El proceso auditor tiene, como cualquier otro proceso
empresarial, varias fases, debiendo ser atendidas y revisadas convenientemente
para asegurar que se alcancen los objetivos perseguidos. En el caso de las
auditorías internas el objetivo es el garantizar razonablemente el grado de
eficiencia del control interno existente
de las Organizaciones en las que trabajemos.
En su inicio, parece claro que las auditorías nacen cuando
se decide incluirlas en el Plan Anual de Auditoría, desarrollándose
posteriormente con su planificación, programación, trabajo de campo, reuniones
con los auditados, etcétera.
En este punto nos surge una primera duda, cómo de amplio es
este etcétera, hasta dónde alcanza.
Parece evidente que en el extremo del final del proceso
auditor esté la fase de preparación y envío del informe en borrador, el
análisis de los comentarios recibidos de los auditados, y la
confección-distribución del informe final, en el que, necesariamente, debe
incluirse el plan de acción asumido por los responsables del ente auditado,
conteniendo asimismo la identificación de los encargados de realizar las
acciones correctoras estimadas necesarias, y las fechas estimadas de
realización.
Si nos atenemos a lo recogido por el Marco Profesional para
la Práctica Profesional de la Auditoría Interna, que como sabemos, es el “libro
de cabecera” de los auditores internos al encontrarse en él recogidas las
pautas de actuación que no son de aplicación, observaremos que en la Norma
2500, Seguimiento del Progreso, se señala que: El director de Auditoría interna debe
establecer y mantener un sistema para vigilar la disposición de los resultados
comunicados a la dirección. Aclarándose este requerimiento en el sentido de que: el
director de auditoría interna debe establecer un proceso de seguimiento para
vigilar y asegurar que las acciones de la dirección hayan sido implantadas
eficazmente, o que la alta dirección haya aceptado el riesgo de no tomar
medidas (N. 2500. A1).
En base a lo cual estimamos que, en principio, un informe
de auditoría no estaría acabado hasta que no esté implementada la última de las
recomendaciones recogidas en el informe final, y se haya confirmado la eficacia
de las recomendaciones sugeridas o, en su defecto, haber sido desestimadas por
la alta dirección.
Por estos principios de actuación, los Planes anuales de
Auditoría deben contemplar las acciones necesarias para verificar el grado de
atención real a las recomendaciones de las auditorías previamente realizadas,
actuando de forma selectiva en función del riesgo y de la exposición al mismo,
ya que no resultará posible supervisar todas las recomendaciones emitidas con
anterioridad.
En este contexto, una sugerencia que suele ofrecerse a la
Unidades de Auditoría Interna que se someten a evaluaciones externas de
calidad, es la de buscar la necesaria pro-actividad de las áreas auditadas,
requiriendo su compromiso de informar a aquellas del avance de la
implementación de los planes de remediación aceptados, de forma que, al
cumplirse el plazo previsto, los responsables de los procesos susceptibles de
mejoras informen a Auditoría de la situación existente y, en su caso, de los
motivos de los incumplimientos y las reprogramaciones necesarias. De esta
forma, si una acción está reconocida por los propietarios de los procesos como
no implantada, no se hace preciso la verificación del estatus real por
auditoría, reservando nuestras actuaciones para los casos en los que se nos
haya confirmado la atención de las mejoras recogidas en los planes de
acción.
De acuerdo con esta dinámica, cuando se efectúe la
verificación de la situación verdaderamente existente por parte de Auditoría,
nos podemos encontrar con que la misma responde a la información aportada por
los propietarios de los procesos, que entendemos será la situación más
probable, pero también será posible que nos encontremos con que la información
aportada previamente haya sido inexacta, en cuyo caso procedería informar a la
Comisión de Auditoría sobre este conflicto, a fin de que se adopten las medidas
correctoras que procedan, pues no solo se habrían incumplido los compromisos
asumidos, sino también probablemente habrá existido voluntad de confundir.
Aspectos que entendemos se deben aclarar con la mayor prontitud posible.
En este contexto, una buena práctica que Auditoría Interna
debería sugerir, tanto a la alta dirección de la Organización, como a la
Comisión de Auditoría, es la posibilidad de vincular los “bonus” a los gestores, al
grado de atención a las recomendaciones asumidas por ellos en los planes de
acción derivados de los informes de auditoría a los que se hayan visto
sometidos.
Por consiguiente, la respuesta a la pregunta con la que
encabezamos estas líneas sería que: Una auditoría solo estará concluida cuando
se hayan implementados todas las recomendaciones incluidas en los Informes, y
adicionalmente hayamos comprobado que la eficacia que de ellas se esperaba, se
está alcanzando.
Por tanto si esto fuese así, entendemos que esta conclusión
debería guiar nuestras actuaciones, a fin de poder incrementar el auténtico
valor que aportemos a las Organizaciones, pues no debemos olvidar que “el papel
lo aguanta todo”.
Un abrazo
