Un modelo para la evaluación del control

Juan Villanueva Chang

En el White Paper “Control Assessment: A Framework” IIA Australia (Enero 2019), se describe un método estructurado para realizar el análisis de los controles en forma individual para hacer frente a los riesgos relevantes. Se señala una forma en que el auditor pueda realizar una valoración distinta a la simple validación subjetiva que se hace a los controles en la práctica.

Este nuevo modelo de evaluación deja en claro que en el diseño de controles no sólo se trata de validar los llamados controles duros - procesos y procedimientos – también abarca los controles suaves tales como competencia, ética y disciplina interna y cultura.

El modelo recomienda tomar en cuenta seis características en forma independientes al momento de evaluar los controles en relación con los objetivos y riesgos relevantes.

Relevancia

¿El control aborda un riesgo importante?

¿El control enumerado realmente aborda el riesgo contra lo que se evalúa?

El control puede ser valioso por otras razones, pero no contribuye al control de los riesgos específicos. Por tanto, no contribuye a la adecuación del sistema de control en el proceso bajo evaluación.

Cobertura

¿El control propuesto aborda parte de un riesgo o todo el riesgo?

Cuando un control aborda solo una parte del riesgo, puede ser mejor reestructurar el riesgo para que aborde la parte donde la función de control está separada del resto. Es bastante común que un control en particular aborde más de un riesgo y esto, cuando sea posible, puede tener ventajas de costos.

Fuerza / Fiabilidad

¿Funciona siempre el control? ¿Es independiente del proceso, está automatizado, previene el problema? ¿Corrige un problema o simplemente identifica un problema?

Un control preventivo es claramente preferible, pero no siempre es posible identificarlo. Un control detectivo requiere de algún mecanismo de respuesta. Los controles automatizados siempre funcionan como están construidos, esto puede ser deseable si la construcción es sólida, pero en algunas circunstancias puede requerir un juicio humano y este aspecto no debe ser ignorado.

Reactividad

¿Opera el control lo suficientemente rápido para minimizar las consecuencias adversas?

Un control destinado a limitar los efectos o de aprovechar un evento debe operar a una velocidad apropiada. Si la acción es demasiado lenta, resulta ineficaz.

Disponibilidad de recursos

¿Tiene la organización la competencia o recursos para operar los controles? ¿Suele ser un trabajo adicional para realizar el control?

Estas son preguntas de diseño directo con implicaciones. Algunos controles son intrínsecamente complejos y requieren experiencia para funcionar correctamente. Si la responsabilidad recae en una persona sin experiencia reduce o elimina el valor del control. De manera similar, si un individuo o grupo de individuos tiene demasiadas tareas que hacer, suelen establecer prioridades que pueden eliminar o reducir la operación del control.

Análisis de excepciones

¿Se monitorea y analiza el funcionamiento del control?

¿Qué sucede con los artículos o productos rechazados?

¿Existe algún mecanismo para gestionar estás circunstancias?

¿Hay informes de desempeño que podrían ayudar a la organización a detectar cambios en el riesgo?

Este marco de evaluación todavía se basa en el juicio del auditor. Proporciona al auditor un mecanismo para formalmente considerar cada aspecto del diseño de los controles y proporciona una base para emitir opinión si un sistema de control es adecuado.

Al evaluar los controles internos, ya sean establecidos o propuestos, contra las seis características de este modelo de evaluación, el auditor estaría adoptando un enfoque distinto para su análisis y evaluación de los controles, facilitará además la recopilación de pruebas necesarias para ayudar a responder la pregunta de si los controles son, o no son de hecho adecuados.

¿Te ha gustado la información? ¡Compártela con otro auditor interno!