Consulta: ¿Debe la función de auditoría interna redactar políticas y procedimientos?

 
Consulta:

¿Parte del trabajo del auditor interno, es la redacción de las políticas internas?

Respuesta:

Los manuales de políticas y procedimientos son una de las mejores herramientas directivas, administrativas y operativas porque le permiten a cualquier organización normalizar y estandarizar todas sus áreas y procesos empresariales. La normalización y la estandarización son la plataforma sobre la que se sustenta el crecimiento económico y el desarrollo de una organización, brindándole confiabilidad a todas las partes interesadas. Sin estas herramientas trabajaríamos en medio del caos.

La función de auditoría interna no debe ser responsable de la redacción de las políticas y procedimientos.

La dirección de la organización y los líderes de las unidades de negocio en las que residan los riesgos son los responsables de implementar las actividades de control. Las actividades de control se refieren específicamente a las políticas y procedimientos que contribuyen a mitigar los riesgos asociados a los objetivos a niveles aceptables. 

Nuestra respuesta se basa en el Principio 12 del Marco Integrado de Control Interno Committee of Sponsoring Organizations of the Treadway Commission (COSO). 

Principio 12: La organización despliega las actividades de control a través de políticas que establecen las líneas generales del control interno, y de los procedimientos que ponen en práctica dichas políticas. 

Políticas y procedimientos 

Las políticas reflejan la visión de la dirección sobre lo que debe hacerse para poner en práctica el control. Dicha visión estar documentada por escrito, y plasmada de forma expresa en comunicaciones concretas, o puede ser comunicada de forma implícita a través de las acciones y decisiones de la dirección. Los procedimientos consisten en acciones que implementan una política. 

Las políticas y los procedimientos a menudo se comunican oralmente. Las políticas no escritas pueden ser eficaces cuando llevan mucho tiempo implantadas en la organización y son prácticas bien comprendidas por los trabajadores. También es el caso de organizaciones pequeñas en las que un número limitado de niveles directivos está integrado en los canales de comunicación, y en las que existe una estrecha interacción y supervisión del personal. 

En cualquier caso, independientemente de si una política se documenta por escrito o no, deberá establecer claramente las responsabilidades derivadas de la misma, que recaerán en último término en la dirección de la organización y en las direcciones de las unidades de negocio en las que residan los riesgos. Los procedimientos deberán expresar con claridad las responsabilidades del personal que realice la actividad de control. De igual manera, las políticas deberán ser puestas en práctica de manera consciente y meditada, y los procedimientos relacionados deberán ser llevados a cabo por personal competente, en el momento oportuno, con diligencia y de forma coherente. 

Reevaluación periódica 

La dirección deberá reevaluar periódicamente las políticas, los procedimientos y las actividades de control relacionadas, para garantizar que se mantiene su eficacia y relevancia, con independencia de su capacidad de respuesta ante los cambios significativos que se puedan producir en los riesgos o en los objetivos de la organización. Los cambios significativos, en su caso, serán evaluados a través del proceso de evaluación de riesgos. Los cambios que se produzcan en el personal, en los procesos y en las tecnologías podrán reducir la eficacia de las actividades de control, de forma que, en algunos casos, puede que resulten redundantes y, por tanto, innecesarias. Siempre que se produzca uno de estos cambios, la dirección deberá́ reevaluar la relevancia de los controles existentes y actualizarlos cuando sea necesario. 

¿Te ha gustado la información? ¡Compártela con otro auditor interno!