La Experiencia

Queremos presentar un tema polémico y hasta podría ser considerado un tabú para algunos colegas, debido que es difícil que opinen sobre el mismo de forma abierta. 

La pregunta es:

¿Qué tanto peso debe dársele a la experiencia?

Muchos auditores internos entienden que la experiencia es un elemento imprescindible para poder realizar un trabajo realmente excepcional, debido a que los conocimientos acumulados durante largos años de trabajo son vitales para hacer frente a los problemas que surgen cada día.

Otros evitan enfrentarse al cambio. Esconden la cabeza como los avestruces a la espera de que el cambio simplemente desaparezca y de esta forma poder continuar transitando por un camino conocido, aplicando los enfoques de trabajo que tanto éxito les brindaron en el pasado.

Conozco líderes de auditoría interna poseen una tendencia natural es a la auto-perpetuidad. Son, casi por definición, reacios al cambio. Sin embargo, en el mundo de hoy, las fuerzas huracanadas que afectan a nuestras organizaciones (globalización rápida, innovación competencia despiadada) se han intensificado lo que el economista Joseph Schumpeter denominó: “fuerzas de destrucción creativa”. Por lo que las viejas recetas podrían ya no ser efectivas.

La falta de flexibilidad es el enemigo principal de la excelencia. Si deseas tener éxito en tiempos turbulentos, debes de tener:

1.    Conocimientos técnicos actualizados.

2.    Destreza en el uso de la tecnología de información en el trabajo.

3.    Una mente creativa que te permita emplear las innovaciones y cambios ocurridos en la empresa para mejorar el trabajo de auditoría interna.

4.    Competencia en temas de negocio, consultoría y asesoría para ir más allá de los enfoques financieros tradicionales.

5.    Disposición para el mejoramiento continuo, nunca creer que alcanzaste a tu nivel máximo de rendimiento, siempre buscar nuevas formas de crecer.

Cerramos nuestro comentario con una opinión sobre el tema de una de las mentes más brillantes del continente, Lucila de María del Perpetuo Socorro Godoy Alcayaga, mejor conocida por su seudónimo Gabriela Mistral, ganadora del Premio Nobel de Literatura en 1945. Con este galardón se convirtió en el primer literato latinoamericano en recibir el Nobel. Gabriel Mistral tenía una opinión muy singular sobre la experiencia:

¿Te ha gustado el post? ¡Dejamos saber tu opinión a través de un comentario!

Caja de Fósforos

Quiero compartir una breve, pero poderosa reflexión, incluida en el libro “Como agua para chocolate” de la escritora mexicana Laura Esquivel:

“Todos nacemos con una caja de fósforos adentro, pero que no podemos encenderlos solos… necesitamos la ayuda del oxígeno y una vela. En este caso el oxígeno, por ejemplo, vendría del aliento de la persona que amamos; la vela podría ser cualquier tipo de comida, música, caricia, palabra o sonido que engendre la explosión que encenderá uno de los fósforos. Por un momento, nos deslumbra una emoción intensa. Una tibieza placentera crece dentro de nosotros, desvaneciéndose a medida que pasa el tiempo, hasta que llega una nueva explosión a revivirla. Cada persona tiene que descubrir qué disparará esas explosiones para poder vivir, puesto que la combustión que ocurre cuando uno de los fósforos se enciende es lo que nutre al alma. Ese fuego, en resumen, es su alimento. Si uno no averigua a tiempo qué cosa inicia esas explosiones, la caja de fósforos se humedece y ni uno solo de los fósforos se encenderá nunca.”

Moraleja: quizás la tarea más importante que una persona debe realizar es identificar que cosas encienden su fuego interior y crean una explosión fantástica que le permite llevar a cabo la tarea única para la cual fue creado, que llena de forma completa su alma. En otras palabras, lograr alcanzar la areté (excelencia máxima, cumplimiento acabado de nuestro propósito, función vital o virtud fundamental).

¿Te ha gustado la reflexión? ¡Compártela con otro auditor interno!

Los KRI y las auditorías continuas

Por Jesús Aisa Díez

Los indicadores de riesgos clave, también denominados por sus siglas en inglés KRI, son métricas usadas por las Organizaciones para obtener señales tempranas sobre la exposición creciente de  los riesgos a las que estén expuestas las diversas áreas del negocio, de manera que alerten sobre esta situación y puedan adoptarse las medidas correctoras que resulten pertinentes, antes de que los efectos negativos sobre los objetivos se hayan  materializado. Son por consiguiente una herramienta específica de gestión empresarial de los riesgos, a emplear por los distintos estamentos con responsabilidad en esta función- las Unidades de Auditoría Internas también-, pero en este caso para su utilización en el ámbito de las auditorías continuas, entendidas éstas como la realización automática y continuada de las evaluaciones de los controles y de los riesgos.

En este contexto las auditorías continuas no pretenden en su inicio verificar la bondad de los datos individualmente considerados, sino su coherencia con las situaciones consideradas adecuadas. Por ello un esquema de funcionamiento de las mismas se debería ajustar al siguiente esquema:

1.    De los procesos/riesgos seleccionados determinar sus indicadores más oportunos.

2.    Identificar los datos disponibles en las aplicaciones que permitan obtener las métricas seleccionadas. Programar su  captura.

3.    Para los que no estén en las aplicaciones, definir cuestionarios y fechas de recepción; estableciendo  métodos de comprobación.

4.    Definir las pistas de auditoría (rango de admisión de valores).

5.    Analizar los resultados y consultar las causas de las desviaciones atípicas.

6.    Abrir un proceso de auditoría para los casos no justificados razonablemente.

7.    Concluir sobre las causas reales que justifican las desviaciones.

8.     Proponer recomendaciones.

Lo Mejor del 2012

Resulta una tarea difícil realizar una selección de los 178 artículos publicados en el Blog durante el pasado año, con el fin de obtener un Top Ten, sin embargo durante los días libres de Navidad realizamos un revisión completa de los trabajos desarrollados y a continuación compartimos mis 10 artículos favoritos del 2012:

Contribución Colaboradores:

Auditando con Sentido Común

La técnica de seis sombreros durante el taller de CSA

¿Hemosperdido el monopolio de hacer auditorías internas? 

Plan de Auditoría basado en riesgos. Naturaleza de los trabajors de auditoría
Aptitudes del auditor interno respecto a las tecnologías de información

Plan Anual de Auditoría Basada en Riesgos: Guíapráctica para su implementación

Otros Artículos:

Auditoría Interna 101

Auditoría Interna 102

6Hábitos Para Mejorar Desempeño

FODA Departamento Auditoría Interna

¿Te ha gustado el post? ¡Déjanos saber tu opinión a través de un comentario!

Año 2013

El buen amigo y compañero de trabajo Eladio Uribe, me envió un mensaje magnifico sobre el año 2013, el cual me gustaría compartir con ustedes:

El 2013 no puede ser un año más,
tiene que ser un año para más...
para trascender más allá de los límites,
para romper barreras,
para borrar lo innecesario y reaprender
para implantar nuevas marcas de amor y felicidad
para aumentar el número de verdaderos amigos
para vencer los miedos y construir puentes
para cambiar la esperanza por logros
para convertir sueños
para que cada uno sea en sí mismo soluciones y no tropiezos
para más y mejores resultados
para más tiempo en familia
para sonreír
para hacer más equipo, para ser
para vivir...
Para renacer

Que el 2013 sea para ti, más que memorias,
los más dulces, florecidos, espectaculares y exitosos
doce meses de tu vida...

Eladio Uribe (Conferencista y articulista en temas de Gestión Humana, calidad de vida, comunidad, cultura y otros, ha recorrido toda Latinoamérica en la promoción de los principios y el liderazgo de la Gestión Humana, siendo uno de los principales lideres de esa disciplina en nuestra región).

¿Te ha gustado el post? ¡Compártelo con otro auditor interno!

Hazlo Tú

 ¿Te ha gustado la frase? ¡Compártela con otro auditor interno!

Cambiemos el espejo retrovisor por el prismático

Por Jesús Aisa Díez

En mi opinión, y espero que no sea una excepción, sino que coincida con el sentir de la mayoría de los profesionales que nos dedicamos a la función de Auditoría Interna, estamos atravesando un momento dulce, pues el trabajo desempeñado es reconocido como generador de valor en las Organizaciones donde nos desenvolvemos; habiendo así superado situaciones pasadas en las que, como consecuencia de las decisiones de los reguladores que demandaban su existencia en determinados ámbitos empresariales, había que constituir Auditorías al ser algo preceptivo, pero sin que las partes interesadas estuviesen muy seguras ni de su utilidad, ni de la función a desempeñar, motivo por el que algunas Unidades de  Auditoría Interna (UAI) iniciaron su andadura como algo testimonial con el que cubrir los requerimientos exigibles.

Esta situación ha ido evolucionando, y ahora las UAI generalmente son consideradas como un aspecto imprescindible del control interno, ya que éste no podrá existir si las empresas no disponen de un adecuado gobierno corporativo, el cual no podría alcanzarse de no contar con un Comité de Auditoría eficaz, y éste a su vez sería impensable de operar sin tener, como brazo ejecutor de sus estrategias, a una función de auditoría interna eficaz y eficiente.  Para ello, según la opinión de algunos especialistas, las Auditorías Internas deben centrarse en las cuestiones y riesgos críticos, alineando sus propuestas de valor a las expectativas de las partes interesadas, lo cual requiere en cualquier caso: (i) pensar y actuar de manera estratégica, (ii) entender el negocio, (iii) ofrecer asesoramiento y recomendaciones sobre mejores prácticas, (iv) simplificar la comunicación haciéndola más directa y reducida y (v) ser capaces de anticipar los riesgos con los que convivirá la empresa.

Reconociendo la validez y la importancia de cada uno de estos 5 apartados, el último de ellos es en el que se concentran y materializan básicamente los anteriores, ya que es el que posibilitará el que puedan adoptarse las medidas precisas con las que conseguir los objetivos organizacionales  establecidos.

Norma ISO 22301:2012 Continuidad del Negocio

Éste estándar proporciona una base para entender, desarrollar e implementar la continuidad del negocio dentro de su organización, un sistema efectivo de gestión de la continuidad del negocio da confianza a los inversores, debido a que identifica los procesos esenciales que soportan a los productos o servicios que se desean proteger de escenarios de amenazas producto del análisis de riesgos.

La nueva normativa publicada en mayo de este año, exige a las empresas la siguiente documentación obligatoria:

1.    Lista de requisitos legales, normativos y de otra índole

2.    Alcance del Sistema de Gestión de la Continuidad del Negocio (SGCN)

3.    Política de la Continuidad del negocio

4.    Objetivos de la continuidad del negocio

5.    Evidencia de competencias del personal

6.    Registros de comunicación con las partes interesadas

7.    Análisis del impacto en el negocio

8.    Evaluación de riesgos, incluido un perfil de riesgo

9.    Estructura de respuesta a incidentes

10. Planes de continuidad del negocio

11. Procedimientos de recuperación

12. Resultados de acciones preventivas

13. Resultados de supervisión y medición

14. Resultados de la auditoría interna

15. Resultados de la revisión por parte de la dirección

16. Resultados de acciones correctivas

Si en tu organización existe un Plan de Continuidad de Negocio, seria interesante que compares los lineamientos, procesos, terminologías y sistema de implementación con esta nueva publicación de la Organización Internacional para la Normalización (ISO, por sus siglas en inglés).

¿Te ha gustado la información? ¡Compártela con otro auditor interno!

Fórmula para convertir tus sueños en realidad

¿Te ha gustado la frase? ¡Compártela con otro auditor interno!

El apetito al riesgo, un aspecto fundamental en la gestión empresarial

Por Jesús Aisa Díez

Los auditores estamos familiarizados con la elaboración de nuestros planes de auditoría en base a los riesgos que existan en la Organización, para ello, como ya hemos tenido oportunidad de observar en otros comentarios previos en este mismo blog, lo más adecuado es que levantemos el mapa de riesgos residuales de la Compañía, también llamados mapas de calor, a fin de  observar cuales son los que, en base a sus dos atributos: impacto y probabilidad, se situarían en zonas alejadas de la tolerancia al riesgo que la Organización haya asumido para ellos como compatible con sus objetivos. Es decir, levantado nuestro propio mapa de riesgos, lo primero que debemos identificar son los riesgos que se alejen del entorno del riesgo que la Organización haya admitido como coherentes con sus objetivos, efectuando la supervisión de los procesos en los que estos se ubiquen, a fin de determinar, a través del análisis de la eficiencia de los controles existentes, las recomendaciones que se entiendan oportunas para reconducir dichos riesgos dentro de la zona de tolerancia.

Por ello, lo importante no es la zona en la que los riesgos residuales se sitúen en el mapa, sino su posición relativa con respecto al apetito al riesgo que la Compañía haya determinado razonablemente compatible con los resultados que espera/desea alcanzar.

Dicho de otra manera, supongamos que un mapa de riesgos convencional de dos dimensiones (impacto y probabilidad), los riesgos que aparezcan en el cuadrante superior derecho, es decir los que reflejen una mayor severidad y también probabilidad de ocurrencia, no necesariamente deben ser objeto de atención en el Plan de Auditoría, pues esta posición  “solo” será inquietante si fuese contraria a la estrategia de la Compañía, o lo que es lo mismo, cuando dichos riesgos estuviesen fuera del entorno de la tolerancia al riesgo establecida.

Todos podemos ser auditados

Por José Luis Herreros Barbadillo, CIA, CRMA

A continuación se muestra un brochure real, difundido entre los empleados de cajas de ahorros españolas, que orienta a los trabajadores sobre cómo actuar ante la "amenaza" de la auditoría interna.

Su título refleja el miedo que todavía infunde la auditoría interna en algunos ámbitos: 

"Todos podemos ser auditados"

¿Has encontrado interesante la información?

¡Compártela con otro auditor interno!

La evaluación del “Riesgo de Auditoría”, un objetivo estratégico de las organizaciones

Por Jesús Aisa Díez

Es comúnmente aceptado que las entidades empresariales existen para generar valor a sus grupos de interés, objetivo que sólo será alcanzable si se administran adecuadamente las incertidumbres que las rodean, o lo que es lo mismo gestionando convenientemente aquellas oportunidades y amenazas que en cada momento les pudieran afectar.

Para conseguirlo disponemos en la actualidad de diversos protocolos, de ellos, quizá, el denominado Enterprise Risk Management, o COSO II, sea el más utilizado, habiéndonos permitido conocer que: la gestión de los  riesgos corporativos es un proceso efectuado por el consejo de administración de la entidad, su dirección y restante personal, aplicable a la definición de estrategias en toda la empresa y diseñado para identificar eventos potenciales que puedan afectar a la organización, gestionar sus riesgos dentro del riesgo aceptado y proporcionar una seguridad razonable sobre el logro de los objetivos.

Adicionalmente, como es bien conocido, este proceso está integrado por 8 componentes: ambiente de control, establecimiento de objetivos, identificación de eventos, evaluación de riesgos, respuesta al riesgo, actividades de control, información/comunicación y supervisión;  todos ellos de similar importancia, si bien el correspondiente a la supervisión es, desde la perspectiva de los comentarios que queremos compartir, en el que subyace una mayor trascendencia, ya que es el que permitirá evaluar si el proceso integral de administración de los riesgos se lleva a cabo de forma eficiente, aportando, en su caso, una seguridad razonable sobre el adecuado desarrollo del proceso de gestión de riesgos  o,  en su defecto, la información necesaria para adoptar las modificaciones oportunas que sean necesarias.

La  mayor complejidad de los negocios, y las circunstancias en la que estos actualmente se desenvuelven, fundamentalmente en épocas de crisis como la que estamos padeciendo, han requerido que las estructuras de las organizaciones sean cada vez más fuertes en sus aspectos de control interno y de gestión de riesgos, incidiendo y potenciando la necesaria supervisión; en este contexto un modelo considerado a nivel global como una mejor práctica es el denominado de las «Tres Líneas de Defensa»,  que en forma resumida reflejamos en el siguiente cuadro. En el que:

Como primera línea de defensa se situaría  la gerencia operacional de la organización, la cual tendrá la responsabilidad directa de implementar y supervisar los procesos sobre los que descansan todas actividades desarrolladas en sus diferentes facetas, entre la que debe considerarse la de rendir cuentas respecto a la evaluación, control y mitigación los riesgos.

En la segunda línea de defensa se ubicaría la función de gestión de riesgos de la empresa, la cual debe facilitar y monitorear la implementación de prácticas efectivas de gestión de riesgos por parte de la gerencia operacional y ayudar a los propietarios de los riesgos en la adecuada presentación de información relacionada con los mismos hacia toda la organización. Verificando la eficacia obtenida.

Ejemplo de un Plan Anual de Auditoría Basada en Riesgos

Por Juan Villanueva Chang

Con la finalidad de atender algunas inquietudes respecto al artículo publicado el 14.11.2012 (Plan Anual de Auditoría Basada en Riesgos: Guía práctica para su implementación), a continuación se explica un caso hipotético en una entidad de servicios.

Previa a la explicación del ejemplo, resulta indispensable coincidir con algunos parámetros:

·         La práctica habitual para los auditores de utilizar fórmulas para determinar la prioridad de las auditorías no es nuevo, se remonta a la década de los 70.

·         Existe la necesidad de confeccionar una metodología estable en el tiempo para determinar la prioridad de las auditorías, debido a limitaciones de su capacidad operativa y tiempo estimado para la realización de las revisiones. La metodología no es necesaria si en realidad es posible auditar en un año todo el universo auditable de una entidad.

·         El proceso de planificación anual siempre ha exigido la construcción de métricas que nos ayuden a realizar una selección adecuada. Esto obliga a revisar al menos una vez al año el universo auditable de la organización.

·         La ventaja de utilizar una metodología de este tipo ayuda al auditor a tener una guía neutral que resulta de la marcha de ciertos elementos del universo auditable, en vez de una simple selección arbitraria.     

Ejemplo: Casa de Cambio  ABC S.A.

a)           Métricas del universo auditable:

La unidad de auditoría interna lo conforman dos personas (3 600 h/H) y el tiempo promedio para  realizar cada auditoría es de 1 200 h/H. Estas limitaciones permitirían a la unidad de auditoría realizar 3 auditorías al año.

Plan Estratégico - Hacer Cosas

Todo proyecto tiene ese punto crítico en el que deberíamos dejar de planificar y poner manos a la obra realizando una acción concreta. Son innumerables los auditores internos, que tratan de tener un plan perfecto antes de dar el primer paso; o que se pasan la vida esperando por el momento perfecto, y jamás emprenden la acción que les llevaría a alcanzar la meta deseada.

El momento perfecto es “Ahora Mismo”.

 
A continuación comparto una frase de Herb Kelleher (fundador de Southwest Airlines, una de las compañías más admiradas del mundo), la cual es breve, precisa, lúcida y efectiva:
 

¿Te ha gustado la frase? ¡Compártela con otro auditor interno!

El Líder-Coach y la Comunicación en los Equipos de Auditoría

Por Carlos Reyes Balza, CIA, CRMA

Hace aproximadamente una semana recibí una consulta de parte de uno de los líderes de equipo (supervisores) de trabajo de la unidad de auditoría interna de la organización para la cual presto mis servicios. Esta vez la consulta estaba vinculada a la necesidad de mejorar la comunicación dentro del equipo de trabajo, a fin de promover discusiones basadas en evaluaciones de riesgo para fomentar un mayor nivel de análisis y profundidad técnica con respecto a los hallazgos de auditoría, que permitan además obtener reflexiones acerca de cómo mejorar la experiencia de los auditores, de modo que se puedan alcanzar resultados que realmente agreguen valor tanto para la unidad de auditoría interna, como para los clientes a quienes prestamos nuestros servicios de aseguramiento y consultoría.

Ante esta consulta, propuse por un lado un mayor involucramiento de los líderes de equipo en la ejecución del trabajo, y por el otro, la formulación de preguntas que permitan incorporar la evaluación de los riesgos como aspecto clave en las discusiones y enfoques para ejecutar auditorías.

Involucramiento que genera valor

El mayor involucramiento de los líderes está vinculado con el desarrollo de competencias supervisoras que van mucho más allá de simplemente girar instrucciones y hacer seguimiento de los compromisos establecidos conforme a un cronograma de auditoría. En la actualidad, ser competente como supervisor está más relacionado con la capacidad del líder de saber acompañar y facilitar al supervisado en el reconocimiento de oportunidades de aprendizaje y capacitación, el desarrollo de ideas que fomenten el desarrollo de sus competencias técnicas y personales, y la generación de propuestas que le permitan tomar decisiones para accionar en pro de su mejoramiento continuo.

¿Mapas de riesgos multidimensionales?

Por Jesús Aisa Díez

Recientemente he tenido la oportunidad de asistir a la 17ª Jornadas de Auditoría Interna promovidas por el Instituto de Auditores Internos de España, celebradas los pasados días 21 y 22 de Noviembre en Madrid, en las que tuve ocasión de escuchar diversas ponencias relacionadas con el ejercicio de nuestra profesión, todas ellas muy interesantes y con enfoques fundamentalmente orientados a la mejora de la eficiencia de la actividad. De ellas, quizás la que más me impactó fue la desarrollada por  PWC, titulada “COSO 3. Principales novedades en el Marco de Control Interno actualizado”. A través de la cual se expusieron los cambios que se pretenden introducir en este protocolo, cuya nueva edición se espera aparezca en el primer trimestre del próximo año. Los cuales se identificaron con:

1º) Establecer los objetivos del negocio como condición previa a fijación de los objetivos de Control Interno.

2º) Ampliación del objetivo de reporting, que ya no se limitará exclusivamente a los financieros.

3º) El nuevo Marco actualizado introducirá 17 principios a los que se asocian determinados puntos de enfoque, con los que se producirán cambios en sus 5 componentes, a saber: (i) ambiente de control, (ii) evaluación de riesgos, (iii) actividades de control, (iv) información y comunicaciones y (v) monitorización, que se mantienen cuantitativamente como en la primera versión, aunque anecdóticamente modificándose el cubo que representa el modelo COSO I, ya que el ambiente de control se encuentra ahora situado en el nivel más alto del paralelepípedo que lo representa.

Por todo ello lo primero que se puede observar, desde mi perspectiva, es que hay una evidente retroalimentación de ERM, también llamado COSO II, hacia el conocido como COSO I. Lo cual no es de extrañar, ya que esto estaba en el propio ADN de ambos protocolos, dado que ERM se entendía que no anulaba al COSO I, sino que lo ampliaba y perfeccionaba.

Por todo ello, si ahora procede modificar COSO I, denominándolo por los ponentes de PWC que nos lo describieron, como COSO 3, sería de esperar que los cambios que en él se produzcan den pié a una nueva versión del ERM, ¿Podríamos llamarla COSO IV?.

Carrera Profesional Auditoría Interna

¿Te ha gustado la frase? ¡Compártela con otro auditor interno!

Cobertura Trabajo Auditoría Interna 2013

De acuerdo al Informe “El Pulso de la Profesión” publicado por el IIA Global en noviembre del 2012, 545 Directores de Auditoría Interna encuestados informaron que la cobertura del trabajo de sus departamentos se incrementará en el año 2013, en las siguientes áreas:

¿Te ha gustado la información? ¡Compártela con otro auditor interno!

Calidad Comunicación

De acuerdo con el Consejo para la Práctica 2420-1, las comunicaciones del Departamento de Auditoría Interna deben ser precisas, objetivas, claras, concisas, constructivas, completas y oportunas. ¿Esto qué significa?

·         Precisas están libres de errores y distorsiones y son fieles a los hechos que describen. Objetivas son justas, imparciales y sin desvíos y son el resultado de una evaluación justa y equilibrada de todos los hechos y circunstancias relevantes.

·         Claras son fácilmente comprensibles y lógicas, evitando el lenguaje técnico innecesario y proporcionando toda la información significativa y relevante.

·         Concisas van a los hechos y evitan elaboraciones innecesarias, detalles superfluos, redundancia y uso excesivo de palabras.

·         Constructivas son útiles para el cliente del trabajo y la organización, y conducen a mejoras que son necesarias.

·         Completas no les falta nada que sea esencial para los receptores principales e incluyen toda la información y observaciones significativas y relevantes para apoyar a las recomendaciones y conclusiones.

·         Oportunas son realizadas en el tiempo debido y son pertinentes, dependiendo de la significatividad del tema, permitiendo a la dirección tomar la acción correctiva apropiada.

¿Te ha gustado el post? ¡Compártelo con otro auditor interno!