riesgos que contiene los parámetros principales que aunados definirán una categoría de cliente y el riesgo de recuperación que representará el mismo.
1.5 Riesgos más comunes Tomando como base que Riesgo es la potencialidad de que eventos, anticipados o no, puedan tener un impacto adverso contra los ingresos y el patrimonio de la institución, a continuación se detallan algunos:
1.5.1 Riesgo De Operaciones Ocurre cuando una organización no puede lograr sus objetivos al no identificar y istrar los riesgos para asegurar la integridad, efectividad y eficiencia de las operaciones y salvaguardar los activos.
Es la posibilidad de pérdida directa o indirecta resultante de la exposición de la institución a fallas en los procesos internos, personal, sistemas o de eventos externos. Suele agrupar una gran variedad de riesgos relacionados con
aspectos diversos tales
como
deficiencias
de
control interno,
procedimientos inadecuados, errores humanos, fraudes y fallos en los sistemas informáticos. Este riesgo tiene su justificación en la pérdida potencial derivada de deficiencias significativas en la integridad o confianza del sistema. Las consideraciones de seguridad son importantes, en la medida en que los Auditoría basada en Riesgos
Página 3
Seminario de Casos de Auditoría Grupo No. 1
bancos pueden ser sujetos de ataques externos o internos sobre sus sistemas o productos. El riesgo operacional puede también surgir de:
Un mal uso del cliente.
De un diseño inadecuado.
De un sistema de banca electrónica mal implantado.
El riesgo operacional se encuentra en estrecha relación con el control sobre el a los sistemas de gestión de riesgo y a la contabilidad de una institución. Este control de a los sistemas se ha convertido en algo tremendamente complejo debido a los avances informáticos, a la dispersión geográfica de los puntos de , y al uso de vías alternativas de comunicación, incluyendo las redes públicas como Internet.
Lo cierto es que los s no autorizados, ya sean realizados por piratas informáticos (hackers) o por empleados (insiders), pueden dar lugar a pérdidas directas debido al uso y manipulación de información confidencial del cliente. Por esta razón, es preciso diseñar sistemas que aseguren la confidencialidad e integridad de cualquier transacción y garanticen la privacidad de la información.
Los malos usos de los clientes, tanto intencionados como inadvertidos, constituyen otra de las fuentes de riesgo operacional. El riesgo puede ser mayor si la empresa no "educa" adecuadamente a sus clientes sobre las precauciones de seguridad.
El uso personal de información del cliente (como por ejemplo la verificación de información, número de las tarjetas de crédito, número de las cuentas bancarias, etc.) en una transmisión electrónica carente de seguridad permitiría a un experto (hacker) tener directo a las cuentas de los Auditoría basada en Riesgos
Página 4
Seminario de Casos de Auditoría Grupo No. 1
clientes. Consecuentemente, la empresa podría incurrir en pérdidas financieras debido a transacciones de clientes no autorizados.
Ejemplos:
s no autorizados.
Fraude de empleados.
Obsolescencia del sistema.
Ausencia de gestión experta.
Riesgo del proveedor del servicio.
El cliente no cumple las pautas de seguridad.
El cliente niega haber realizado una transacción.
1.5.2 Riesgo Financiero: Es una medida de la exposición de la organización a pérdidas financieras o dificultades en virtud de ello.
1.5.3 Riesgo De Información De Tecnología: Ocurre cuando las tecnologías de información en el lugar, para apoyar el logro de los objetivos comerciales no esta operando como se intenta o están comprometiendo la disponibilidad, integridad y seguridad de la información y otros activos.
1.5.4 Riesgo De Entorno: Surge cuando hay fuerzas externas que podrían poner a una compañía fuera de los negocios o cambiar significativamente las presunciones fundamentales que conducen sus objetivos y estrategias generales, y/o afectan su habilidad para lograr sus objetivos.
1.5.5 Riesgo Presupuestario:
Auditoría basada en Riesgos
Página 5
Seminario de Casos de Auditoría Grupo No. 1
Es el riesgo de no asociar correctamente los objetivos, las metas y los planes con la disponibilidad de fondos o bien que por controles insuficientes, deficientes o ausentes, el presupuesto no se istre bien e impida alcanzar los objetivos y las metas.
1.5.6 Riesgo de Reputación: Es el riesgo de que la pérdida de confianza en la organización o en sus es impida el correcto uso de los fondos o que no se le tenga confianza a lo que se está haciendo, todo ello en detrimento de la consecución de los planes. Es la posibilidad de pérdidas financieras como consecuencia de fallas operacionales, fallas en cumplir con leyes y regulaciones relevantes u otras fuentes. El riesgo de reputación es particularmente dañino para los bancos considerando que la naturaleza
de su
negocio requiere mantener la
confianza de sus depositantes, acreedores y el mercado en general.
1.5.7 Riesgo de Crédito: Es la posibilidad actual o futura de que una institución incurra en pérdidas como consecuencia de que un cliente o contraparte, con el que tiene contratada
operaciones,
incumpla
sus
compromisos
contractuales
o
implícitos. Este riesgo aplica a préstamos, inversiones en títulos, garantías, aceptaciones y otras operaciones de balance que constituyan financiamiento.
El riesgo de crédito es simplemente definido como el potencial de que un prestatario o contraparte no cumpla con sus obligaciones de acuerdo con los términos convenidos. La meta de la istración del riesgo es maximizar la tasa de retorno ajustada al riesgo del banco, a través de mantener la exposición del riesgo de crédito dentro de parámetros aceptables. Los bancos también deben considerar las relaciones entre el riesgo de crédito y Auditoría basada en Riesgos
Página 6
Seminario de Casos de Auditoría Grupo No. 1
otros riesgos. La istración efectiva del riesgo de crédito es un componente crítico de un enfoque comprensivo para el manejo del mismo y es esencial para el éxito a largo plazo de cualquier organización bancaria.
1.5.8 Riesgo de Liquidez Es la posibilidad actual o futura de que una institución enfrente incapacidad de cumplir con sus obligaciones al momento de que estas son exigibles o de que incurra en pérdidas excesivas al obtener los recursos necesarios.
Las políticas y procedimientos sobre riesgos de Liquidez deberán estar claramente definidas y serán consistentes con la naturaleza y complejidad de las actividades que realiza el Grupo Financiero, por tal motivo, se deberán establecer límites y cualquier otra práctica que consideren necesaria para mantener la exposición a los riesgos de liquidez dentro de niveles permitidos, que incluyan al menos lo siguiente: Las medidas para controlar los efectos que puedan producirse por la exposición al riesgo de liquidez, así como los mecanismos para obtener los recursos necesarios, a costos razonables y suficientes como para garantizar el giro normal del negocio. Sistema de información gerencial con información suficiente y oportuna, en la forma y frecuencia necesaria para istrar adecuadamente la liquidez. La composición de los activos y pasivos, considerando la concentración de los mismos. Los vencimientos de sus pasivos. La posibilidad de realizar los activos. El manejo de la liquidez en las diferentes monedas en que se realizan las operaciones.
Auditoría basada en Riesgos
Página 7
Seminario de Casos de Auditoría Grupo No. 1
Monitoreo diario y continuo de los activos líquidos y requerimientos de financiamiento. El nivel de confianza respecto de los instrumentos que utilice para ajustar la posición de liquidez, basado en los análisis técnicos de las tendencias de comportamiento de la entidad y las perspectivas del entorno. Análisis de cambios en las necesidades de financiamiento ante diferentes escenarios y los respectivos planes de contingencia para dichos casos. Políticas sobre diversificación de fuentes de financiamiento. Las herramientas para hacer un seguimiento efectivo para el control de riesgos de liquidez. Acciones correctivas y planes de reestructuración. Informarse
diaria y mensualmente sobre la aplicación y grande de
cumplimientos de las políticas, estrategias y procedimientos aprobadas por el Consejo de istración del banco. Establecer las acciones correctivas en caso de que las políticas, estrategias y procedimientos no se cumplan satisfactoriamente. Recibir información permanente y continua sobre la situación de liquidez de las entidades, así como sobre los cambios sustanciales de tal situación y de su evolución en el tiempo. Establecer límites prudenciales para el manejo de la liquidez, compatibles con las actividades, estrategias y objetivos del Grupo Financiero, que permitan una adecuada reacción frente a situaciones adversas.
1.5.9 Riesgo de Mercado: Es la posibilidad de pérdida como consecuencia de la exposición de la condición financiera de la institución a cambios en los factores que inciden sobre la valuación de las posiciones por operaciones activas, pasivas o causantes de pasivo contingente, tales como tasas de interés, tipos de cambio, precios de mercancías, cotizaciones de acciones, entre otros.
Auditoría basada en Riesgos
Página 8
Seminario de Casos de Auditoría Grupo No. 1
1.5.10 Riesgo Legal Es la posibilidad de pérdida como consecuencia de problemas en el ejercicio de sus derechos legales, derivado del inadecuado o incorrecto consejo legal, así como por la emisión de resoluciones istrativas y judiciales desfavorables, la imposición de sanciones o de compensaciones económicas a favor de terceros, en relación con las operaciones que la institución lleva a cabo.
Es conveniente tomar en cuenta que la institución puede estar expuesta a riesgos legales, por las siguientes razones:
Falta de capacidad legal por: Falta de documentos adecuados Descuido por inclusión de algún precepto perjudicial Cambios en las legislaciones, después de redactados los documentos Malas interpretaciones de la ley Compensaciones económicas a terceros Mala imagen en la reputación por litigio con terceros Falta de seguimiento al entorno legislativo
Una manera de minimizar el anterior contenido, es disponer de una unidad que cuente con los recursos necesarios y se proponga los siguientes objetivos: Asegurar la capacidad legal Asegurar el cumplimiento de los requisitos legales Ofrecer sinergia en las oportunidades de negocio Evaluar y monitorear el riesgo legal Establecer un marco legal adecuado para potenciar una actuación sólida
Auditoría basada en Riesgos
Página 9
Seminario de Casos de Auditoría Grupo No. 1
Ejemplos: Incertidumbre y ambigüedad en la aplicación legal. Revelación inadecuada de información del cliente. Fallos en la protección de la privacidad del cliente.
1.6 Roles y Responsabilidades Todo el personal de una entidad tiene alguna responsabilidad en la gestión de riesgos corporativos. El consejero delegado es responsable en último lugar debería asumir su “titularidad”. Otros directivos apoyan la filosofía de gestión de riesgos, promoción el cumplimiento del riesgo aceptado y gestionan los riesgos dentro de sus áreas de responsabilidad, en coherencia con las tolerancias al riesgo. Otras personas son responsables de desarrollar la gestión de riesgos corporativos según las directivas y protocolos establecidos.
Auditoría basada en Riesgos
Página 10
Seminario de Casos de Auditoría Grupo No. 1
CAPITULO II AUDITORIA BASADA EN RIESGOS UN NUEVO ENFOQUE
Durante mucho tiempo, la percepción que la mayoría de empresarios tuvieron sobre la auditoria era parecida a la que tenían respecto a un policía: un ente vigilante y un poco antipático dedicado a encontrar desviaciones respecto a las normas, más concentrado en los detalles que en la visión de lo primordial. La auditoria era un poco más que un mal necesario.
Esta imagen ha sido superada por el rápido incremento de la complejidad de los negocios en las últimas décadas.
La globalización, la aparición de nuevos
competidores en todos los campos, la aceleración de procesos, el auge de las alianzas y la necesidad de buscar capitales internacionales son factores que se han reflejado en un cambio de fondo entre la relación entre auditores y empresas. Una auditoria basada en riesgos es la “que se enfoca en el riesgo y istración de riesgos como el objetivo de la auditoria”
2.1 Objetivos De Una Auditoria Basada En Riesgos Auditoría Basada en Riesgos: Como todo trabajo a desempeñar por el auditor, existen objetivos claramente definidos pudiendo enumerar un objetivo general que implica su desarrollo y varios objetivos específicos, siendo estos:
2.1.1 Objetivo General De Una Auditoría Basada en Riesgos La Auditoria con enfoque basado en riesgos, implica profundos cambios dentro de los objetivos de la auditoria tradicional (indicar si los estados financieros de una entidad son razonablemente correctos acorde a la realidad de la empresa), ahora no basta con hacer una auditoria general y rutinaria,
Auditoría basada en Riesgos
Página 11
Seminario de Casos de Auditoría Grupo No. 1
sino que, se busca estar a favor de los mejores intereses del cliente, centrarse en entender y medir los riesgos e implicaciones del negocios, otorgando un valor agregado de la auditoria.
2.1.1 Objetivos Específicos de una Auditoría Basada en Riesgos Derivado del objetivo general planteado, se desprenden varios objetivos específicos que se pretenden cubrir con el trabajo realizado por el auditor dándole un enfoque de riesgos a su trabajo siendo estos: Que se cumplan los objetivos de la empresa. Promover el desarrollo personal Desarrollar un proceso integrado uniendo personas, procesos, estrategias y liderazgo. Tener identificadas y priorizadas las desviaciones en la istración de riesgos. Destacar las ineficiencias. Convertir las amenazas en oportunidades. Generar confianza en los accionistas e inversionistas. Establecimiento de controles.
2.2 Características Principales De Una Auditoría Basada en Riesgos La Auditoria Basada en Riesgos como un nuevo enfoque de servicios empresarial posee los atributos siguientes: Genera un mayor valor agregado en las recomendaciones obtenidas por todas las áreas de la organización. Permite utilizar los recursos donde más riesgo existe (en el mercado). Tiene mayor cobertura y es más especializada. No representa solamente controles contables. No está restringida a riesgos asegurables. Auditoría basada en Riesgos
Página 12
Seminario de Casos de Auditoría Grupo No. 1
Misión Visión
Plan estratégico
Universo de auditoría
Conceptos y cultura corporativa
Modelo de riesgos
Plan anual de auditoría
2.3 Diferencias entre Auditoría Tradicional y Auditoría Basada en Riesgos Para comprender de mejor manera el enfoque de una Auditoria basada en Riesgos, se efectuara una comparación con el enfoque de una auditoria tradicional, mediante siguiente cuadro.
Auditoria Basada en Riesgos
Auditoria Tradicional
Busca como fin el éxito de una empresa Verificar si los EF cumplen con las NICS y con
estrategias
organizativas
claras,
acordes
estructuras presentan y
razonablemente
la
situación
adecuada financiera de la empresa
prevención y evaluación de riesgos por medio de controles eficientes. Evaluación focalizada en los controles Evaluación de cumplimiento focalizada en de los niveles de supervisión sobre los los riesgos
del
negocio,
incluyendo
controles
de
procesamiento
de
la transacciones a nivel de detalle.
comparación con las mejores prácticas. Realización de benchmarking (mercado) Análisis
de
variaciones
realizadas
e
para detectar y evaluar potenciales interpretaciones por el staff (equipo de
Auditoría basada en Riesgos
Página 13
Seminario de Casos de Auditoría Grupo No. 1
riesgos del negocio, incluyendo posibles auditoria), fundamentalmente para cumplir fraudes.
con normas profesionales.
La auditoria esta orientada a los estados La auditoria esta orientada a los estados contables y produce solo un pequeño contables y produce solo un pequeño numero
de
sugerencias
sobre numero de sugerencias sobre contabilidad y
contabilidad y istración. Análisis de los riesgos de toda la empresa No importa el período de tiempo a
istración. Revisión exclusiva al área financiera y contable –Estados Financieros de la Empresa–. Período de un año como máximo.
revisar. El cuadro anterior indica la medición sistemática y la verificación de los estados financieros en un enfoque donde se tiene que conocer y entender a profundidad el negocio para poder identificar, priorizar y medir los riesgos para que puedan ser minimizados. 2.4 Relación con otros Tipos de Auditoría: El objetivo principal de una auditoria basada en riesgos es maximizar la eficiencia en el uso de los recursos y dar cobertura a todos las situaciones negativas o adversas que afectan a la entidad como un todo. Entre los tipos de Auditoria están: 2.4.1 Auditoría Financiera Involucra un examen con el fin de expresar una opinión respecto a si la información financiera y contable de la empresa esta siendo presentada de conformidad con criterios previamente establecidos. 2.4.2 Auditoría de Cumplimiento Se realiza para determinar si la entidad que se audita está cumpliendo con las condiciones, normas o reglamentos específicos, con el objeto de verificar los riesgos de control. Auditoría basada en Riesgos
Página 14
Seminario de Casos de Auditoría Grupo No. 1
2.4.3 Auditoría Operacional Este tipo de auditoría involucra la evaluación de la actuación del personal del área objeto de revisión, la identificación de oportunidades y el desarrollo de recomendaciones para mejorar el nivel productivo de la empresa.
Al respecto, cabe mencionar que existe el Riesgo por Segmentos, siendo la auditoria operacional un gran apoyo para el auditor respecto a identificar los riesgos operacionales de las empresas y de esa forma contribuir al fortalecimiento de los controles internos operacionales.
2.4.4 Auditoría Fiscal Es el tipo de auditoria que se encarga de verificar si se cumplen adecuadamente las obligaciones tributarias de acuerdo a la legislación vigente. Esta auditoria resulta de apoyo fundamental respecto a minimizar el riesgo legal existente.
Resultado de enunciar los conceptos de estos tipos de auditorias, en sí, este tipo de auditoria se puede clasificar como mixta, cuyo objetivo es el de controlar los riesgos derivados de la operación del negocio.
2.5 Beneficios de una auditoria de riesgo
Genera un mayor valor agregado en las recomendaciones obtenidas por todas las áreas de la organización.
Permite utilizar los recursos donde más riesgo existe.
Mayor cobertura.
Más especializado.
El personal es un equipo de profesionales de una amplia gama de disciplinas, dependiendo del área que se está auditando.
Auditoría basada en Riesgos
Página 15
Seminario de Casos de Auditoría Grupo No. 1
Los informes incluyen hallazgos, implicaciones, causas y efectos, así como las conclusiones y recomendaciones en tono positivo para mejorar la utilización de los recursos de la empresa.
2.6 Diferentes Tipos De Riesgos Que Existen En Las Empresas Derivado de factores internos y externos que afectan a una empresa se producen diferentes tipos de riesgos, los cuales fueron enumerados en su gran mayoría en el Capitulo I, sin embargo, el riesgo de toda empresa esta reflejado en las cifras de los estados financieros, normalmente la gerencia conoce sus riesgos y elabora planes y estrategias para enfrentarlos. Para un auditor conocer los riesgos de una entidad y evaluar los planes para saber que tan competentes son, es una parte importante de su trabajo puesto que este le ayudad a elaborar un plan de trabajo que le permita minimizar los riesgos de auditoria.
El riesgo de auditoria es el origen de tres riesgos
separados, los cuales son:
a) Riesgo Inherente: Es el riesgo de que ocurra un error sustancial en la preparación de los estados contables y financieros, ignorando los efectos de los controles internos.
Es la susceptibilidad de declaración equivocada, material que no tiene una aserción asumiendo que no existen controles relacionados.
El riesgo
inherente, puede probar su eficiencia por medio de una evaluación y conocimiento adecuado de la entidad a auditar, derivado a que este permite conocer la clase de transiciones que manejan, el riesgo del negocio, factores que afectan al negocio internos o externos, la calidad ética de quienes lo istran, etc., permitiendo determinar los objetivos críticos de auditoria.
Auditoría basada en Riesgos
Página 16
Seminario de Casos de Auditoría Grupo No. 1
Al determinar si el riego inherente es alto o bajo, se inicia la evaluación del riesgo de control.
b) Riesgo De Control Interno: Es el riesgo de que el sistema de control implantado por la entidad no sea adecuado y falle en impedir o detectar un error sustancial, si ocurre.
Es el riesgo de que una declaración equivocada, material que ocurriría en una aserción no será prevenida, o detectada y corregida, en una base oportuna por el control interno de la entidad. Ese riesgo es función de la efectividad del diseño y operación del control interno en el logro de los objetivos de la entidad relevantes para la preparación de los estados financieros de la misma. A causa de las limitaciones inherentes del control interno siempre existirá algún riesgo de control.
c) Riesgo De Detección: Riesgo de que los procedimientos de auditoria fallen en detectar un error sustancial. Este riesgo es quizá uno de los más importantes para el auditor externo, puesto que éste está basado en el criterio y experiencia del encargado del trabajo, debido que el deberá planear procedimientos de auditoria que le permitan satisfacerse de las cifran presentadas en los estados financieros
2.6.1 Riesgo Universal Del Negocio: a) Registros y/o información errónea. b) Principios contables inaceptables. c) Interrupción del negocio. d) Crítica gubernamental o acción legal. e) Altos costos. f) Ganancias no percibidas o pérdidas. Auditoría basada en Riesgos
Página 17
Seminario de Casos de Auditoría Grupo No. 1
g) Pérdida o destrucción de activos. h) Desventaja competitiva y/o insatisfacción pública. i) Fraude o conflicto de intereses. j) Inadecuada política de istración y/o procedimientos de toma de decisiones.
2.6.2 Otras clases de Riesgo: a) Pérdidas por sanciones legales. b) Pérdidas por errores en el cálculo de ingresos. c) Pérdidas por errores en el cálculo de egresos. d) Pérdida de negocios, causada por interrupciones, pérdida de reputación o de credibilidad pública. e) Pérdida de ventaja competitiva. f) Pérdidas por daño o destrucción de activos. g) Pérdida de fraude o hurto. h) Pérdida por decisiones erróneas. i) Económicos: Fluctuaciones
de la moneda, tasa de interés, mercado
opcionario. j) Ambientales: Ruidos, contaminación. k) Financieros: Riesgos contractuales, malversaciones de fondos, fraudes y multas. l) Humanos: Motines huelgas, sabotajes, errores. m) Desastres naturales: Condiciones climáticas, terremotos,
incendios de
bosques, plagas, actividad volcánica. n) Salubridad y seguridad ocupacional: Medidas de seguridad inadecuadas, istración de seguridad pobre. o) Responsabilidad de productos: Errores de diseño, calidad baja, estándar pruebas inadecuadas. p) Responsabilidad profesional: Consejo equivocado, negligencia, error de diseño. Auditoría basada en Riesgos
Página 18
Seminario de Casos de Auditoría Grupo No. 1
q) Daños a la propiedad: Fuego, inundaciones, terremotos, contaminación, error humano. r) Responsabilidad pública: , egreso y seguridad pública. s) Seguridad: Desfalcos, vandalismo, robo, apropiación indebida de información, penetración ilegal. t) Tecnológicos: Innovación, obsolescencia, explosiones y dependencia.
2.7
Controles Que Minimizan Los Riesgos Existentes Existen tres tipos de control que pueden ser ejercidos dentro de la organización, con el objetivo de evaluar la eficiencia y eficacia de sus operaciones:
a) Control Preventivo Es el conjunto de medidas y procedimientos orientados a la verificación, revisión y vigilancia del cumplimiento de las operaciones istrativas y financieras de la empresa y que deben ser observados por el personal con anterioridad a su autorización.
Entendido que el control aplicado
antes de que se produzca el hecho, necesariamente ha de conducir a la corrección y legitimidad de las operaciones istrativas y financieras, en control previo se ha aplicado en la istración pública en el ámbito del presupuesto y el gasto público.
Este tipo de control es responsabilidad de cada ente, como parte integrante de sus propios sistemas de control interno; por tal razón el control previo siempre es interno.
La auditoria preventiva abarca todos los controles, tanto operacionales como de contabilidad. La mayoría de los trabajos de revisión y evaluación tienen lugar por adelantado, antes de que se haya gastado el dinero. La materia prima de una auditoria de este tipo incluye las técnicas de Auditoría basada en Riesgos
Página 19
Seminario de Casos de Auditoría Grupo No. 1
planificación, organización, procesos de gestión y sistemas.
Los
beneficios que se obtienen mediante una auditoria preventiva, incluyen una mayor seguridad de lograr un rendimiento puntual, manteniendo el costo establecido y la buena calidad. De esta forma, se mejora la credibilidad y se obtienen beneficios de ahorros operacionales.
b)
Control Durante:
Constituye la revisión y vigilancia de los procesos de trabajo
de la
empresa en el mismo momento que acontecen los hechos: este tipo de control persigue la enmienda de distorsiones en la ejecución misma de un determinado trabajo. Inverso al control previo, este no anticipa, ni verifica procedimientos antes de la ejecución de determinada tarea: la marcha del procedimiento de trabajo representa en sí la fuente que alimenta
el
ejercicio de control.
En este tipo de control, interesa aprender de la experiencia mediante la ejecución de las labores, por cuanto solo de esta forma se garantizarán mecanismos de control adecuados para cada situación. Permite además, realizar las enmiendas necesarias en los casos que se observen debilidades en la estructura del control interno.
c)
Control Posterior:
Consiste en el examen ex-post de las operaciones financieras y istrativas de una entidad: este control es la revisión de las operaciones que se efectúan después de que están se han producido, con el objeto de verificarlas y analizarlas, y en general evaluarlas de acuerdo con la documentación y los resultados de las mismas.
Auditoría basada en Riesgos
Página 20
Seminario de Casos de Auditoría Grupo No. 1
La auditoria interna tradicionalmente ha basado su labor en este tipo de control, por medio de la revisión de los estados financieros y la realización de operaciones en el ámbito financiero y istrativo.
Tanto en control previo, durante y posterior, son partes del control interno de una empresa, pues en su conjunto vienen a constituir uno de los elementos fundamentales de la istración y de la responsabilidad de los es.
2.8 Normas Que Regulan La Actuación De Quienes La Realizan Para que el auditor realice en forma ética este tipo de trabajos y apegándose a los estándares de calidad propuestos por los diferentes órganos internacionales a continuación se listan las normas a seguir:
2.8.1 Normas De Ética Profesional Las Normas de Ética profesional implican un sistema de principios morales y observancia de las reglas prescritas que rigen las acciones de un Contador Público y Auditor en sus operaciones, así como en sus relaciones con sus clientes, con el público y con otros contadores. Las Reglas del Código de Ética de una profesión son perceptibles o consultoras, y se aplican únicamente a los de la organización que estableció el Código; constituyen entonces reglas prácticas que contribuyen al mejoramiento de la calidad profesional de cada miembro. 2.8.2 Normas Internacionales De Auditoría (Nia’s): Son normas internacionales sobre auditoria que se pretende sean aceptadas internacionalmente. Las Normas Internacionales de Auditoria (NIAs) deben ser aplicadas en la auditoria de los estados financieros. Las NIAs deben ser también aplicadas,
Auditoría basada en Riesgos
Página 21
Seminario de Casos de Auditoría Grupo No. 1
con la adaptación necesaria, a la auditoria de otra información y de servicios relacionados.
Las NIAs contienen los principios básicos y los procedimientos esenciales de Auditoria, estandarizados a nivel internacional. 2.8.3 Normas De Auditoría Generalmente Aceptadas (Naga’s): Son el conjunto de reglas y principios que tienen por objetivo primordial orientar la conducta y desempeño de los auditores, para lograr la estandarización en sus actividades y el resultado de las mismas. Declaraciones Sobre Las Normas Para La Práctica Profesional De Auditoría Interna:
Las Declaraciones sobre Normas de Auditoría Interna (SIAS) son emitidas por
el Comité de Normas y Responsabilidades Profesionales, que es el
comité técnico superior nombrado por el Instituto de Auditores Internos para que promulgue pronunciamientos sobre normas de auditoría.
Estas
declaraciones constituyen interpretaciones autorizadas de las Normas para la Práctica Profesional de Organizaciones de Auditoría Interna. Como lo indica el Código de Etica, los del Instituto de Auditores Internos y los contadores públicos autorizados deben adoptar medios idóneos para cumplir con las Normas, cuya aplicación, junto con las guías relativas, se regirá por el ambiente en que el departamento de auditoría interna cumpla con las responsabilidades que se le asignen.
El cumplimiento de los conceptos enunciados en las Normas es esencial para que
los
auditores
internos
puedan
a
su
vez
cumplir
con
sus
responsabilidades.
Auditoría basada en Riesgos
Página 22
Seminario de Casos de Auditoría Grupo No. 1
2.9 Planeación Y Supervisión De Una Auditoría Basada en Riesgos
En la Auditoria Basada en Riesgos debido a que es un nuevo proceso, parte de una planeación que se basa en el conocimiento del negocio y sus estrategias, se trabaja muy de cerca de la junta directiva y de la alta gerencia para identificar los riesgos de negocios en todos los frentes. El auditor debe de ser capaz de ver aquellos riesgos que por lo general no son identificados fácilmente por los directivos de la empresa, más allá de los puros riesgos contables.
Cada empresa enfrenta un conjunto diferente de riesgos; lo importante es comprender el riesgo de negocios de cada compañía. Una vez, identificados los riesgos, el siguiente paso es establecer las prioridades en cada una de las grandes áreas. El orden de esas prioridades estará dado por la combinación de la probabilidad de ocurrencia de cada riesgo y su impacto económico sobre la empresa. Por último, cuando las prioridades están claras, la atención se concentra en los procesos y controles que tiene el cliente para contrarrestar los riesgos.
En la planeación de este tipo de auditoria, se puede encuadrar a los siguientes procesos mínimos:
1. Conocer y entender el negocio de nuestro cliente: tiene por objetivo: identificar, buscar el origen y priorizar los riesgos de auditoria.
2. Evaluación de los controles existentes y determinar el riesgo residual de auditoria: con el objetivo de evaluar si los controles internos reducen los riesgos de auditoria a un nivel aceptable.
Auditoría basada en Riesgos
Página 23
Seminario de Casos de Auditoría Grupo No. 1
3. istrar el riesgo residual de auditoria: Aplicando procedimientos adicionales de auditoria, Normas Internacionales de Auditoria, y Normas Locales, como por ejemplo: Normas de Auditoria Generalmente Aceptadas, etc.
Tanto al inicio como durante y al concluir una auditoria es importante que quien supervisa examine el trabajo de todo el equipo de modo que adquiera un conocimiento exacto de todos los aspectos relacionados y esté en condiciones de asumir la responsabilidad total por el examen efectuado.
Algunos de los principales aspectos que se cubren dentro de la supervisión son: Efectuar una visita al cliente. Ejercer control sobre el desarrollo del trabajo. Mantener un permanente o con el o los encargados del trabajo para ayudarle en la toma de decisiones. Determinar, evaluar y resolver los problemas que puedan surgir.
Al realizar una adecuada supervisión se tiene beneficios implícitos pudiendo para el efecto enumerar los siguientes:
a. La reputación del auditor dependerá de la calidad del trabajo que realiza. b. La supervisión minimiza errores y detecta mayores problemas. c. Ayuda a hacer eficiente el trabajo y proporciona resultados mas satisfactorios. d. Ahorra tiempo al personal calificado o de mas experiencia y le permite tratar asuntos mas delicados.
Auditoría basada en Riesgos
Página 24
Seminario de Casos de Auditoría Grupo No. 1
2.10 Técnicas Y Procedimientos Aplicables En una Auditoria Externa Basada en Riesgos, las técnicas y procedimientos aplicables son: Conocer y entender el negocio. Análisis general del negocio Revisión Financiera Análisis de los procesos críticos del negocio Evaluar los controles existentes. Determinar el Riesgo Residual de auditoria. istrar el Riesgo Residual de auditoria.
2.10.1 Conocer Y Entender El Negocio. Existen innumerables procedimientos para llegar a conocer a perfección un negocio, entender sus necesidades y localizar los posibles riesgos existentes. En esta investigación se enumeran tres procedimientos principales a seguir: Entorno Macroeconómico: el cual puede dividirse en internacional, nacional y regional. Evaluación Sector Bancario: : conocer las características de las fuentes de financiamiento bancario como: tasas de interés, rentabilidad y solvencia entre otras. Marco Normativo: conocer las leyes específicas que regulan la actividad de la empresa. Propietarios: composición de la estructura del capital social. Clientes: identificar los principales clientes. Competencia: conocer las empresas que se encuentran compitiendo en el mercado de nuestro cliente.
Auditoría basada en Riesgos
Página 25
Seminario de Casos de Auditoría Grupo No. 1
2.10.2 Revisión Financiera. Consiste en efectuar un estudio comparativo de la situación financiera del cliente, utilizando –como por ejemplo– técnicas analíticas como: Análisis de Variaciones Análisis de Tamaño Análisis de Indicadores Financieros Pruebas Predictivas Análisis de Sensibilidad Análisis del Cash Flow Presupuestos Gerenciales
2.11 Comunicación De Los Resultados Durante la auditoria de estados financieros, es necesario que un auditor establezca una relación constructiva de trabajo con la istración para lograr una auditoria efectiva y eficiente, comprometiéndose a informar los resultados de su trabajo, ya sea por escrito o de forma oral, formal o informalmente, a través de informes parciales o informes totales. Lo importante del esto, es que se mantenga una adecuada comunicación con la istración durante todo el proceso de auditoria, en la búsqueda de garantizar que esta genere información oportuna y se eviten contratiempos en el ejercicio de la misma.
Algunas de las comunicaciones más importantes en el transcurso de la auditoria se ejemplifican a continuación:
Antes De La Auditoria El objetivo. La responsabilidad de la istración. El alcance. Auditoría basada en Riesgos
Página 26
Seminario de Casos de Auditoría Grupo No. 1
La forma en que se realizaran los informes u otra comunicación de resultados del trabajo. El hecho de que, a causa de la naturaleza de prueba y otras limitaciones inherentes de una auditoría, junto con las limitaciones inherentes de cualquier sistema de contabilidad y de control interno, hay un riesgo inevitable de que alguna declaración errónea de importancia relativa pueda permanecer sin ser descubierta. a cualesquier registros, documentación y otra información solicitada en conexión con la auditoría.
Durante La Auditoria Un entendimiento del negocio El plan de auditoria El efecto de legislación y estándares profesionales. Información necesaria para la evaluación de riesgos. Explicaciones, evidencia y representaciones de la istración o de un nivel más bajo en la organización. Las observaciones y sugerencias que surjan de la auditoría sobre asuntos como la eficiencia operacional o istrativa, estrategias de negocios, y otras cuestiones de interés.
Al Finalizar La Auditoria Cualesquiera dificultades prácticas encontradas al desempeñar la auditoria. Cualesquier desacuerdos con la istración. Los ajustes importantes de auditoria, ya sea que estén o no reflejados en los estados financieros.
Auditoría basada en Riesgos
Página 27
Seminario de Casos de Auditoría Grupo No. 1
Preocupaciones o problemas importantes relativos a políticas de contabilidad y a la revelación de partidas en los estados financieros que pudieran llevar a una modificación del dictamen de auditoria. Cualesquiera irregularidades o sospechas de incumplimiento con las leyes y reglamentos, que hayan surgido a la atención del auditor. Los riesgos o exposiciones significativos que enfrenta la entidad. Recomendaciones (por ejemplo, respecto de asuntos de control interno) que el auditor desee hacer como resultado de la auditoria.
2.12 Elaboración De Mapas O Matriz Para La Medición De Riesgos
Una Matriz de Riesgos, es una combinación de Medición de Riesgos, que se refiere a la evaluación de gravedad de los riesgos, y Prioritización de Riesgos,
la matriz consiste en el uso de riesgo en el eje horizontal y
componentes de sistema o pasos de auditoria en el eje izquierdo. En el eje de la esquina izquierda de la matriz, se escribe Alto, Medio y Bajo, que será la catalogación de los componentes y riesgos evaluados.
Los siguientes son algunos de los aspectos a tomar en cuenta en la elaboración de matrices de riesgos:
a) Los riesgos se definen, consensuan y se asignan a unidades orgánicas. Esto implica definir los riesgos principales y luego desagregar estos en sus componentes
b) El trabajo de conceptualizar, formular y definir la primera versión de la Matriz puede tomar bastante tiempo; posteriormente ésta se ajusta para recoger experiencias externas e internas y hacerla consistente con las
Auditoría basada en Riesgos
Página 28
Seminario de Casos de Auditoría Grupo No. 1
“Mejores Prácticas”, las tendencias de la industria y la situación particular de cada organización.
c) Para los riesgos de la Matriz, se debieran establecer indicadores, que faciliten los análisis, generen planes de acción con responsables, plazos y su posterior seguimiento.
d) Cada organización debe desarrollar su propio enfoque sistemático (desarrollo de herramientas), acorde a sus riesgos y realidad.
2.12.1 Pasos para su Elaboración Paso 1: establecer los objetivo(s) estratégico(s) sobre los que evaluaremos el impacto de los riesgos. Paso 2: identificar los eventos que pueden afectar la implementación de la estrategia o el logro de objetivos. Paso 3: definir el modelo para el mapa o la matriz de riesgos: el método para asignar probabilidades e impactos a cada uno de los riesgos y los niveles de “aversión al riesgo”. Paso 4: estimar el modelo...asignar probabilidades de ocurrencia e impacto a cada uno de los riesgos. Paso 5: construir el mapa de riesgos. Paso 6: identificar las posibles respuestas para cada uno de los riesgos, elaborar planes de acción e implementarlos.
Para realizar este tipo de matriz, es importante indicar que sus componentes principales son: las pruebas de Detalles y todos sus subdivisiones y las pruebas analíticas.
Auditoría basada en Riesgos
Página 29
Seminario de Casos de Auditoría Grupo No. 1
Pruebas De Detalles Las pruebas de detalles son aquellas pruebas que tienen como objeto la validación de las cifras presentadas en los estados financieros a través: Pruebas de validación documental, confirmaciones, muestreo etc.
Pruebas Analíticas Este tipo de pruebas se enfocan a realizar un análisis sobre los saldos presentados en los estados financieros por medio de: análisis de tendencias, proyecciones, presupuestos, es decir que el alcance del auditor se reduce en forma considerable.
Este tipo de matriz se apoya de la etapa de Planeación que es en donde el auditor establece los principales riesgos de al empresa y determina la efectividad y confiabilidad de los controles internos.
2.12.2 Cómo Funciona? Los procedimientos sustantivos que necesita la Matriz ABC pueden agruparse en tres estrategias separadas que se aplican en las aseveraciones críticas de la siguiente manera: RMI
Riesgo Mínimo
RMO
Riesgo Moderado
RA
Riesgo Alto
Riesgo Mínimo El enfoque mínimo, minimiza las pruebas de detalle sobre la convicción de que los factores de entorno, el sistema contable y los procedimientos de control son lo suficientemente aceptables como para permitir aceptar un riesgo de detección mínimo.
Auditoría basada en Riesgos
Página 30
Seminario de Casos de Auditoría Grupo No. 1
Riesgo Moderado El enfoque moderado, generalmente requiere que se aumenten las pruebas de detalle derivado de una aceptación moderada de los factores de entorno, el sistema contable y los procedimientos de control.
Esta estrategia generalmente destaca los procedimientos analíticos sobre los estados de resultados (a través de presupuestos) y las pruebas sustantivas en un enfoque reducido para el balance general (confirmaciones).
Riesgo Alto Este tipo de enfoque depende fundamentalmente de las pruebas de detalles derivado de lo siguiente: Los factores de entorno, el sistema contable o los procedimientos de control son tan débiles que posiblemente generarán errores materiales de estimación en los estados financieros. Este tipo de enfoque requerirá gran cantidad de procedimientos sustantivos tanto sobre el balance general como en el estado de resultados.
El siguiente cuadro muestra en resumen los tipos de procedimientos que se enfatizan para cada una de las estrategias principales derivadas de la evaluación de los riesgos tanto internos como externos del negocio:
Sistema
Factores
Control
Tipo de Balance
Estado de
Contable
Entorno
Interno
Enfoque General
Resultados
Máximo
Máximo
Máximo
RMI
Pruebas
Pruebas
Analíticas
Analíticas
Pruebas
Pruebas
Sustantivas
Analíticas
Pruebas
Pruebas
Sustantivas
Sustantivas
Moderado Moderado
Mínimo
Mínimo
Auditoría basada en Riesgos
Moderado RMO
Mínimo
RA
Página 31
Seminario de Casos de Auditoría Grupo No. 1
EJEMPLO Algunos Tipos de Riesgos
Riesgo genérico Riesgos
Riesgo específico de Terrorismo
propiedad
Área afectada Edificios
Fenómenos naturales
Equipos
Fuego
Automóviles
Riesgos de activos Robos y fraudes
Tesorerías
monetarios
Agencias y sucursales
Asaltos Negligencia
Riesgos humanos
Salud y seguridad de los Todos los funcionarios empleados Leyes laborales
Riesgos comerciales Contratos mal especificados Contratos
con
Propiedad intelectual
clientes, proveedores,
Riesgos de mercado
socios.
Riesgo de reputación
Áreas
de
comunicaciones Mercados financieros Riesgos
de Seguridad física
información
Documentación
Sistemas de información
Archivos
Procedimientos de
información
de
Caídas de sistemas Confidencialidad Aspectos técnicos Riesgos legales
Leyes de competitividad
Áreas comerciales
Protección de información
Áreas financieras
Leyes tributarias Procedimientos publicitarios
Auditoría basada en Riesgos
Página 32
Seminario de Casos de Auditoría Grupo No. 1
Leyes económicas Riesgos políticos
Poderes generales
Áreas comerciales
Libertad comercial
Áreas financieras
Derechos de propiedad Riesgos operativos
Ineficiencia de operaciones
Todas las áreas
Información inexacta Procesos inadecuados e ineficientes Uso inapropiado e ineficiente de los recursos
Auditoría basada en Riesgos
Página 33
Seminario de Casos de Auditoría Grupo No. 1
CAPITULO III LOS OCHO COMPONENTES DEL CONTROL INTERNO Y DE LA GESTIÓN DE RIESGOS
3.1
AMBIENTE DE CONTROL El ambiente interno abarca el talante de una organización, que influye la conciencia de sus empleados sobre el riesgo y forma la base de los otros componentes de la gestión de riesgos corporativos, proporcionando disciplina y estructura. Los factores del ambiente interno incluyen la filosofía de gestión de riesgos de una entidad, su riesgo aceptado, la supervisión ejercida por el consejo de istración, la integridad, valores éticos y competencia de su personal y la forma en que la dirección asigna la autoridad y responsabilidad y organiza y desarrolla a sus empleados.
3.2 ESTABLECIMIENTO DE OBJETIVOS Los objetivos se fijan a escala estratégica, estableciendo con ellos una base para los objetivos operativos, de información y de cumplimiento. Cada entidad se enfrenta a una gama de riesgos pro-cedentes de fuentes externas e internas y una condición previa para la identificación eficaz de eventos, la evaluación de sus riesgos y la respuesta a ellos es fijar los objetivos, que tienen que estar alineados con el riesgo aceptado por la entidad, que orienta a su vez los niveles de tolerancia al riesgo de la misma.
3.3 IDENTIFICACIÓN DE EVENTOS La dirección identifica los eventos potenciales que, de ocurrir, afectaran a la entidad y determina si representan oportunidades o si pueden afectar negativamente a la capacidad de la empresa para implantar la estrategia y logar los objetivos con éxito. Los eventos con impacto negativo representan riesgos, que exigen la evaluación y respuesta de la dirección. Auditoría basada en Riesgos
Página 34
Seminario de Casos de Auditoría Grupo No. 1
Los eventos con impacto positivo representan oportunidades, que la dirección reconduce hacia la estrategia y el proceso de fijación de objetivos. Cuando identifica los eventos, la dirección contempla una serie de factores internos y externos que pueden dar lugar a riesgos y oportunidades, en el contexto del ámbito global de la organización.
3.4 EVALUACIÓN DE RIESGOS La evaluación de riesgos permite a una entidad considerar la amplitud con que los eventos potenciales impactan en la consecución de objetivos. La dirección evalúa estos acontecimientos desde una doble perspectiva – probabilidad e impacto- y normalmente usa una combinación de métodos cualitativos y cuantitativos. Los impactos positivos y negativos de los eventos potenciales deben examinarse, individualmente o por categoría, en toda la entidad. Los riesgos se evalúan con un doble enfoque: riesgo inherente y riesgo residual.
3.5 RESPUESTA A LOS RIESGOS Una vez evaluados los riesgos relevantes, la dirección determina como responder a ellos. Las respuestas pueden ser las de evitar, reducir, compartí y aceptar el riesgo. Al considerar su respuesta, la dirección evalúa su efecto sobre la probabilidad e impacto del riesgo, así como los costes y beneficios, y selecciona aquella que situé el riesgo residual dentro de las tolerancias al riesgo establecidas. La dirección identifica cualquier oportunidad que pueda existir y asume una perspectiva de la cartea de riesgos, determinando si el riesgo residual global concuerda con el riesgo aceptado por la entidad.
3.6 ACTIVIDADES DE CONTROL Las actividades de control son las políticas y procedimientos que ayudan a asegurar que se llevan a cabo las respuestas de la dirección a los riegos. Las actividades de control tienen lugar a través de la organización, a todos Auditoría basada en Riesgos
Página 35
Seminario de Casos de Auditoría Grupo No. 1
los niveles y en todas las funciones, incluyen una gama de actividades tan diversas como aprobaciones, autorizaciones, verificaciones, conciliaciones, revisiones del funcionamiento operativo, seguridad de los activos y segregación de funciones.
3.7 INFORMACIÓN Y COMUNICACIÓN La gestión de riesgos corporativos se supervisa - revisando la presencia y funcionamiento de sus componentes a lo largo del tiempo, lo que se lleva a cabo mediante actividades permanentes de supervisión, evaluaciones independientes o una combinación de ambas técnicas. Durante el transcurso normal de las actividades de gestión, tiene lugar una supervisión permanente. El alcance y frecuencia de las evaluaciones independientes dependerá fundamentalmente de la evaluación de riesgos y la eficacia de los procedimientos de supervisión permanente. Las deficiencias en la gestión de riesgos corporativos se comunican de forma ascendente, trasladando los temas más importantes a la alta dirección y al consejo de istración.
3.8 MONITOREO La gestión de riesgos corporativos se supervisa revisando la presencia y funcionamiento de sus componentes a lo largo del tiempo, lo que se lleva a cabo mediante actividades permanentes de supervisión, evaluaciones independientes o una combinación de ambas técnicas. Durante el transcurso normal de las actividades de gestión, tiene lugar una supervisión permanente. El alcance y frecuencia de las evaluaciones independientes dependerá fundamentalmente de la evaluación de riesgos y la eficacia de los procedimientos de supervisión permanente. Las deficiencias en la gestión de riesgos corporativos se comunican de forma ascendente, trasladando los temas más importantes a la alta dirección y al consejo de istración.
Auditoría basada en Riesgos
Página 36
Seminario de Casos de Auditoría Grupo No. 1
1 2
CAPITULO IV
ISTRACIÓN DE RIESGOS
4.1 Definición Las empresas se enfrentan al problema del riesgo, se convierte en un cargo especializado en manos de una persona a que se le llamaba de Seguros.
El de riesgos se ocupaba únicamente de los riesgos propiamente dichos y los riesgos especulativos están manejados por una autoridad superior. Entre las funciones de un de Riesgos tenemos: El hallazgo de los riesgos existentes por medio de la observación y de la imaginación. El calculo de la gravedad de los siniestros en potencia. La consideración de los métodos para hacer frente a esos riesgos.
El objetivo fundamental de estas funciones es la de ayudar a identificar perdidas de manera organizada y promueve la eficiencia a través del análisis del riesgo, o la reducir los efectos económicos adversos consecuentes a la realización de riesgos.
La istración de riesgos es el que desarrolla una disciplina y un ambiente de decisiones para determinar cual es el riesgo más importante para implementar una estrategia.
Es el proceso de identificar, cuantificar y controlar los riesgos asociados a las actividades
financieras,
mediante
la
implementación
de
políticas,
procedimientos y límites establecidos. Auditoría basada en Riesgos
Página 37
Seminario de Casos de Auditoría Grupo No. 1
4.2 Función de la istración de Riesgos La primordial función de la istración de riesgos es la protección de los activos de una empresa, las operaciones y utilidades.
Y para realizar el
proceso de istración de riesgos se solicita un análisis sistemático y preventivo.
4.3 Planificación de Acción para Riesgo Es el que convierte la información sobre un riesgo en decisiones y acciones. La planificación estudia las acciones para enfrentar los riesgos individuales, establecer prioridades y crear un plan integrado de istración de riesgos.
Las siguientes son las cuatro áreas fundamentales que el equipo debe abordar durante la planificación de acciones para riesgos:
4.3.1 Estrategia para la istración de Riesgo Son estrategias para minimizar los riesgos. En los riesgos que el equipo del proyecto puede controlar, se deben aplicar los recursos necesarios para reducir el riesgo.
4.3.2 La Estrategia de Contingencia de Riesgos El propósito de la estrategia de contingencias es contar con un plan de reserva que pueda activarse en caso de que pierdan todos los esfuerzos para istrar el riesgo.
A menudo se pueden establecer los valores de la activación para el plan de contingencias con base en el tipo de riesgo o en el tipo de consecuencia para el proyecto que se encontrará.
Auditoría basada en Riesgos
Página 38
Seminario de Casos de Auditoría Grupo No. 1
4.3.3 Acción de Riesgo Información que se debe considerar en cuenta en el
desarrollo de un
formulario de acciones automatizadas para el riesgo: Identificador del riesgo: Nombre que emplea el equipo para identificar el riesgo, con el objetivo de elaborar informes y darle seguimiento. Declaración del riesgo: La declaración que describa la condición existente que podría conducir a una pérdida. Estrategia de istración del riesgo: Un párrafo o dos que describa la estrategia del equipo para istrar el riesgo. Unidades de medición para la estrategia de istración del riesgo: Las unidades de medición que usará el equipo para determinar si funcionan las acciones planeadas por la istración. Fechas de entrega: La fecha en que el equipo terminará con la acción planificada. Asignaciones de personal. Las personal asignada para ejecutar las acciones. Estrategia
de
contingencia
del
riesgo:
Un
párrafo
o
dos
que
describa la estrategia del equipo en caso de que no funcionen las acciones planificadas para istrar el riesgo. Unidades de medición y valores de activación para la
estrategia de
contingencia del riesgo: Mediciones y valores que usará el equipo para determinar cuándo debe aplicarse la estrategia de contingencia de riesgo y verificar si ésta funciona.
4.3.4 Seguimiento de Riesgos El equipo inspecciona el estado de los riesgos y las acciones que ha aplicado para disminuirlos. El seguimiento de los riesgos es esencial para la implementación de un plan de acciones eficaz. Esto implica establecer la medición del riesgo y los eventos de activación para asegurar que funcionan Auditoría basada en Riesgos
Página 39
Seminario de Casos de Auditoría Grupo No. 1
las acciones planificadas. Es eficaz incluir una revisión del riesgo durante las revisiones y los análisis del proyecto.
4.4 Elaboración de Informes del Estado de Riesgo Para las revisiones, el equipo debe presentar los riesgos importantes para el proyecto y el estado de las acciones para la istración de riesgos. Si las revisiones del proyecto se programan con precisión, es ventajoso mostrar la clasificación de riesgos anterior, por ejemplo, la cantidad de ocasiones se ha presentado un riesgo en la lista de los más importantes. 4.5 Control de Riesgos Se combinan los procesos de istración de un proyecto para controlar los planes, corregir las variaciones, responder a los eventos de activación y mejorar el proceso de istración de riesgos.
La
istración
de
riesgos
esta
sujeta
a
los
procesos
de
istración para: Controlar los planes de acciones para riesgos. Corregir las variaciones de los planes. Responder a los eventos de activación. Mejorar el proceso de istración de riesgos.
Al no estar el proceso de istración de riesgo integrado con la istración diaria del proyecto, quedará postergado a una actividad secundaria.
4.6 Evaluación de Riesgo de Auditoría Es utilizada para describir, medir y priorizar riesgos con el objetivo de identificar las áreas de mayor relevancia. Bajo ese contexto, tanto las declaraciones sobre normas de auditoría (SAS.- Statement on Auditing Auditoría basada en Riesgos
Página 40
Seminario de Casos de Auditoría Grupo No. 1
Standards), las declaraciones para la práctica profesional de la auditoría y las declaraciones para la práctica profesional de auditoría de sistemas, establecen lineamientos en materia de riesgos que los auditores deben observar para realizar un buen trabajo y cumplir con sus responsabilidades. Se establece, que el auditor debe planear la auditoría para que el riesgo antes señalado se limite a un nivel bajo que sea, a su juicio profesional, apropiado para emitir una opinión.
De igual manera, se establece como los planes para llevar a cabo las responsabilidades del departamento de auditoria, se debe efectuar una valuación de riesgos con relación a su organización y señalar como elementos del proceso de valuación: Identificación de las actividades auditables. Identificación de factores de riesgo que son relevantes a las actividades auditables, y Valuación de los factores de riesgo. No obstante los lineamientos antes expuestos, llama la atención el resultado de dos estudios realizados en Estados Unidos y el Reino Unido, así como en entrevistas del autor con otros auditores de diferentes países, en los que, al menos una tercera parte de los grupos de auditoría interna entrevistados, no realizan auditoría en base a riesgos. Entre las razones de ello se argumentaron: Falta de entendimiento de los conceptos de riesgo. La evaluación de riesgos puede requerir conocimientos especializados o software. Falta de tiempo para planear. El grupo de auditoría es muy reducido para utilizar herramientas de planeación.
Auditoría basada en Riesgos
Página 41
Seminario de Casos de Auditoría Grupo No. 1
4.7 Gestión de Riesgo La auditoria debe estar organizada mediante la identificación y evaluación los riesgos, para la contribución a la mejora de los sistemas de gestión de riesgo y control.
La actividad de auditoria tendrá que ser supervisada y evaluada la efectividad del sistema de gestión de riesgo de la organización.
Teniéndose que evaluar las exposiciones al riesgo referidas a gobierno, operaciones y sistemas de información de la organización con relación a: Confiabilidad e integridad de la información financiera y operativa; Efectividad y eficiencia de las operaciones; Protección de activos; y Cumplimiento de leyes regulaciones y contratos.
Auditoría basada en Riesgos
Página 42
Seminario de Casos de Auditoría Grupo No. 1
CONCLUSIONES
1. Los riesgos no se originan por la falta de controles, estos existen por sí mismos y se presentan cuando son causados.
2. La Auditoria en riesgos en un sistema novedoso para realizar la revisión a los Estados Financieros ya que no se dedica únicamente a evaluar cifras, si no a evaluar los riesgos a que se encuentran expuestos las instituciones.
3. Los controles se establecen para minimizar y
evitar toda clase de
riesgos.
4. La utilización de una matriz para la evaluación de riesgos en cualquier tipo de empresa que sé este trabajando es la forma más sencilla y clara para la interpretación y comprensión de los riesgos inclusive para el personal ajeno al trabajo de Auditoria.
5. La istración de riesgos es el proceso de identificar, cuantificar y controlar los riesgos asociados a las actividades financieras, mediante la implementación de políticas, procedimientos y límites establecidos. Esta desarrolla una disciplina y un ambiente de decisiones para determinar cuál es el riesgo más importante para implementar una estrategia.
Auditoría basada en Riesgos
Página 43
Seminario de Casos de Auditoría Grupo No. 1
RECOMENDACIONES
1. Se recomienda a las Entidades, la elaboración y aplicación de instrumentos que ayuden a mitigar los riesgos, como manuales integrales, para identificar, controlar y prevenir los riesgos.
2. El hecho que las instituciones sean cada vez más sensibles y propensas a los riesgos, debería inducir a éstas a implementar sistemas de autocontrol efectivos; es decir, debería existir una mayor preocupación por conocer de mejor manera el escenario y el ambiente en el que están desarrollando sus actividades, a fin de poder evaluar con mejor juicio su verdadero perfil de riesgos y diseñar los sistemas de gestión más idóneos.
Auditoría basada en Riesgos
Página 44
Seminario de Casos de Auditoría Grupo No. 1
BIBLIOGRAFÍA
Auditoría Basada en Riesgos; Sten Bjelke, 1996
Material de Apoyo; Girón Barahona, Alvaro Joel, Universidad de San Carlos de Guatemala
Tesis “El Contador Público y Auditor y los Riesgos Relativos probables en una Auditoría Externa de Estados Financieros Selva, Manuel Alberto Universidad de San Carlos de Guatemala Guatemala 1999
Consultado en página de Internet: www.monografía.com
Auditoría basada en Riesgos
Página 45
Related Documents 171j1w
Auditoria Basada En Riesgos 1n37i
December 2019 54
Auditoria Basada En Riesgos 1n37i
April 2020 65
Auditoria Basada En Riesgos 1n37i
December 2020 0
Auditoria Basada En Riesgos.pdf r3i6d
February 2023 0
Auditoria Financiera Basada En Riesgo 5a1l6d
April 2021 0
Riesgos De Auditoria 356s2d
January 2023 0More Documents from "Edy Francisco Julajuj Morales" tf4x
Auditoria Basada En Riesgos 1n37i
December 2019 54
Champion-bujias-motocicletas-2018.pdf 362o2j
December 2022 0
Directorio Telefonico Usac 622v4i
November 2019 87
Resumen El Socio.docx 6p6j48
September 2021 0
2c82t
November 2019 60