Comentarios sobre la determinación del rating de los informes

Una mejor práctica aplicada por algunas Unidades de Auditoría Interna, es la de incorporar en sus informes un rating o semáforo con el que informar y resumir la gravedad/trascendencia de las conclusiones alcanzadas. Para ello se hace preciso disponer de un sistema de valoración, mediante el otorgamiento de una calificación homogénea,  tanto de la situación global del ente auditado, como específica de cada uno de los riesgos vinculados al mismo.

La valoración final del rating, que suele ser único en cada informe, no es más que la ponderación de los valores otorgados a cada uno de los subfactores que lo componen. 

Recientemente hemos tenido la oportunidad de conocer la metodología aplicada por la Unidad de Auditoría Interna de una gran empresa española, según la cual, la otorgación de los valores de cada subfactor se realiza con una puntuación entera de 0 a 100.

La escala aplicable estaba subdividida en los siguientes niveles:  

Obteniéndose, por ponderación de la valoración individual de cada subfactor, el rating agregado.

Con la finalidad de poder aportar algunas sugerencias a la Unidad de Auditoría que emplea esta metodología, y con el objetivo de que se puedan adoptar las decisiones precisas para que se posibilite a la áreas auditadas una mayor transparencia y detalle de la calificación asignada, así como complementar la visión que se derivará de los indicadores aplicados. Nos permitimos identificar, y proponer, algunas “oportunidades de mejora”. Que a continuación reproducimos:

1º) Que el sistema de puntuaciones aplicado lo considerábamos poco operativo, ya que el dato cuantitativo empleado, en realidad, se deduce de la valoración cualitativa concluida por los auditores sobre la situación del ente auditado, y no al revés, tal como señalaba el procedimiento.

Creímos más adecuado que se valoren los riesgos residuales según las  incidencias detectadas, dándole una calificación cualitativa (buena, mala, regular, ….) de la que se derivaría la cifra que finalmente se ponderase con el peso de cada uno de ellos establecido en la normativa. Agregando finalmente el valor asignado a cada uno de ellos; con lo que habremos estimado la probabilidad de ocurrencia de los riesgos.

(Esta forma de proceder permitirá, en la presentación de los resultados, justificar la puntuación finalmente deducida, partiendo de las valoraciones cualitativas de cada factor, según la situación observada, según la criticidad de las conclusiones/observaciones evidenciadas, según su frecuencia).

2º) Una vez ya evaluada la probabilidad del riesgo, según lo descrito en el punto anterior, consideramos oportuno que también se evalúe su severidad, es decir el impacto que produciría en el ente auditable la materialización de los riesgos, para lo cual estimamos oportuno que se debería considerar la entidad económica de dichos entes. Empleando para ello los indicadores que se entiendan oportunos, como por ejemplo: volumen de negocio, patrimonio, etcétera. Dando lugar a un segundo rating, que se debería añadir al actualmente existente, empleándose niveles, por ejemplo, tales como: 

Impacto financiero: Grave, de X millones de euros a Y millones de euros; Importante de Y millones de euros a Z millones de euros; Significativo, de Z millones a ….; Leve, de M a B miles de euros. 

3º) Por último, y considerando la posible falta de correlación que puede existir entre la importancia de los riesgos (impacto y probabilidad) y la “calidad” de la gestión realizada por los responsables de la actividad, consideramos conveniente que los dos rating anteriores se complementasen con un tercero que evalúe la eficacia de la gestión realizada. Para ello podría ser útil hacer un seguimiento sobre la evolución de determinados indicadores de desempeño que se ajusten a cada proceso auditado.

Este tercer rating creemos que es estrictamente necesario, ya que es el que intenta medir el grado de eficacia de la gestión realizada por los responsables del proceso/ente auditable, puesto que, como podemos observar en un ejemplo sencillo, un aspecto será la situación del enfermo (grave, pronóstico reservado, leve, etc) que es lo que miden los rating 1ª y 2º, y otro aspecto diferente es la calidad del tratamiento aplicado, que es lo que pretende evaluar el tercero de los rating, que consideramos necesario también medir; sobre todo si del rating de nuestros trabajos se pudieran derivar “bonus” o “retribuciones variables por desempeño”.

4º) En cualquier caso, y como medida de prudencia, también entendimos oportuno comentar que, de considerarse aprovechables estas ideas, se debería profundizar en su desarrollo, difundiendo su aplicación entre los ámbitos gerenciales correspondientes, solicitando su opinión sobre la oportunidad de aplicarlas.

En el mismo sentido, y de compartirse lo señalado, antes de aplicarlo, creo que deberíamos explicar su necesidad y metodología, sobre todo porque una cosa es la situación del enfermo, y otra muy distinta la profesionalidad del facultativo.

Madrid, octubre de 2013    

Nuevas reflexiones sobre la recomendación de las rotaciones de los auditores

Entre las recomendaciones que se han presentado a la Unidad de Auditoría Interna de la Organización que se ha sometido recientemente a la evaluación externa periódica recogida en la Norma 1312, se ha recogido la correspondiente a la conveniencia de someter a su equipo de auditores a una dinámica de rotaciones, ya que, como mejor práctica, así está reconocida por el Instituto.

Ante esta recomendación, que era asumida por el responsable de Auditoría Interna como muy favorable, pero dado que su implantación no podía ser decidida por él, ya que era algo que debía ser aprobada por el área de Recursos Humanos, al afectar a otras unidades de la Compañía, se solicitó que aportásemos razones suficientes para poder justificar los beneficios que de esta práctica podrían derivarse y,  así, fortalecer el proyecto. Al tiempo que se nos demandaba opinión sobre las distintas formas de aplicar estas rotaciones.

Antes de entrar a valorar los posibles modelos que podrían aplicarse al proyecto, entendemos conveniente argumentar que, como en toda decisión empresarial, la rotación conllevará oportunidades y riesgos. Debiendo aceptarse esta operativa siempre que las oportunidades superasen a los riesgos o costes de su aplicación.

Adicionalmente, y como descripción del contexto en el que desarrollamos nuestra actividad, se entendió oportuno aportar alguna referencia que, aunque referida a los auditores externos, entendemos es también aplicable a los auditores internos:

En ese sentido, y como ya hemos tenido oportunidad de comentar en este blog,  la postura que la Unión Europea ha adoptado es clara y viene recogida en su Libro Verde, con el título “Política de auditoría: lecciones de la crisis”, incidiendo en la conveniencia de la rotación obligatoria, ya que considera que:  “las situaciones en las que una empresa lleva décadas nombrando a la misma sociedad de auditoría interna parecen incompatibles con las normas que sería deseables en materia de independencia. Por mucho que los principales socios auditores roten con regularidad, conforme establece actualmente la Directiva, todavía persiste la amenaza de familiaridad.

En este contexto habría que plantearse la rotación obligatoria de las sociedades de auditoría y no de los socios auditores.” Conclusión que, en nuestro caso, debiéramos equiparar con los “equipos” de auditoría, dado que los argumento esgrimidos son válidos a nuestra actividad.

 

En todo caso debemos admitir que la posibilidad de rotar a los auditores internos  dependerá, aparte de la voluntad y oportunidad de actuar de esta manera, de otras circunstancias, como por ejemplo: la dimensión de la Unidad de Auditoría; de su estructura, ya que si fuese descentraliza habría más oportunidades de practicar la rotación; o si se emplea o no el outsourcing; o si en su  organigrama figurasen diversos equipos según la especialidades u ámbitos de actuación, etcétera. Aspectos que entendíamos  sí se cumplían en la División de Auditoría evaluada.

Centrándonos en las ventajas que conlleva este proceso, entendemos que las rotaciones intra-departamentales de la División de Auditoría comportarán las siguientes ventajas:

a) Incrementar el conocimiento multidisciplinar de los miembros de la División, lo que posibilitará identificar en ellos los ámbitos de actuación más acordes con sus aptitudes y actitudes.

b) Hacer más equitativa la distribución de las ventajas/inconvenientes de actuar profesionalmente en un determinado área de la División de Auditoría, con lo que mejoraríamos el clima laboral (posibilidades de viajar, conocimiento más amplio del negocio y del Grupo, mejorar su empleabilidad, por ejemplo)

c) La rotación en los equipos de trabajo adscritos a las distintas áreas, permitirán que, de existir hábitos no adecuados en la forma de atender los desarrollos de los trabajos, estos puedan ser evidenciados y corregidos con la incorporación de nuevos recursos.

d) En la ejecución de trabajos reiterativos, la actuación periódica de los mismos equipos de trabajo sobre los mismos procesos o entes auditables, podrían ocasionar una cierta falta de entusiasmo para incidir sobre nuevos aspectos auditables, ya que de ello se podrían observar malas prácticas de actuaciones previas.

e) Adicionalmente la permanencia de los auditores en un mismo área, podría generar empatía con los auditados, afectando a su objetividad.

En cuanto a la rotación entre Auditoría Interna y el resto de los Departamentos de la Organización, ésta puede contemplarse en dos niveles: el temporal y el definitivo.

La rotación con salida permanente debería ser una práctica habitual de todas la Unidades de Auditoría Interna, ya que ello supondría materializar la posibilidad de convertir a las Unidades de Auditoría Interna en “vivero” de ejecutivos, o de responsables en las áreas operativas, lo cual nos permitirá ampliar el Plan de Carrera de los auditores, al abrirse las posibilidades de promoción.

En lo que se refiere a la rotación temporal, la cual entendemos como más recomendable en la incorporación de nuevos recursos a la División de Auditoría procedentes de ambientes ajenos a la Organización.  Con este colectivo, la idea es que durante un periodo de varios meses, estos nuevos apoyos se incorporen a unidades operativas y administradoras de riesgos relevantes, de forma que puedan acceder a las prácticas de gestión empleadas, lo que mejoraría su conocimiento sobre la forma de desarrollar dichos procesos. Transcurrido el periodo temporal que se establezca, retornarían a Auditoría Interna con los conocimientos ya adquiridos, con lo que se podrán incorporar a los equipos de trabajo aportando un mayor valor.

Adicionalmente a esta rotación temporal focalizada en los nuevos ingresos, consideramos que podría ser útil el que los auditores ya consolidados en la Unidad, y que: ante cambios regulatorios, nuevas incorporaciones al perímetro societario, modificación de procedimientos de gestión empleados por las distintas áreas, etcétera, con el objetivo de entender las nuevas realidades, se podría pensar en adscribir temporalmente en esos entornos a diversos auditores que colaboren con las unidades afectadas, interiorizando los detalles de las nuevas realidades, lo que les permitiría un conocimiento más exacto de los procedimientos aplicados, posibilitando en análisis más riguroso y exacto de los mismos, lo que abriría mayores oportunidades de hacer recomendaciones de mejora más eficaces.

Por todo lo anterior, consideramos que la rotación de los auditores es una necesidad y una oportunidad que deberemos aplicar para seguir mejorando la capacitación de lo recursos de nuestras unidades, pero también como una forma de poder mejorar las expectativas profesionales de nuestros colaboradores.

Pero antes de acabar, nos surge una duda, esta rotación de auditores, interna y externa hacia otras áreas de la Organización, ¿no debería complementarse/compensarse con una rotación de los empleados de esas Unidades operativas hacia Auditoría?.

La respuesta es muy sencilla, si la ubicación en áreas ajenas a nuestra propia función, tiene como objeto el que podamos interiorizar, comprender y asimilar las prácticas de gestión en donde nos ubiquemos de forma provisional, el que ajenos a Auditoría Interna conozcan nuestros procedimientos de gestión, para después retornar a sus puestos de trabajo habituales, entendemos que no es lo apropiado, ya que su presencia en Auditoría, les habrá permitido, como la nuestra en sus departamentos, conocer las debilidades que existan en el desarrollo de la función. Lo que dicho de forma muy coloquial, sería como “darle armas al enemigo”. Por tanto rotundamente no, en mi opinión.

Esperando que estas ideas puedan ser consideradas aplicables, quedamos a vuestra disposición para ampliar, o aclarar, los comentarios realizados.

Un abrazo.

Madrid, 10 de octubre de 2013

Con quién debemos coordinarnos los auditores.

Un aspecto básico con el conseguir la deseada eficiencia de las actividades empresariales, es la coordinación que debe existir entre ellas, de forma que se complementen y apoyen, aprovechándose mutuamente del esfuerzo y resultados de sus respectivas actividades, evitando duplicidades y eliminando “tierras de nadie” que, por una u otra causa, impidan una adecuada cobertura de los distintos procesos empresariales. 

Esta adecuada coordinación entre actividades, se asemeja con una “carrera de relevos”, en la que cada corredor cumple con su tramo de la carrera, entregando el “testigo” al siguiente atleta para que continúe su marcha hacia la meta final. El éxito no solo dependerá de lo veloces que hayan sido los participantes, sino también de la sincronización que exista en la entrega de los “testigos”.  

Por ello, y como ya hemos tenido oportunidad de comentar previamente en otros artículos, en la actividad de las Auditorías Internas es imprescindible, como se recoge en la Norma 2050, Coordinación, que el responsable de la Unidad  comparta información y coordine actividades con otros proveedores internos y externos de servicios de aseguramiento y consulta. 

Entre los proveedores de aseguramiento existentes en las Organizaciones, desde mi punto de vista hay uno que entiendo es fundamental para nuestra función: el responsable de la Gerencia de Riesgos de la empresa. Pero no solo por lo que su actividad pueda ayudar/orientar al trabajo de las Unidades de Auditoría Interna, sino también en sentido inverso desde la perspectiva de lo que las conclusiones de los trabajos de auditoría les aportará a las Gerencias de Riesgos.

Resulta evidente que la existencia de los mapas de riesgos levantados por la Gerencia de Riesgos es una información muy útil para la actividad auditora, puesto que facilitan, en base a la información en ellos recogidos, la selección de los entes auditables que entendamos oportuno acometer en un futuro inmediato. Pero también, en sentido contrario, que los resultados de los trabajos de auditoría interna resultarán básicos para el Gestor de Riesgos, dado que nuestras conclusiones, debidamente soportadas confirmarán, o en su caso cuestionarán, las valoraciones que sobre los riesgos auditados manejase la Organización según el Sistema de Gestión de Riesgos aplicado, corrigiéndose los errores que se hayan detectado.

Esta interacción: Auditoría Interna versus Gerencia de Riesgos, la entendemos imprescindible para conseguir una  eficiente y simultanea optimización de ambas actividades, pues no debemos ignorar que son complementarias, como señala el modelo de las tres líneas de defensa, en el que el Gestor de Riesgos es una segunda línea, mientras que nosotros, los auditores, estamos ubicados en la tercera línea.

No obstante esta evidente necesidad de coordinación y apoyo mutuo, no siempre es reconocida y ejercitada, pues no es extraño que ambas unidades dentro de las Organizaciones se puedan observar como rivales de la evaluación de los riesgos. Lo cual es un grave error.

En mi opinión no debiera existir tal rivalidad, pues ambas actividades tienen un rol diferente, pero complementario dentro del Sistema de Gestión de Riesgos. El Gestor de riesgos levantando los mapas de riesgos e interrelacionándolos con los procesos, a fin de determinar los que pudieran estar más amenazados y resultar susceptibles de afectar a la consecución de los objetivos empresariales, propiciando así la concreción de los “apetitos de los diferentes riesgos” por parte de la Gerencia, así como recabar y gestionar la adopción de las medidas que se consideren pertinentes para reconducir dichos riesgos a la zona de tolerancia establecida, las cuales deberán estar recogidas en los planes de acción que deberían solicitar a los responsables de dichos procesos críticos. Planes de acción que deben ser compartidos con Auditoría Interna, a fin de que esta pudiese valorar la suficiencia de los mismos, así como la eficacia/eficiencia de los controles previstos incorporar en los procesos previamente cuestionados.

Por su parte Auditoría Interna debe compartir con el Gestor de Riesgos, como parte interesada en el  conocimiento de las conclusiones y planes de acción decididos por el propietario de los procesos auditados, la parte de los informes que les afecten, a fin de que puedan actualizar convenientemente los mapas de riesgos de la organización, así como conocer los controles que se pretendan introducir/mejorar en los procesos críticos auditados.

Para que esta colaboración sea posible, entendemos que lo primero que debería hacerse es plantear abiertamente esta colaboración mutua, identificando las actividades a desarrollar por cada una de ambas Unidades, y describiendo detalladamente el proceso de actuación; el cual deberíamos someter a la aprobación del Comité de Auditoría para que lo sancionara, y le diera carácter de oficialidad que el mismo precisa.

En mi opinión, no existen razones para que no exista entendimiento, pues ambas unidades buscamos lo mismo, la mejora de la gestión de los riesgos y los controles de la Compañía; somos compañeros de viaje, no rivales.

Espero que se compartan estas reflexiones, y que su aplicación práctica permita mejorar el funcionamiento de la Unidad de Auditoría interna, y la del Sistema de Gestión de Riesgos.

Madrid, 29 de septiembre de 2013

Hasta dónde hemos interiorizado, y aplicado, las nuevas herramientas de Auditoría.

Para los que seguimos el Marco Internacional para la Práctica Profesional de Auditoría Interna como orientador de las actividades de la función auditora, tenemos claro que, la evaluación de los riesgos, es un aspecto fundamental para el desarrollo de nuestra actividad, puesto que, con él podremos incidir en dos de sus aspectos trascendentes: en primer lugar en la determinando de forma eficiente del contenido del Plan de Auditoría Interna que propongamos para su aprobación a la alta dirección y al Comité de Auditoría, pero también para guiar el desarrollo de nuestros trabajos dentro del capítulo correspondiente al aseguramiento. Es por tanto una herramienta básica y de “obligado” empleo. Recordemos en este sentido lo señalado por las Normas 2010 y 2120, fundamentalmente.

Recientemente he tenido la oportunidad de participar en una encuesta realizada a los asistentes de un seminario realizado en Colombia sobre el tema: La administración de Riesgos: Herramienta de gestión empresarial y de Auditoría Interna. Cuyas conclusiones me gustaría compartir, debido a lo interesante de sus respuestas, puesto que, como reflejamos en la figura con la que ilustramos estas líneas, entiendo que nos facilitarán el camino para alcanzar los objetivos fijados.

Obviamente el resultado de esta muestra, en principio, solo debería ser extrapolable a ese entorno de empresarial, el colombiano, pues incluye la opinión de profesionales de: Bogotá, Cali, Medellín, Barranquilla, Cartagena de Indias, y un largo etcétera. Si bien, en mi opinión, también creo que refleja el ambiente de trabajo de otros muchos ambientes organizacionales, tanto en Iberoamérica, como en otras latitudes a este lado del Atlántico.

Las  preguntas que se incluyeron en la encuesta fueron:

a) Considera que lo expuesto en el seminario puede tener fácil aplicación en su empresa.  Para el 87,5% de los asistentes sí sería aplicable, para el 12.5% no lo sería.

b) Si la respuesta había sido un SÍ, se preguntaba posteriormente si se consideraba entonces factible su próxima implantación. Para el 15% que entendieron que podría ser viable su implementación, enunciaron dificultades para que lo fuese de inmediato. Los motivos:

Inexistencia de una cultura organizacional de control interno adecuada, principalmente; así como la falta de involucración de la gerencia, pues faltaría convencerles sobre la necesidad de aplicar esta metodología.

c) Para los que respondieron afirmativamente a la primera pregunta, y no expusieron dificultades que impidieran su próxima implantación, se les requirió para que señalaran, cuales, no obstante, entendían serían los obstáculos de deberían ser superados. Aquí las repuestas abarcan un número considerable de circunstancias, que seguidamente enunciamos por orden de número de redundancia, mayor a menor:

1. Receptividad de la organización.
2. Elaboración de los Mapa de Riesgos.
3. Determinación de los KRI.
4. Dotaciones presupuestarias. Más recursos financieros y humanos.
5. La involucración decidida de la Gerencia General y del Comité de Auditoría.
6. Identificación de los riesgos significativos para determinar el Plan Anual de Auditoría.
7. Levantamiento y documentación de los procesos y los procedimientos.
8. Capacitación del personal actual de la Unidad de Auditoría Interna (UAI)
9. Cambio cultural de forma que se decida y actúe en base a la gestión de riesgos. Compromiso y colaboración de todas las gerencias
10. La eliminación de actuales actividades de control asumidas por la UAI, de forma que se liberen recursos para aplicar a esta nueva metodología
11. La falta de coordinación con el Gestor de Riesgos de la Organización.

d) Con independencia de los obstáculos que pudieran afectar a la aplicación de estas nuevas herramientas, se preguntaba qué parte considera Vd. de lo compartido en el seminario tendría mayor utilidad para su organización. Siendo las respuestas las siguientes, de acuerdo con el orden en el que aparecen reflejadas:

1. Aplicación de Indicadores de Riesgos Clave (KRI´s).
2. En la determinación de un Plan de Auditoría más eficiente.
3. Elaboración de los Mapas de Riesgos
4. Implementación del Sistema de Gestión de Riesgos.
5. Documentar las estrategias empresariales e informar de ellas a la UAI.
6. Ampliar el Plan de Auditoría de forma que incorpore las solicitudes de la alta dirección y el Comité de Auditoría, así como los recursos necesarios para atender imprevistos.
7. La búsqueda de la necesaria coordinación entre el responsable del Sistema de Gestión de Riesgos y el DAI.
8. El concepto de “apetito al riesgo”.
9. La participación activa del Comité de Auditoría y de la alta dirección en la evaluación de los resultados de la actividad de la UAI.
10. Los principios sobre control interno recogidos por la Superintendencia Financiera Colombiana, relativos a: Autocontrol, Autorregulación y Autogestión.

e) Por último se preguntaba también si, de estar ya empleándose algún Sistema de Gestión de Riesgos y/o metodologías de determinación del Plan de Auditoría en base a riesgos. ¿Qué aspectos de los temas tratados en el seminario, consideraban que deberían ser tenidos en consideración para seguir avanzando en el desarrollo de estos  dos procesos?. Las respuestas por orden de mayor a menor reiteración fueron:

1. El análisis previo de los riesgos para definir el ranking de los mismos según su criticidad, y amenaza a los objetivos empresariales.
2. El empleo de Indicadores de Riesgos Clave.
3. El empleo de herramientas informáticas desarrolladas.
4. Interrelación de los riesgos con los procesos, a fin de seleccionar los procesos más relevantes para la organización.
5. La aplicación de los resultados del proceso de Gestión de Riesgos, con los que alimentar y determinar el Plan de Auditoría Interna en base a riesgos, aumentando su eficiencia.
6. El seguimiento de las recomendaciones a incluir en el Plan de Auditoría.
7. La cultura de control interno a trasladar a toda la organización.
8. Trabajar con la referencia obligada del apetito al riesgo.
9. La necesaria consolidación del Comité de Auditoría como garante de la supervisión del control interno.
10. La necesaria coordinación entre el responsable de la Gestión de Riesgos y el DAI.
11. La incidencia sobre la eficacia y eficiencia de los controles existentes en los procesos empresariales. 

Como vemos, las opiniones han sido muy variadas, pero creo que podríamos sacar un común denominador de ellas, y concluir que los asistentes al seminario entendieron como prioritario para poder progresar en estas dos mejores prácticas de gestión, tanto empresarial, como del proceso auditor, para poder asegurarnos que, como condición sine qua non fijada por el IIA, atendemos la relevancia e importancia de los siguientes aspectos:

A) Una adecuada cultura organizacional sensible con el establecimiento de un entorno de control interno adecuado.

B) Involucración y compromiso decidido de la alta dirección y el Comité de Auditoría en la consecución de la meta anterior.

C) Descripción previa de los procesos empresariales donde se puedan identificar los riesgos y los controles que estén presentes en ellos.

D) Una adecuada coordinación, y apoyo mutuo, entre el Gestor de Riesgos y el DAI.

E) Suficiente dotación de recursos, no solo humanos, sino adicionalmente financieros y de sistemas de información.

Entiendo que estas conclusiones pueden ser útiles para aquellas organizaciones que estén pensando en dar el salto hacia un sistema de gestión empresarial en base a riesgos, o implementar un Plan de Auditoría en base a riesgos, en cuyo proyecto las UAI tienen un campo de actuación con mucho protagonismo, asesorando y tutelando la forma de diseñarlo e implementando. Espero que sea visto de esta manera, para así poder asegurar que estamos atendiendo lo que es el slogan del Instituto de Auditores Internos España, cuando cita como meta propia la de: Progresar compartiendo.

Jesús Aisa Díez

22 de septiembre de 2013

Plan de Auditoría en base a riesgos

Después de unas pequeñas vacaciones de verano, y de atender algunos compromisos, vuelvo a retomar la atención del blog, que espero poder mantener de forma continuada.

Para comenzar esta nueva etapa, quisiera comentar un aspecto que creo  significativo, cual es la determinación del Plan de Auditoría en base a riesgos, y la coherencia de nuestras decisiones con respecto de la información contenida en los mapas de riesgos institucionales derivados del Sistema de Gestión de Riesgos (SGR) de la organización en la que desarrollemos nuestro trabajo.

Si repasamos las Normas del IIA, nos encontramos con que, la 2010, nos indica que: El director de auditoría interna debe establecer un plan basado en riesgos, a fin de determinar las prioridades de la actividad de auditoría interna. Dichos planes deberán ser consistentes con las metas de la organización. Incorporando como interpretación de este requerimiento que: Para actuar según lo expresado, el director de auditoría interna debe tener en cuenta el enfoque de gestión de riesgos de la organización, incluyendo los niveles de aceptación de riesgos establecidos por la dirección para las diferentes actividades o partes de la entidad.

De donde se deduce que Auditoría Interna debe tener una interacción directa y continua con el área de Gestión de Riesgos, que siendo el responsable de desarrollar el SGR, le corresponde elaborar el mapa de riesgos residuales que se adecue a los niveles apreciados respecto de las amenazas que incidan sobre los objetivos estratégicos y operativos de la empresa.

En estos mapas de riesgos aparecerán representados dichas amenazas, de acuerdo a la valoración de sus dos atributos básicos, impacto y probabilidad, que es la información que debe servir de base de trabajo de auditoría interna a la hora de definir sus próximas actuaciones.

Hasta aquí creo que todos estamos de acuerdo, pero la cuestión básica es, cómo aplicamos esta información. Me explico.

Supongamos que en el mapa de riesgos aparecen algunos de ellos situados en el cuadrante superior derecho, es decir los que se situarían en la zona roja de la figura.

Es evidente que esos riesgos no están bien controlados, por lo que los procesos en los que estos se manifiesten podrían ser candidatos a ser incluidos en el Plan de Auditoría. Pero, permítaseme plantear una duda, de forma directa o después de alguna actuación previa por parte de los responsables de dichos procesos.

En mi opinión, esos procesos en forma directa no deben ser incorporados al Plan de Auditoría, ya que, si la organización ha determinado que esos riesgos están mal gestionados, lo lógico y procedente es que el Gestor de Riesgos se dirija a los propietarios de los procesos afectados por dichos riesgos, solicitándoles confeccionen e implementen un plan de acción con el que reconducir la situación de esas amenazas, hacia el entorno del apetito al riesgo que se haya considerado viable con la consecución de los objetivos empresariales. Planes de acción que sí deben ser conocidos por Auditoría Interna a fin de evaluar la adecuada suficiencia de las medidas implementadas. Siendo,  a partir de ese momento cuando, en mi criterio, deberíamos considerar la conveniencia de supervisar dichos procesos, verificando la eficiencia y eficacia de los controles recientemente implementados, reevaluando la importancia del riesgo.

Incluir esos procesos en el Plan de Auditoría sin haberse realizado el plan de acción antes comentado, no aportará nada, ya que único que podremos verificar es que la situación es crítica y que urge actuar. Bueno, pero eso ya lo sabíamos según el dictamen del propio SGR desarrollado por la organización.

Sin embargo, y en sentido contrario, Auditoría Interna sí debería preocuparse de los procesos relevantes de la entidad en los que existan riesgos estimados como medios o bajos, ya que, una mala evaluación de los mismos pondría en cuestión los objetivos, ya que, la posible materialización de esas amenazas tendría unas repercusiones mayores que las previstas. Por lo que se hace recomendable que en el Plan de Auditoría Interna se incluyan dichos procesos como entes auditables, supervisando la bondad de la evaluación de los riesgos. Pues no debemos olvidar que somos la tercera línea de defensa.

Creo que si se actúa de la forma que hemos descrito estaremos aportando verdadero valor a las entidades en las que actuemos, por lo que ánimo a que se valore la oportunidad de trabajar en línea con estos planteamientos, siempre que se esté de acuerdo con ellos.

Jesús Aisa Díez

18 de septiembre de 2013

Riesgo inherente versus riesgo residual. Cómo se evalúan.

Hace unos días recibía en mi correo electrónico una pregunta que me parece muy oportuna compartir, pues creo que la duda que planteaba podría repetirse entre algunos auditores que estén interesados en la aplicación de modelos de gestión de riesgos. La pregunta concreta se refería a si existía alguna diferencia en la forma de evaluar los riesgos inherentes y los residuales.

La respuesta es negativa. No existe ninguna diferencia en la forma de cuantificar la importancia de los riesgos, aplicándose, según los modelos tradicionales recogidos por COSO, ISO 31.000, AS/NZ 4360, e innumerables otros protocolos de uso generalizado,  a través de dos de sus atributos: la probabilidad de ocurrencia y el impacto.

Y ello es así porque ambos tipos de riesgos solo se diferencian en el nivel de control que pueda estar aplicándose en los procesos en los que estos se visualizan, pues mientras que la valoración del riesgo residual pretende estimar la importancia efectiva de la gravedad de la amenaza que estemos cuantificando, de acuerdo con las medidas correctoras que ya se estén aplicando; en la evaluación del riesgo inherente lo que se pretende es apreciar la importancia de las hipotéticas amenazas en ausencia de cualquier tipo de control. Es por tanto una valoración que no se corresponde con una situación existente, sino una simulación de la misma si no hubiésemos aplicado los controles que estemos aplicando.

Entendida la diferencia entre ambos conceptos, surge ahora una nueva pregunta. Si el riesgo inherente no responde a situaciones reales, ¿cuál es su utilidad, para qué sirve?

Desde mi punto de vista, creo que el incidir sobre los riesgos inherentes pretende objetivar la identificación de las distintas amenazas que puedan afectar a las metas empresariales, pero de la forma más exhaustiva y extensa posible, y desde una perspectiva teórica, de manera que en el mapa de riesgos que construyamos estén representados todos aquellos peligros que pudieran afectar a los procesos empresariales. Es decir, lo que se derivaría del análisis de los riesgos inherentes es la seguridad de que estemos contemplando todas las amenazas que podrían interferir en el resultado de los objetivos empresariales. Amenazas que deben estar debidamente gestionadas, para lo cual resultará necesario dar un salto y pasar a  estimar la situación real de estos riesgos, a través de la cuantificación de los riesgos residuales en los procesos empresariales. 

Para ello, una vez identificados y valorados todos los riesgos inherentes, debemos ubicarlos en los procesos donde se puedan materializar, pero, ahora sí, considerando los controles ya existentes, lo que nos permitirá recalcular el impacto y la probabilidad de ocurrencia esperada por dichos riesgos en los procesos considerados, ordenándolos por su criticidad en función de su alejamiento respecto de la tolerancia al riesgo que se haya fijado, adoptando posteriormente las medidas correctoras que correspondan.  

Esta forma de proceder es fundamental para la actividad auditora, puesto que nos permitirá posicionarnos objetivamente, y sin la influencia de la opinión subjetiva de los gestores respecto de la situación por ellos estimados sobre los procesos,  decidiendo por nuestra parte cuales de ellos son los que debemos auditar para verificar que los controles realmente aplicados sitúan a los riesgos dentro de la zona de tolerancia que se haya establecido.  

En resumen, los riesgos inherentes reflejan una situación irreal, la que se derivaría de la inexistencia de cualquier tipo de control, lo que permite identificar en forma amplia todas las amenazas que, desde una visión teórica, podrían interferir en la consecución de los objetivos de la organización.

Jesús Aisa Díez

24 de agosto de 2013