Boletín de investigación
Implementación de la función de auditoría interna
T. Sector Empresa Auditoría Interna
C.P. Hiram Marín Poó
Presentación
El presente boletín busca, más allá de ser una guía técnica, no siempre aplicable en términos de las realidades particulares de cada negocio, sí una serie de pautas basadas en la experiencia laboral dedicada a la auditoría interna.
Esta experiencia laboral inició al formar parte de funciones de auditoría interna ya consolidadas o en proceso de desarrollo, tanto en empresas privadas como públicas y de diferentes sectores; paulatinamente, se acrecentó al asumir el reto de implementar y, llegado el momento y oportunidad, reconformar funciones de auditoría interna en empresas públicas reguladas por la Ley del Mercado de Valores (LMV).
Lo anterior no quiere decir que se haga caso omiso o no se dé importancia a las normas, reglas y demás regulaciones aplicables, pero sí hay que considerar que es fundamental la inteligencia en términos de habilidades y su aplicación, así como el criterio del responsable de la función de auditoría interna para que, estando alineado a las regulaciones y las mejores prácticas, principios, normas de ejercicio de la profesión, códigos, etc., logre la implementación y operación de una función de auditoría interna a la medida de cada negocio.
A lo largo de este boletín se mencionará la importancia de este marco de referencia, estructurado sobre las distintas reglas, normas y mejores prácticas empleadas para la construcción de una función de auditoría interna y, sobre todo, cómo adaptarlas para cada una de las empresas, en aras de contar con una función de auditoría interna aceptada y reconocida por los grupos de interés.
1. Introducción
1.1. La función de auditoría interna
a. Objetivo y enfoque
El objetivo primordial del auditor interno es apoyar a los grupos de interés, entiéndanse éstos como el Chief Executive Officer o CEO (responsable del Sistema de Control Interno, SCI), el Comité de Auditoría (vigilante de la eficiencia del SCI) y el accionista de una organización, en sus responsabilidades de vigilancia y cumplimiento, a fin de salvaguardar el patrimonio del último, así como validar la eficiencia de los procesos en apego a las políticas y procedimientos definidos como parte del SCI.
La función de auditoría interna es independiente del resto de las áreas de la organización, con objeto de que emita opiniones totalmente imparciales derivadas de las diferentes auditorías desarrolladas. Dicha independencia, como se verá más adelante, debe ser facilitada orgánicamente por su ubicación en el organigrama de la empresa y su línea de reporte debe ser administrativa y funcional.
Siempre se menciona que a los auditores “nadie los quiere”. Haciendo un ejercicio de honestidad, los auditores son, en una buena proporción, los culpables mismos de esto. El enfoque manejado, muy desafortunado, pero actual en varios casos, en donde el auditor es aquel revisor (acusador) que deberá revelar todo lo que se hace mal o fuera de procedimiento, para “quedar bien” o demostrar que cumple, le juega en contra.
Antes bien, el enfoque del auditor debe ser totalmente diferente, ya que debe enfocarse, en primera instancia, en identificar áreas de oportunidad, eficiencias y mejoras a los procesos y/o necesidades de capacitación de los colaboradores; debe quedar claro que el auditor es un asesor en el proceso de mejora continua del negocio.
En una segunda instancia, y sólo de confirmarse el caso, sí deberá adoptar una posición de guardia estricto ante el abuso de confianza, malos manejos o actos de corrupción dentro de la organización y/o terceros con quienes se mantienen relaciones comerciales.
b. Ética del auditor interno
La ética del auditor debe ser una de sus mayores fortalezas, entendiendo por ética “el conjunto de normas y principios que constituyen valores que son considerados satisfactorios para la sociedad, y que respecto a ello, el individuo se comporta y actúa” (Rodríguez, Giselle, abril de 2016, pág. 14). En este caso, es importantísimo mencionar que hablamos integralmente de normas y valores sobre las cuales el auditor, en su día a día, rige su actuación y comportamiento personal y profesional, así como el apego a aquellos valores y principios definidos por su entorno y la ética empresarial de la organización para la cual presta sus servicios.
c. El auditor interno y el Comité de Auditoría
No es objetivo de este boletín adentrarse en las actividades y responsabilidades del Comité de Auditoría, mismas que se describen de manera clara en Sánchez, Gabriel y Marín, Hiram, marzo de 2019 (otro documento emitido por la comisión técnica, sector empresa, de Auditoría Interna). Sin embargo, cuando hablamos de estas actividades y responsabilidades, hablamos en paralelo de una herencia de responsabilidades hacia el auditor interno, como mano derecha del Comité de Auditoría en el cumplimiento de sus responsabilidades.
1.2. Marco regulatorio y marco de referencia
- Externo
- LMV, Comisión Nacional Bancaria y de Valores (CNBV)
- Circular Única de Auditores Externos (CUAE), CNBV
- Código de Principios y Mejores Prácticas de Gobierno Corporativo del Consejo Coordinador Empresarial (CCE)
- Normas Globales de Auditoría Interna, de The Institute of Internal Auditors, efectivas a partir de enero de 2025
- Corporate Governance Factbook, Organización para la Cooperación y el Desarrollo Económicos (OCDE)
- Interno
- Código de ética y conducta de la empresa
- Estatuto de Auditoría Interna
- Manual de Auditoría Interna, revisado y aprobado por el Comité de Auditoría y el Consejo de Administración (ver ejemplo al final de 2. Desarrollo)
1.3. Línea de reporte
El responsable de auditoría, para efectos de que pueda cumplir sus objetivos, requiere del apoyo y autoridad suficientes e incondicionales para el desempeño de sus funciones. Esto implica que su línea de reporte debe ser al máximo nivel dentro de la organización.
La línea de reporte del responsable de auditoría interna se divide (atendiendo a una estructura de gobierno con un Comité de Auditoría) en dos líneas: por un lado, a nivel de sus actividades administrativas, entendiendo que en paralelo es su cliente interno principal, de manera directa, el CEO de la organización. Por otro lado, en cuanto a sus actividades funcionales como auditor interno, debe ser obligadamente hacia el Comité de Auditoría, dependencia que respalda la independencia, elemento fundamental que permitirá que, en aquellas asignaciones o proyectos en los que participe, evite cualquier posible influencia por parte de cualquier dirección operativa y emita opiniones imparciales y ajenas a cualquier presión. Por “operativo” nos referimos a cualquier directivo que reporte directamente al CEO.
Para que estas dos líneas de reporte funcionen y sean efectivas, debe existir una madurez importante del negocio, con lo que debemos entender que el CEO debe ser enteramente respetuoso y mantenerse al margen del trabajo del auditor en cuanto a sus alcances, definición de planes y contenido de sus informes. Adicionalmente, se debe considerar que en un momento dado, llegado el caso, el propio CEO puede ser sujeto de auditoría.
a. Comité de Auditoría
Como se mencionó previamente, el reporte hacia el Comité de Auditoría, como órgano de gobierno dependiente del Consejo de Administración, debe orientarse a la definición, revisión y evaluación de la función propia de la auditoría interna. Con esto hablamos de que los reportes hacia el comité son:
- Revisión y recomendación al consejo de la aprobación del Estatuto y Manual de Auditoría Interna
- Autorización del plan anual
- Autorización del presupuesto del auditor
- Revisión del informe ejecutivo relativo a las diferentes auditorías desarrolladas, sus resultados y los planes de remediación definidos
- Autorización del bono de desempeño del responsable de la función de auditoría interna (en caso de que lo haya)
Sin dejar de lado los demás, el último punto es sumamente relevante. Si la remuneración variable del auditor depende del CEO o de cualquier otra dirección operativa del negocio, la imparcialidad del auditor se verá expuesta, si no en una realidad, sí hacia el resto de la organización y terceros interesados, al depender su ingreso de un auditado.
Los reportes en comento se llevarán a cabo de acuerdo con la frecuencia con que cada negocio establezca las reuniones del Comité de Auditoría. En el caso de empresas públicas reguladas por la LMV, serán de manera trimestral; las empresas privadas, por su parte, conforme lo defina su Consejo o Comité de Auditoría, de contar con este último. Para lo anterior se debe considerar que el responsable de auditoría interna debe tener la facultad de buscar y llevar a cabo reuniones con la presidencia del Comité o con el Comité de manera integral, de considerarlo conveniente, y dada la relevancia de algún punto identificado durante sus actividades diarias.
b. CEO
El responsable de auditoría interna, al igual que los demás directores del negocio, debe cumplir una serie de actividades administrativas y en cumplimiento con el reglamento interno de trabajo, según el cual, coloquialmente, el CEO es su “jefe del día a día”, adicional a su cliente interno principal.
Sobre esta base, hay distintas actividades que el propio CEO del negocio deberá validar con el responsable de auditoría interna, aún y cuando éstas se presenten posteriormente al Comité de Auditoría para su aprobación. Entre las más relevantes se encuentran:
c. Clientes internos (directores generales de subsidiarias o negocios conjuntos)
La relación del responsable de auditoría interna con las diferentes cabezas de la organización es punto fundamental para el éxito de la función. El auditor, en términos generales, debe entender las estrategias y particularidades de los diferentes negocios de voz propia de quienes los dirigen.
El auditor debe entender no sólo la estrategia, sino, en sus funciones de área de soporte y atendiendo a que brinda un servicio de mejora continua y evaluación de las operaciones, cuáles son las preocupaciones o áreas de interés de estas direcciones para tener la capacidad de sumar al negocio y verdaderamente enfocar sus auditorías en áreas medulares de cada unidad del negocio.
El responsable de auditoría no puede incurrir en el error de no escuchar a sus clientes internos (no por nada “auditor” remonta su origen etimológico al verbo latino audire, que significa “oír”); si son auditados y serán sujetos de diferentes pruebas a fin de validar el apego a la estrategia y políticas del negocio, pero el auditor debe entender su encomienda como un área que proporciona valor al confirmar la eficiencia o las áreas de oportunidad de cada proceso o área auditada.
Como parte de estas reuniones, no solo de inicio, sino recurrentes con las direcciones de los negocios, el responsable de auditoría expondrá a su vez cuales son las encomiendas del Comité de Auditoría y el CEO, así como las metodologías aplicables en cada una de sus auditorías.
2. Desarrollo
2.1. Reestructura de la función de auditoría interna
a. Generalidades
En términos generales, existen dos posibilidades en el desarrollo de la función de auditoría interna: una es su creación desde cero; la otra es ante la incorporación de un nuevo responsable, ya sea para dar continuidad y reforzar lo desarrollado previamente o el escenario ante el cual su objetivo inicial será la reestructura de la función de auditoría interna existente. Para efectos del presente boletín, nos enfocaremos en esta última.
La reestructura de la función de auditoría representa una complejidad importante que a su vez requiere de la participación de un responsable de auditoría con experiencia, criterio y conocimientos sólidos, que le permitan llevar a cabo una evaluación de lo existente a razón de equipo, planes, herramientas, enfoque, presupuestos y metodologías, entre otros. De manera particular, también requiere de la “paz interior” tal que le permita de manera imparcial tomar las decisiones que considere necesarias para generar un cambio positivo en la función.
Un punto relevante, como ya se mencionó, es el apoyo y respaldo de parte del Comité de Auditoría y del CEO. Una reestructura implicará una serie de gastos y toma de decisiones que, sin el respaldo mencionado, no harán posible un proceso de cambio eficiente y exitoso en esta reconformación de la función de auditoría interna.
A fin de no generar expectativas inexactas, se debe considerar el tiempo que pudiera llevar esta reestructura o reconformación de la función de auditoría interna. En esta línea, hay dos temas importantes que, si no son atendidos de forma paralela y eficiente, pueden bloquear el proceso. Éstos son: la necesidad de que la función opere con cierta normalidad durante el proceso, concluyendo objetivos y compromisos previos, mientras que el responsable realiza ajustes sobre la marcha, define nuevos objetivos, lleva a cabo los cambios de dirección necesarios en cuanto a equipos, metodologías y actividades y realiza visitas a sus clientes internos.
b. Clientes internos (expectativas/receptividad)
Sostener cuando menos una junta con cada uno de los directores de las diferentes unidades de negocio será fundamental para el responsable de la función de auditoría interna. En estas juntas, como punto de partida, deberá entender cuáles son su evaluación de la función “actual”, su percepción de valor agregado, su expectativa y áreas de preocupación. Aún y cuando esté en proceso de estructuración, deberá comunicarles claramente cuáles serán los objetivos de esta “nueva” función de auditoría interna y de apoyo, que deberán esperar del equipo y metodología empleada.
El director de la función de auditoría es el único responsable de permear y transmitir hacia las direcciones generales el mensaje claro de que el auditor está para apoyar al negocio, buscar eficiencias, áreas de mejora y, como se mencionó al inicio, con el claro objetivo de salvaguardar el patrimonio de los accionistas. Nuevamente, lo anterior no significa que no habrá una faceta “tradicional” en caso de identificar abusos, malos manejos, fraudes, etc., puesto que al final, bajo una investigación exhaustiva e imparcial, el resultado deberá ser beneficioso para todas las partes.
En complemento, es fundamental que el responsable de la función de auditoría organice, junto con los responsables de los diversos negocios, visitas a las diferentes sucursales, Centros de Distribución (Cedis) y demás formatos, a fin de entender en general la operación y tener la capacidad de “sentir” al negocio.
c. Análisis del equipo, plan, presupuesto, reportes y metodologías
Esta parte de la reestructura siempre tenderá a ser dolorosa cuando los resultados previos fueron los que llevaron a realizar un cambio de la cabeza de la función de auditoría. Anecdóticamente, uno se encuentra con:
- Auditorías a procesos o actividades no fundamentales y, por supuesto, no basadas en ningún análisis de riesgos
- Personal sin capacitación y por ende metodologías obsoletas
- Tragicomedias en lugar de informes con hechos concretos
- Enfoque en el error y su reporte y no en la mejora
- Presupuestos con enfoques erróneos en ahorros mal entendidos o distribuciones inequitativas
- Ausencia de metodologías documentadas
- Resultados llevados directo al CEO o al Comité de Auditoría sin ser comentados con el auditado
- Y por supuesto, tema que deberá ser tratado con premura, el rechazo de las áreas hacia la función de auditoría interna. Esto no quiere decir que la “quieran”, pero sí que la consideren como un brazo adicional en su operación.
Sin extendernos mucho en detalles, una reestructura a nivel de evaluación del personal, metodologías y reportes debería empezar a tener cambios relevantes en un tiempo estimado de seis meses (dependiendo del negocio) y un año o año y medio de manera integral. Nuevamente, el respaldo del Comité de Auditoría y del CEO serán fundamentales para concretar dicha reestructura en estos tiempos. En cambio, las limitaciones de respaldo podrán extender de manera “infinita” el proceso.
Trascurrido este plazo, el director de la función de auditoría interna coordinará, sobre la base de metodologías sustentadas en mejores prácticas, requerimientos normativos, informes ejecutivos de hechos y un plan de auditoría fundado en riesgos, que permita enfocar sus recursos en áreas importantes y relevantes del negocio.
2.2. El proceso de implementación
a. Enfoque y línea de reporte
Recapitulando lo comentado previamente, para una implementación exitosa deben quedar perfectamente definidos desde el inicio:
- Objetivo y expectativa del accionista, del CEO y del Comité de Auditoría, cada uno en apego a sus distintas responsabilidades y roles.
- Al existir una doble línea de reporte, deben quedar claramente definidos los alcances y límites entre ambos reportes (administrativo y funcional).
b. El director de Auditoría Interna
Tal vez sea evidente, pero vale la pena puntualizar: definir cuál es el perfil del director de Auditoría Interna será actividad fundamental. Dicho perfil debe ser determinado claramente en atención a qué espera el negocio de él, cómo prevé que será su desempeño y cuál será el tipo de función de auditoría interna por implementar. A continuación, desarrollamos cuáles son los puntos mínimos que debe cubrir el candidato para ocupar esta posición:
- Contador público. Sin un sesgo en requisito, es importante reconocer que la auditoría, desde sus inicios financiera, fue desarrollada por contadores para la revisión y vigilancia de estados financieros. Hoy, en una ampliación de estas responsabilidades, los colegios de contadores son los que promueven la difusión de mejores prácticas y desarrollo de estos profesionistas como auditores internos como parte natural de sus actividades. Actualmente, otras profesiones pueden concursar para estas posiciones, pero la experiencia probada y capacitación específica en técnicas y metodologías de auditoría deben ser comprobadas.
- Nivel de estudios. Cuando menos, licenciatura; los posgrados serán siempre un valor agregado.
- Idiomas. Dependen del origen y alcance de los negocios de la empresa en cuestión. Cuando menos, debe manejarse un buen nivel de inglés, ya que mucha de la bibliografía y mejores prácticas se encuentran en dicha lengua.
- Experiencia laboral
- Cuando menos, debe ser de 10 años participando a niveles ejecutivos, y si no dirigiendo funciones de auditoría interna, sí habiendo sido partícipe a nivel ejecutivo de alguna otra implementación o reestructura de auditoría interna, que le permita tener un panorama claro de a qué se enfrenta y cuáles resultados deberá perseguir.
- Conocimientos específicos: Committee of Sponsoring Organizations of the Treadway Commission (COSO o Comité de Organizaciones Patrocinadoras de la Comisión Treadway), diagramación de procesos, buen conocimiento de normativas relacionadas con auditoría interna y gobierno corporativo, y legislaciones y códigos aplicables, como la LMV, el Código de Principios y Mejores Prácticas de Gobierno Corporativo, código de ética empresarial y las reglas de gobierno corporativo de la OCDE.
- Presencia y desenvolvimiento. Esto no debe confundirse como que va vestido “elegante” o que tenga, como coloquialmente se conoce, “mucha labia”. La cabeza de la función de auditoría debe ser un profesionista formal, que se exprese correctamente, que sea tranquilo en su desenvolvimiento y que, en complemento a esto, sepa desenvolverse de manera libre y con claridad, independientemente de la persona con quien interactúe (desde el colaborador de más bajo rango hasta el accionista). Este candidato debe ser tan seguro de sí mismo como humilde en su trato.
Como ya se comentó antes, la cabeza de auditoría interna debe ser un profesionista con muy altos valores y principios personales. Más allá de su profesión y conocimientos, debe ser una persona que se desenvuelva en una ética intachable y lealtad dentro del negocio. El auditor interno no puede ser el revisor de los valores, principios, políticas y procesos de la empresa si él mismo no profesa y actúa bajo un marco de referencia sin margen de error. Hay un dicho muy empleado por el autor en cuanto a que “ser auditor es una agravante” en caso de cometer una falta; es decir, el auditor no puede permitirse “libertades” en su actuación.
c. Las diferentes áreas dentro de Auditoría Interna
En términos generales, sin ser esto una regla, un auditor, sea cual sea el negocio en el que se desempeñe, puede ser catalogado como auditor interno corporativo o auditor interno operativo.
El auditor interno corporativo, como su nombre lo refiere, tiene un enfoque particular hacia procesos en áreas corporativas. Usualmente es un auditor enfocado en la revisión de procesos end-to-end, transacciones o áreas específicas. Sus planes de auditoría, alcances y tiempos dependen de lo que va a revisar.
El auditor interno operativo es aquel que revisa la operación en piso de venta, almacenes, cajas de las unidades, formatos, piso en centros de distribución, sucursales, etc. Son aquellos revisores que realizan auditorías a actividades muy bien definidas y recurrentes dentro de la operación de los centros mencionados y son quienes generan un volumen importante de auditorías.
Ambos tipos de auditores son fundamentales dentro de la operación de una función efectiva de auditoría interna, por lo que es relevante considerar la realización de auditorías combinadas, en donde la participación de ambos auditores es esencial.
Actualmente, existen áreas particulares dentro de las estructuras de la función de auditoría interna. Algunas de éstas son auditores forenses, auditores con criterios de Environmental, Social and Governance (ESG o Ambiental, Social y Gobernanza, ASG) y auditores con especialidades muy específicas en temas de Tecnologías de la Información y/o ciberseguridad, entre otras. En muchas ocasiones, debido a este nivel de especialización, salvo en empresas muy grandes o altamente reguladas, conviene contratar sus servicios a través de un tercero. Respecto a los criterios ESG, consúltese el boletín de investigación de Hernández, Cervantes y Patiño, publicado el 5 de enero de 2024.
Hoy día, las áreas de auditoría están conformadas no sólo por contadores públicos. Dependiendo del área dentro de la función de auditoría interna y el propio giro de los negocios, vemos una variedad importante de los profesionistas que integran los equipos, todos los cuales realizan aportaciones importantes desde su área de especialidad. De ahí que se tienen ingenieros civiles, arquitectos, ingenieros en sistema, licenciados en sistema, abogados, ingenieros industriales, actuarios, etc. Actualmente, la auditoría interna no es limitativa y se beneficia de incluir entre sus filas a profesionistas que en su conjunto sumen conocimientos y enriquezcan a la profesión.
Para efectos de integrar al equipo de la función de auditoría interna, es importante considerar cuál va ser el enfoque y objetivo establecido por el CEO y el propio Comité de Auditoría. Lo anterior será complementado por la recomendación del director de Auditoría Interna.
Algunas recomendaciones en este sentido son:
- Las auditorías corporativas son más extensas en sus alcances, pero se requiere un número menor de auditores.
- Las auditorías operativas son asignaciones más rápidas, pero de alto volumen. Por ello, y dependiendo de la cobertura que se quiera dar, sus equipos son más extensos.
- Como se mencionó previamente, será recomendable de inicio y sólo en caso de ser necesario, llevar a cabo las auditorías para ciertas áreas muy específicas con el apoyo de un tercero especializado y por evento.
d. Primeros pasos
Sin entrar a detalle en el proceso intermedio de contratación, una vez que el director de Auditoría Interna cuenta con el organigrama de su función aprobado, debe definir el plan que desarrollará durante un periodo, usualmente anual, aunque esto puede ajustarse de acuerdo con requerimientos muy particulares de alguna industria.
En un inicio, salvo que la empresa en la que se incorpore cuente con algún análisis de riesgos formal que le permita identificar áreas sensibles o que requieran un monitoreo continuo o atención inmediata, el director de Auditoría Interna, con el insumo que haya obtenido de las primeras reuniones con las direcciones de las unidades de negocio, la entrevista con el CEO, el Comité de Auditoría y su experiencia, definirá las asignaciones a cubrir durante un periodo.
A manera de ejemplo, algunas áreas corporativas siempre relevantes son:
- Impuestos: razón de negocios, no sólo el cumplimiento de obligaciones.
- Cadena de suministros: muy extensa y en una labor combinada de equipos de auditoría interna. Al respecto, consúltese el artículo del L.C. Juan Rivero, publicado el 1.° de septiembre de 2024 en Veritas.
- Ciberseguridad y Seguridad de la Información.
- Tesorería.
- Inversiones.
- Inversiones en proyectos: en el sector inmobiliario es fundamental revisar avances, presupuestos, órdenes de cambio y coordinación de obras, etc.
- Cumplimiento en el caso de empresas altamente reguladas (sistema financiero, farmacéutico, entre otras).
En las auditorías operativas son importantes:
- Definición de unidades a auditar de acuerdo con criterios establecidos: tendencias en ingresos, gastos, mermas, lento desplazamiento, operaciones “inusuales”, inventarios, retail, etc.
- Cedis.
- Sucursales, en el caso del sector automotriz.
- Inventarios físicos.
- Remodelaciones o reconversiones.
e. Presupuesto
Éste es un punto fino que dependerá de la situación particular de cada negocio. No obstante, el director de Auditoría Interna debe buscar que se cubra de manera muy eficiente el plan presentado de acuerdo con el inciso anterior.
Es importante que, más allá del gasto del personal y equipo de cómputo necesario, el presupuesto de la función de auditoría interna se subdivida en los gastos inherentes a la propia función y aquellos gastos por proyectos que pudieran ser coordinados por el director de auditoría (por ejemplo, la línea de denuncia).
El presupuesto de gastos propios de la función debe ser sumamente eficiente y en donde resalten algunos rubros muy específicos enfocados al cumplimiento de su plan y desarrollo del equipo de auditoría, como son:
- Gastos de viaje: en estricto apego a las políticas definidas por el negocio.
- Capacitación: no sólo se debe buscar que se cuente con un equipo actualizado en metodologías y técnicas de auditoría interna, sino también que los distintos auditores, en combinación con sus propias especialidades, se mantengan al día en cuanto a mejores prácticas, nuevas normas, etc.
Es responsabilidad del director de la función de auditoría interna contar con un equipo actualizado y que pueda hacer frente a los cambios constantes en los negocios. El negocio evoluciona y el auditor está obligado a evolucionar al mismo ritmo. Actualmente, hay nuevas normativas relacionadas con la sustentabilidad, diversidad, transparencia y anticorrupción. El auditor debe estar al día y en posición de auditar las diferentes prácticas que se implementen en el negocio.
f. El informe de auditoría interna
Este documento es muy importante, ya que es un reflejo en el que se reportan los resultados obtenidos a partir del trabajo exhaustivo realizado por el auditor interno. Un reporte de mala calidad, aún y cuando el trabajo haya sido excelente, dejará ver un trabajo de regular a malo del auditor interno. El informe de auditoría interna es “la carta de presentación” del auditor y una evidencia de la calidad de su trabajo.
El director de auditoría debe cuidar, sin excepción:
- Ortografía. Errores básicos de este tipo son un reflejo del auditor. Son impensables los reportes de auditoría interna con faltas de ortografía o “errores de dedo”.
- Hechos concretos. El auditor tiene la obligación de reportar hechos comprobados y de manera clara y concreta. Redactar tragicomedias extensas sólo confundirá al lector y perderá todo el impacto del trabajo realizado. Una recomendación hecha al autor hace muchos años y vigente al día de hoy es: “Los hallazgos redactados en más de tres líneas no se entienden”.
- Redacción clara. En el mismo sentido que los dos puntos previos, el auditor debe ser claro y tener una redacción correcta (sin términos coloquiales y con una buena gramática).
- Enfoque propositivo. Invariablemente y en complemento de lo anterior, el informe del auditor debe ser redactado en sentido propositivo, nunca acusatorio o en un afán de resaltar el error; siempre privilegiar la mejora.
- Estructura del informe. A manera de recomendación, deben describirse brevemente la razón de ser de la auditoría, el alcance y trabajo efectuado. Asimismo, se debe incluir un informe ejecutivo con los puntos relevantes de la auditoría realizada, la conclusión del informe de manera muy concreta y cerrar con un informe detallado con explicaciones más amplias y de ser posible recomendaciones.
- Recomendaciones. Éste es un punto muy importante: nunca deberán hacerse recomendaciones “obvias”. Antes bien, se debe cuidar mucho la línea de independencia que debe mantener siempre el auditor y no dar pie a que las áreas justifiquen inversiones o cambios “porque el auditor dice”.
- Distribución. El informe debe ser distribuido exclusivamente a los grupos de interés de la auditoría realizada. No se trata de documentos públicos sino confidenciales, por lo cual debemos evitar copias innecesarias.
- Validación previa. Todo informe de auditoría, independientemente de la revisión y validación de las observaciones con los directamente responsables de los controles, deberá ser comentado con las posiciones ejecutivas y directores de las áreas auditadas. El auditor debe evitar “sorpresas” cuando emita sus informes.
Es importante señalar que, durante estas revisiones, el informe puede verse ajustado en cuanto a claridad, no en el fondo de las observaciones.
g. Planes de remediación
Son fundamentales como último paso dentro del proceso de auditoría, a manera de dar continuidad al proceso de mejora de las áreas auditadas. Una vez emitido el informe respectivo, será importante requerir a los directores responsables para el armado del plan de remediación correspondiente, que debe estar enfocado en reforzar los controles internos relacionados con los diferentes hallazgos incluidos en el informe, definiendo fechas-compromiso y quiénes serán los directamente responsables de su implementación.
h. Indicadores de auditoría
A través de las diferentes auditorías realizadas, principalmente operativas, el auditor cuenta con información sumamente valiosa en relación con el desempeño de las diferentes unidades, sucursales o centros auditados. El director de Auditoría Interna debe buscar que esta información se convierta en indicadores de desempeño que pueda compartir con las áreas operativas y que sumen a los indicadores que directamente generen en los negocios.
2.3. Participación activa del auditor interno y externo
Las relaciones que a lo largo del trabajo genere el director de la función de auditoría interna serán una herramienta muy importante para estar actualizado con lo que pasa en el negocio, con los cambios que suceden, y con la expansión, crecimiento e innovación.
Anteriormente, se tenía la firme convicción de que, por sus propias funciones e independencia, el auditor interno debía mantenerse al margen de socializar con las demás áreas del negocio. En la actualidad, nada más distinto a esa realidad; el auditor interno puede mantener su independencia y socializar con los demás directores del negocio, siempre bajo la premisa de que, por encima de cualquier evento, es el auditor interno del negocio, de ahí la importancia en cuanto al perfil mencionado con anticipación del director de Auditoría Interna.
Asimismo, el director de Auditoría Interna, adicional a la promoción de la capacitación, como ya se mencionó, debe persistir en participar con organismos, colegios y asociaciones que le permitan entender qué sucede en otras empresas, industrias, mercados y compartir el conocimiento, no sólo ver cómo puede llevar a su empresa algunas mejores prácticas ya probadas.
2.4. Administrativos de la función de auditoría interna
a. Presupuesto
El director de Auditoría Interna debe ser muy celoso y cuidadoso de su presupuesto, además de en su construcción, como se mencionó en “El proceso de implementación”, también en su seguimiento y cuidado, no sólo en apego con las políticas y estrategia del negocio, sino también como un reflejo del mismo orden que como guardián del control interno debe vigilar.
b. Control de tiempos y asignaciones
Por un lado, el director de Auditoría Interna debe ser muy cuidadoso con el cumplimiento de los plazos definidos en su plan anual y buscar siempre su cumplimiento; asimismo, por otro lado, debe promover esto no sólo con su equipo, sino también con las áreas auditadas.
De la mano con lo anterior se encuentra el control de tiempos del personal de la función de auditoría interna, a fin de revisar continuamente los tiempos dedicados para cada una de las asignaciones, capacitación, vacaciones, etc. El director debe ser capaz de dimensionar con cierta precisión los tiempos que dedicará a cada una de estas actividades, con el objetivo de evitar tiempos ociosos, sino fomentar tiempos productivos.
c. Definición de objetivos claros
El director de Auditoría Interna debe definir los objetivos claramente con cada uno de sus reportes (subalternos) y promover que esto se haga con todo el personal de la función. Es decir, debe decirse qué se espera de cada uno de ellos, no sólo en el cumplimiento de un plan de auditoría, sino también en cuanto a impartición de capacitaciones internas, capacitación externa, calidad del trabajo, informes y papeles de trabajo.
La función de auditoría interna requiere, por su propia naturaleza, que sus integrantes realicen sus actividades fuera del centro de trabajo, por lo cual se debe dejar claro qué se espera de cada uno de ellos, en qué tiempos y cuáles son los objetivos perseguidos.
2.5. La tecnología en la función de auditoría interna
Éste es un punto muy importante dentro de la función de auditoría interna y más en la actualidad, debido a la dependencia de los negocios por la tecnología, nuevas plataformas, comercio digital o e-Commerce.
Por un lado, el auditor debe contar con acceso de consulta a todas las plataformas de los diferentes negocios de la organización. Por otro lado, la implementación de tecnología en la propia función de auditoría será de mucha ayuda y apoyará en la generación de eficiencias, como se ha mencionado en los cursos realizados y boletines publicados por esta comisión técnica. Por citar un ejemplo, el curso Auditoría interna de clase mundial: herramientas tecnológicas, impartido el 24 de marzo de 2024 por el Mtro. y L.C. Raúl Vaca Castro y el Ing. Raúl Celis Gallegos.
Más allá de adentrarse en detalles, es importante resaltar que la tecnología, en definitiva, apoyará a la función de auditoría interna; sin embargo, con una buena dirección y un equipo de primer nivel, el trabajo de la función de auditoría debe ser de calidad total y aportación de valor para el negocio, sin depender obligadamente de la existencia de tecnología o no. En suma, la tecnología apoyará y reforzará su eficiencia.
2.6. Otras actividades
A lo largo del tiempo, aún y cuando en algunos casos no es del todo la mejor práctica, las funciones del director de Auditoría Interna pueden incluir otras áreas relacionadas.
Al día de hoy, el auditor interno es un profesionista que durante sus estudios y carrera profesional ha desarrollado metodologías relacionadas con:
- La administración de riesgos. En esta línea, invitamos a leer Internal Audit and Risk Management: Separate or Together?, publicado por The Institute of Internal Auditors Australia en febrero de 2023.
- Normatividad interna (a nivel de políticas corporativas).
- Control interno.
- Implementación de líneas de denuncia.
- Código de ética.
Habrá que empujar a algunas de estas áreas a que en el tiempo “caminen” solas (en dependencia de otra área en un momento dado); otras podrán seguir bajo la misma cabeza. El director de la función de auditoría interna debe contar con las capacidades y habilidades adquiridas a lo largo de su carrera para hacer frente a estas áreas y apoyar a los negocios en su implementación y desarrollo.
2.7. Ejemplo de manual de auditoría interna desarrollado por el autor
Objetivo
El presente manual establece los lineamientos para la planeación, ejecución, conclusión y seguimiento de las revisiones y asignaciones llevadas a cabo por la Dirección de Auditoría Interna de ________________.
Alcance
El presente manual aplica para _________________________.
Lineamientos
- La Dirección de Auditoría Interna (DAI) será responsable de desarrollar el Plan Anual de Auditoría durante el último trimestre de cada año, mismo que será validado por el CEO de ______________ y aprobado por el Comité de Auditoría de ________________.
- Para la calendarización de dicho plan anual, la DAI tomará en cuenta, dentro de lo posible, las fechas que operativamente implican una mayor carga laboral de parte de las empresas subsidiarias.
Los cierres contables y/o fiscales o cargas por proyectos o actividades distintas a las indicadas en el párrafo anterior no son justificación para el retraso o recalendarización de una auditoría, pudiendo cada caso considerarse de manera específica, previa validación de la DAI y autorizado por el Comité de Auditoría. - El incumplimiento de las fechas estimadas por cuestiones no imputables a la DAI no implicará la reprogramación de fechas de auditorías próximas del plan anual. Las asignaciones se recorrerán y, en su caso, las fechas de inicio podrán acordarse de manera particular.
- Para el desarrollo del Plan Anual de Auditoría, se considerarán cuando menos los siguientes puntos:
- Auditorías y revisiones previamente realizadas
- Resultados del proceso de Evaluación Anual de Riesgos, presentada al Comité de Auditoría
- Requerimientos específicos de los directores generales de cada subsidiaria
- La DAI apoyará en la identificación de riesgos y control interno, previa solicitud del área correspondiente, dirigida al director de Auditoría Interna, con el fin de dar a conocer mejores prácticas y orientar en el mecanismo de definición de políticas y procedimientos.
- La DAI tendrá total acceso a toda la información de ______________ a revisar (políticas y procedimientos, información financiera y manuales operativos, entre otros), aún y cuando ésta sea de carácter confidencial, así como a las instalaciones físicas y atención del personal de las áreas que intervienen en los procesos revisados.
- El personal de la DAI tendrá acceso, con perfil de consulta, a los distintos sistemas de ____________________, para la ejecución de revisiones y consulta de transacciones, siempre apegándose al procedimiento de seguridad establecido por la empresa de la que se trate.
- El personal de la DAI deberá garantizar la confidencialidad de la información utilizada en el ejercicio de sus revisiones.
- En los casos en que la divulgación de la información requerida pudiera comprometer la confidencialidad de la empresa (contratos, prestaciones de ejecutivos, promociones, etc.), el personal de la DAI tendrá acceso a la misma, acordando con el auditado las medidas de seguridad necesarias para su manejo y resguardo, con la finalidad de evitar fugas de información.
- En ninguna circunstancia, la información entregada por las áreas auditadas podrá ser retirada de las instalaciones de la empresa y la información electrónica no podrá ser copiada en unidades externas.
- El personal de la DAI asignado a cada una de las revisiones tendrá la responsabilidad de documentarse previo al inicio, con las políticas y procedimientos vigentes, auditorías precedentes, riesgos identificados y legislación externa relacionada con el rubro o concepto a revisar.
- Todas las revisiones efectuadas por la DAI se llevarán a cabo con base en las Normas Globales de Auditoría Interna.
- Toda área sujeta a revisión deberá proporcionar atención inmediata a los requerimientos de la auditoría, definidos en la reunión de inicio de la asignación. La falta de entrega de información o compromisos de entrega, superior a cinco días hábiles, podrá implicar la suspensión de la auditoría, lo que se informará al CEO y al Comité de Auditoría.
- La falta de atención u omisiones al proceso de auditoría, así como la falta de entregas de información durante el proceso natural de la auditoría, podrán ser sujetas de sanciones o afectaciones en el desarrollo o remuneraciones de los ejecutivos responsables de las áreas auditadas. Dichas sanciones serán definidas por el Comité de Auditoría y el CEO de ________________.
Proceso de auditoría
- Previo al inicio de una revisión
- El DAI y/o el gerente responsable de coordinar la auditoría notificará(n), al director general de la subsidiaria y/o al director de área respectivo, la fecha de inicio, el proceso a revisar, el personal asignado y el tiempo estimado de revisión vía correo electrónico.
- El punto anterior no aplicará cuando la auditoría derive de un requerimiento expreso del CEO de ________________, el director general de la subsidiaria o el Comité de Auditoría. En ese caso, la notificación conforme al párrafo anterior se enviará al momento de la presentación física del personal asignado de la DAI.
- c. El gerente y/o el coordinador de la DAI desarrollará el programa de la auditoría definiendo el objetivo, el alcance, el cronograma del proceso de auditoría, los principales puntos de revisión y el equipo de auditoría, información que será presentada en la junta de arranque (kick-off) de la auditoría.
- Al inicio de la auditoría
- El gerente y/o el coordinador responsable de cada auditoría enviará(n) un requerimiento de información, que será enunciativo mas no limitativo, al responsable del área auditada o a la persona designada por éste.
- Las fechas de entrega de la información del requerimiento inicial no deberán ser superiores a tres días hábiles, atendiendo a que en su mayoría se trata de información histórica en resguardo del área auditada. Para casos específicos, la fecha será acordada por ambas partes, apegándose a lo indicado en el punto 13.
- Durante el desarrollo de la auditoría
- El personal asignado de la DAI mantendrá comunicación constante con los responsables del área auditada, con el fin de efectuar aclaraciones sobre las pruebas de auditoría realizadas.
- Es responsabilidad del CEO de la subsidiaria y/o de la dirección de área auditada mantenerse permanentemente informado sobre el cumplimiento en las fechas de entrega de la información requerida para la auditoría.
- El personal asignado de la DAI deberá recopilar evidencia suficiente y competente que soporte los hallazgos identificados durante el proceso de revisión, misma que será incluida en los papeles de trabajo de auditoría o en su caso documentar la ausencia de ésta.
- Los gerentes y el director del área auditada son los responsables de proporcionar toda la información solicitada, de aclarar cualquier duda generada y garantizar que se está revelando y proporcionando toda la información relacionada con los procesos auditados.
- Toda información entregada por las áreas auditadas se considera como definitiva sin que esto deba confirmarse.
- Cualquier información omitida por el área auditada no podrá ser considerada válida si se entrega en fecha posterior al cierre del trabajo de campo de la auditoría.
- En los casos en que la información requerida por la DAI no sea proporcionada por el responsable en el tiempo convenido, la revisión o prueba específica se podrá dar por concluida informando dicha situación al director del área auditada y se deberá reflejar la limitación al alcance dentro del informe final de auditoría. Cualquier entrega posterior formará parte del plan de remediación, elaborado en respuesta a los resultados de la auditoría.
- Cierre de la auditoría
Al término de la ejecución de las pruebas de auditoría, el personal de la DAI comentará las observaciones identificadas con el personal responsable de operar los controles y, en función del riesgo existente, con el ejecutivo responsable del proceso. Estos hallazgos formarán parte del borrador del informe e incluirán, en su caso, los comentarios que sean necesarios por parte de los auditados.
- Informe de la Auditoría
- El Informe de la Auditoría se integrará por un informe ejecutivo que contenga las observaciones relevantes identificadas durante la auditoría y un informe detallado con el soporte y explicaciones puntuales de cada observación.
- El informe ejecutivo presentará al final la conclusión en cuanto al estado general que guarda el control interno del área o proceso auditado.
- Los informes de las áreas de Auditoría Interna de las subsidiarias integrarán la calificación obtenida durante la auditoría realizada, así como la calificación de la auditoría previa como referencia.
- El informe detallado incluirá, además de las observaciones identificadas, la recomendación para reforzar el control interno y mitigar los riesgos. Esta recomendación siempre debe ser en consideración del dinamismo requerido por la operación propia del área auditada.
- Se incluirán en anexo los controles que hayan sido evaluados durante la auditoría y que se encuentren en la matriz de riesgo correspondiente al proceso o área auditada, incorporando el resultado conseguido previamente por el área de riesgos.
- La primera versión del informe será enviada al personal ejecutivo responsable (gerencia y/o subdirección) del área auditada para su revisión, que tendrá tres días hábiles para concertar una reunión o enviar sus comentarios. Transcurrido este plazo, el informe se considera aceptado.
- El informe será enviado vía correo electrónico en calidad de borrador para revisión de la direcciones de área involucradas para su revisión. Estas direcciones tendrán cinco días hábiles para solicitar las aclaraciones en redacción que consideren necesarias, en el entendido de que cada punto ya fue previamente validado con el personal ejecutivo a cargo de cada control y éstas no podrán ser modificadas en su esencia.
- Toda información adicional, no entregada durante el trabajo de campo, que sea presentada como resultado de la revisión de la dirección responsable, será considerada como parte del plan de remediación que se prepare en respuesta al Informe de la Auditoría, formalmente emitido, y no modificará el contenido del informe.
- Transcurridos los cinco días hábiles indicados en el punto 19 g, el informe será considerado como definitivo y firmado por el director de Auditoría Interna para su envío al director general de la subsidiaria y/o director de área, y al CEO.
- El área auditada tendrá un máximo de 15 días hábiles, a partir de la fecha de envío del informe definitivo, para remitir a la DAI su plan de remediación a las observaciones identificadas, el cual deberá considerar las fechas-compromiso, así como el nombre y puesto del personal responsable para la ejecución de las acciones a seguir para reforzar el control interno.
- El gerente y/o director de la DAI podrá(n) participar en la validación del control interno y propuestas incluidas en el plan de remediación, siempre y cuando no se exponga la independencia del área al asumir decisiones que correspondan al área funcional o efectuar actividades de ésta.
- Una vez presentado el plan de remediación, la DAI dará puntual seguimiento al mismo, luego de que haya sido alcanzada la fecha-compromiso establecida por el área auditada.
- El personal involucrado en la auditoría recibirá y deberá llenar la encuesta de salida y evaluar el proceso de auditoría, con el objetivo de mantener la mejora continua del área.
Informes y comunicados
- Mensualmente, la DAI presentará al Comité Directivo los avances en el plan anual, así como el estatus de los distintos planes de remediación y cualquier posible incidencia que pudiera haberse presentado durante las distintas asignaciones.
- Trimestralmente, la DAI presentará al Comité de Auditoría los planes de remediación que han superado la fecha-compromiso y no han sido implementados por la dirección correspondiente.
- Si como resultado de las auditorías se identifican irregularidades cometidas por el personal en beneficio propio, contrarias a lo establecido en el Código de Ética y Conducta y políticas de las empresas o que afecten al patrimonio de los accionistas, el DAI dará aviso al CEO de la subsidiaria correspondiente y, dependiendo de la gravedad de la situación, se dará aviso al CEO y al Comité de Auditoría de forma inmediata.
- La DAI reportará al Comité de Auditoría y al CEO de ______________, cuando menos trimestralmente, los resultados y avances de las actividades efectuadas para el cumplimiento del Plan Anual de Auditoría.
Otras actividades
- La DAI será responsable de la recepción, gestión y seguimiento a los reportes de incumplimiento al Código de Ética y Conducta recibidos a través de la Línea de Denuncia de _____________, apoyándose, en caso de ser necesario, en otras áreas conforme se establece en el Procedimiento y Protocolo de Atención de Reportes.
- La DAI apoyará al Consejo de Administración y al Comité de Auditoría en sus funciones de vigilancia de la eficiencia del marco de control interno, establecido por cada una de las empresas que integran a ___________ conforme se estipula en la Ley del Mercado de Valores.
Documentación generada
- Todos los papeles de trabajo producidos durante la auditoría y la documentación que soporta los hallazgos identificados deberán ser integrados en una carpeta electrónica, misma que se respaldará en un disco duro extraíble custodiado por la DAI.
- Trimestralmente, las gerencias de Auditoría Interna de las subsidiarias enviarán a las direcciones generales y operativas de las diferentes subsidiarias los indicadores con los resultados y tendencias de las asignaciones realizadas durante el periodo.
3. Conclusiones
Implementar una función de auditoría interna no es tema menor y requerirá un esfuerzo importante. No obstante, el resultado puede ser sumamente satisfactorio cuando la aceptación de esta función es buena por las demás direcciones. Ser auditor interno en una empresa es un privilegio y, en muchas ocasiones, un verdadero dolor de cabeza, pero siempre queda la satisfacción de estar sumando al futuro del negocio.
4. Referencias
Cortés, Noemí y Marín, Hiram (2022), “Comité de Auditoría” en Colegio Nacional de Consejeros Profesionales Independientes de Empresas, El Consejero Independiente y la Ética Empresarial.
Hernández, Cervantes y Patiño, 5 de enero de 2024, Aspectos ESG para considerar en auditoría interna, 2024, de Colegio de Contadores Públicos de México: https://www.contadoresmexico.org.mx/Boletin/aspectos-ESG-auditoria-interna
Instituto de Auditores Internos de España, abril de 2024, Puesta en marcha de un Departamento de Auditoría Interna, 2024, de Instituto de Auditores Internos de España: https://auditoresinternos.es/wp-content/uploads/2024/04/Fabrica-Pensamiento_Creacion-Dpto-AI_abril-2024_vf_OK.pdf
Rivero, Juan, 1.° de septiembre de 2024, Auditoría interna en el proceso de la cadena de suministro, 2024, de Veritas: https://www.veritas.org.mx/Normatividad/Auditoria/auditoria-interna-en-el-proceso-de-la-cadena-de-suministro
Rodríguez, Giselle, abril de 2016, Auditoría ética, herramienta para determinar el grado de madurez del programa ético institucional en una dependencia gubernamental de educación, 2024, de Universidad Veracruzana: https://www.uv.mx/mauditoria/files/2020/05/2016-Giselle-Rodriguez-Rudi.pdf
Sánchez, Gabriel y Marín, Hiram (marzo de 2019), El Comité de Auditoría [Archivo PDF]. https://www.contadoresmexico.org.mx/Biblioteca/pdf-privado/El-comite-de-auditoria
The Institute of Internal Auditors, 9 de enero de 2024, Normas Globales de Auditoría Interna, 2024, de TheIIA: https://www.theiia.org/globalassets/site/standards/editable-versions/global-internal-audit-standards-spanish.pdf
