Dos preguntas respecto al desarrollo de un plan de acción

El primer día del año 2015, recibí las siguientes dos preguntas por parte de una colega auditora interna, las cuales fueron respondidas con las Normas 2500 y 2600, que son las dos últimas Normas incluidas en las Normas Internacionales para el Ejercicio Profesional de la Auditoría Interna:

1. ¿Ante observaciones realizadas en las diferentes auditorías internas y sin recibir de parte del auditado un Plan de Acción, cómo debería realizar el seguimiento la Unidad de Auditoría Interna?

Respuesta: El director ejecutivo de auditoría debe establecer un proceso de seguimiento para vigilar y asegurar que las acciones de la dirección hayan sido implantadas eficazmente o que la alta dirección haya aceptado el riesgo de no tomar medidas. Esta respuesta fue tomada de la Norma 2500 sobre Proceso de Seguimiento, la cual establece lo siguiente:

2500 – Proceso de Seguimiento

El director ejecutivo de auditoría debe establecer y mantener un sistema para vigilar la disposición de los resultados comunicados a la dirección.

2500.A1 – El director ejecutivo de auditoría debe establecer un proceso de seguimiento para vigilar y asegurar que las acciones de la dirección hayan sido implantadas eficazmente o que la alta dirección haya aceptado el riesgo de no tomar medidas.

2500.C1 – La actividad de auditoría interna debe vigilar la disposición de los resultados de los trabajos de consultoría, hasta el grado de alcance acordado con el cliente.

2. ¿Siempre es necesario que se reciba un Plan de Acción con el compromiso del auditado o de la gerencia?

Respuesta: Si el director ejecutivo de auditoria determina que el asunto incluido en el informe no ha sido resuelto adecuadamente, el director ejecutivo de auditoría debe comunicar esta situación al Consejo. Esta respuesta fue tomada de la Norma 2600 sobre Comunicación de la aceptación de los riesgos, la cual establece lo siguiente:

2600 – Comunicación de la aceptación de los riesgos

Cuando el director ejecutivo de auditoría concluya que la dirección ha aceptado un nivel de riesgo que pueda ser inaceptable para la organización, debe tratar este asunto con la alta dirección. Si el director ejecutivo de auditoria determina que el asunto no ha sido resuelto, el director ejecutivo de auditoría debe comunicar esta situación al Consejo.

Interpretación: La identificación del riesgo aceptado por la dirección puede observarse a través de un trabajo de aseguramiento o consultoría, a través del seguimiento del progreso sobre las acciones tomadas por la dirección como resultado de anteriores trabajos, o a través de otros medios. El director ejecutivo de auditoria no tiene la responsabilidad de resolver el riesgo.

Las dos preguntas realizadas han dejado en mi mente una duda importante.

Si sus clientes no desarrollan planes de acción ni corrigen las situaciones detectadas por el trabajo de auditoría:

¿Para qué tiene un departamento de auditoría Interna en esa empresa?

Recuerde: Los informes de auditoría interna deben incluir oportunidades de mejoras que están relacionadas con procesos críticos del negocio, su corrección o implementación son claves para el éxito de la organización, por lo que si no hay plan de acción, si no se realiza ninguna corrección; la función de auditoría interna no agrega valor real.

¿Te ha gustado la información? ¡Compártela con otro auditor interno!