¿Por qué evaluaciones de calidad de las auditorías internas?

De acuerdo con el Marco Internacional para la Práctica Profesional de Auditoría Interna, según su Norma 1.300, se hace preceptivo que las Unidades de Auditoría Interna desarrollen y mantengan un programa de aseguramiento y mejora de la calidad que cubra todos los aspectos de la actividad de auditora.

Dicho programa se debe materializar a través de dos enfoques diferentes, uno interno y otro externo. El interno incluye evaluaciones continuas y otras periódicas. Siendo las continuas las que se preocupan de analizar el día a día del desempeño de la función, en tanto que las periódicas se orientan a supervisar el cumplimiento de la definición de auditoría interna, de las Normas  y los respectivos Códigos de Ética.

Por lo que respecta a las evaluaciones externas, éstas se ocupan de verificar, desde una visión independiente a la organización, si las conclusiones de las evaluaciones internas son acertadas, y si la opinión de las partes interesadas, así como la supervisión de los procedimientos, políticas y las actuaciones de la Unidad de Auditoría confirman la opinión interna sobre el cumplimiento de los requerimientos del Marco citado.

En base a lo que hemos indicado surge ya una primer diferencia con las evaluaciones de calidad que siguen el esquema de la ISO 9001, pues, como bien sabemos, ISO certifica en calidad a aquellas organizaciones que  tienen desplegado un sistema de mejora continua, que siga sus pautas, y en las  que su objetivo sea avanzar en la  consecución de las expectativas de los clientes, internos y externos, pero sin que el valor absoluto observado sea determinante para la conclusión de la evaluación, puesto que lo que se requiere es que se apliquen los procedimientos normativos que permita progresar en la búsqueda del cumplimiento de las expectativas de los clientes.

Sin embargo, las evaluaciones de calidad que siguen los protocolos del Instituto de Auditores Internos, se preocupan en conocer el grado de atención de las expectativas de los clientes internos y externos, así como de la atención de los requerimientos del Marco, calificando de favorables sus evaluaciones solo cuando el resultado de ese “examen” sea positivo.

Esta diferenciación es determinante, pues las Unidades de Auditoría, desde la perspectiva de la Norma 1.300 ya citada, exclusivamente se certificarán si disponen de un grado de calidad que supere un determinado nivel, medido este desde la perspectiva del cumplimiento de las Normas y a haber alcanzado un grado de satisfacción de sus clientes adecuado.

En este sentido, y como una mejor práctica de los reguladores que velan por las buenas actuaciones en el ámbito del control interno, podríamos citar el ejemplo de la Superintendencia de Banca, Seguros y AFP Peruanas, SBS, ya que su reglamentación no solo exige la existencia en las organizaciones por ella reguladas (las del sistema financiero) de Unidades de Auditoría Interna, sino que, adicionalmente, y antes de que acabe el presente año 2014, según su Circular G.161-2012, exige que dichas Unidades de Auditoría Interna (UAI) , se sometan a evaluaciones externas según la Norma 1.300. 

Es evidente que la decisión de requerir esta evaluación externa persigue un claro objetivo, el que las citadas UAI no sean algo estético que cumpla exclusivamente una exigencia legal, sin que su operativa atienda a los requerimientos de fiabilidad, eficacia y eficiencia que debe esperarse de nuestra labor auditora.

Este objetivo, que esperamos redunde en la aportación real del valor que se derive de la actuación de las auditorías afectadas, hemos de señalar que no es novedoso, puesto que si recordamos las medidas que se introdujeron después de los lamentables y penosos casos de ENRON, Tyco International, WorldCom,…., que dieron origen a la mundialmente conocida Ley Sarbanes-Oxley, por la que se creó también la Junta de Supervisión sobre las Firmas Contables que dictaminan sobre los estados contables y el control interno de las compañías cotizadas en USA, es decir a las auditorías externas de dichas  sociedades. 

Esta junta esta definida en la Sección 101 de dicha Ley con el nombre PCAOB (Public Company Accounting Oversight Board) la cual tiene la potestad, entre otras atribuciones, de emitir Normativa para regular la práctica de auditoría externa frente a la SEC (Securities and Exchange Comisión), que es el organismo de los Estados Unidos equivalente a la Comisión Nacional del Mercado de Valores español. Por tanto, es el supervisor evaluador de las firmas de auditoría externas, al igual que el MIPPAI entiende debe efectuarse con las auditoras internas, al menos una vez cada cinco años.

Por todo ello, aunque en realidad las evaluaciones de calidad no se deben entender como auditorías a los auditores internos, sí que son supervisiones de las formas de desarrollar su actividad, así como la verificación del grado de adecuación a las Normas del Institute of Internal Auditors (IIA) ya que, como conocemos, éstas recogen las mejores prácticas que deben ser conocidas y aplicadas por las distintas Unidades de Auditoría Interna, siempre que quieran regirse por los requerimientos de los especialistas de esta actividad.

Por todo ello, no solo porque lo determinen los órganos reguladores que nos sean de aplicación, sino porque también es una forma de poder conocer los gap que aún quedarían pendientes de corregir para poder estar en los estándares de calidad requerido por el IIA, aconsejamos que se valore la oportunidad de realizar las evaluaciones externas de calidad, lo cual, aparte de permitirnos conocer cuáles pueden ser las mejoras que podríamos incorporar en nuestra actividad, también posibilitan el compartir con las organizaciones en las que desempeñemos la actividad el buen hacer que se nos haya observado, lo que redundará en una mejora de nuestra imagen en el interior de la compañía.

Espero que, por estas, y la necesaria atención de la Norma 1300, que las Unidades de Auditoría que aún no se hayan decidido en evaluarse externamente, lo reconsideren y valoren la oportunidad de hacerla. En nuestra opinión siempre será una decisión acertada.

Jesús Aisa Díez

24 de noviembre de 2014

Balance del curso sobre Plan de Auditoría en base a riesgos

Invitado por la Gobernación de Antioquia, Colombia, he tenido la oportunidad de volver a visitar ese precioso país, y poder compartir experiencias con sus profesionales. En esta ocasión la ponencia se centraba en debatir sobre la forma de gestionar los Planes de Auditoría en base a Riesgos. Tema que también tuve la oportunidad de desarrollar previamente en Bogotá los días 4 y 5 de Noviembre pasado.

En ambos encuentros los resultados creo que pueden calificarse de satisfactorios, debido al enorme interés que observamos en los participantes por el tema expuesto, lo que viene a evidenciar la priorización que desde las distintas organizaciones, tanto privadas como públicas, se están actualmente concediendo a la gestión de los riesgos empresariales; considerado a este como un camino estratégico para conseguir los objetivos empresariales, entre los que no debemos ignorar la necesidad de optimizar la labor de las Unidades de Auditoría, de forma que seamos muy selectivos en el momento de elegir los entes auditables que pretendamos supervisar en el corto plazo, centrando nuestra atención en los procesos que resulten determinantes para alcanzar las metas marcadas por las organizaciones.

De los cuestionarios cumplimentados por los asistentes a la reunión de Bogotá, creemos que pueden sacarse algunas conclusiones que consideramos importantes, pues nos permiten inducir en dónde se focaliza actualmente el interés de los profesionales con los que nos relacionamos.

En primer lugar, destacaríamos que de los asistentes, el 30% estaba adscrito a labores de gestión en sus empresas, en tanto que, el 70% restante, actuaba en el ámbito de la supervisión. Llama nuestra atención que, a pesar que el título nos dirigía hacia los profesionales de la función auditora, casi una tercera parte de los asistentes actuaban en el ámbito de la gestión, lo que entendemos como un indicador con el que apreciar el interés que la labor auditora está levantando actualmente en las organizaciones, lo que vendría a demostrar la importancia que se le concede a nuestra actividad. 

Otro de los aspectos que también consideramos muy positivo de la opinión de los participantes, es la que se refiere a la respuesta dada a la pregunta: ¿Cómo entienden que podrían aplicarse los aspectos aprovechables de la metodología expuesta en sus organizaciones?. Habiéndose obtenido un 50% de opiniones que entendían que se podrán aplicar en el corto plazo, y el otro 50% en el medio plazo. Por consiguiente, para la mitad de los asistentes, los que consideraron viable su implementación a corto plazo, no se debieron observar dificultades que impidieran acometer el proyecto de implantar un Sistema de Gestión de Riesgos en sus empresas, ámbito que necesariamente también se contempló en el seminario. Por lo que, en estos casos, estaríamos ante un contexto exclusivo de voluntad empresarial, como condición última para acometerlo.

En lo que respecta a los condicionantes que se entendían pudieran existir para no aplicarlas de inmediato. Las respuestas se centraron en:

• Capacidad del personal de la Unidad de Auditoría Interna.
• Mayor coordinación con el Gestor de Riesgos.
• Contar con los recursos humanos suficientes.
• Cultura organizacional, compromiso de las gerencias en su conjunto
• Apoyo de la Gerencia General o del CEO.

De estas respuestas, la que se identifica con la necesaria coordinación con el Gestor de Riesgos, nos sitúa, creemos, en ámbitos empresariales donde ya estaría iniciándose la implantación del Sistema de Gestión de Riesgos, pero en el que Auditoría encuentra dificultades para colaborar en el mismo, ya que no existe la debida coordinación con el Gestor de Riesgos. Lo cual, aunque ya también percibido en otras ocasiones, no deja de sorprendernos, ya que no vemos puntos de conflicto entre las actividades a desarrollar por ambas unidades, sino todo lo contrario, complementariedad.

En cualquier caso, entiendo que este posible conflicto se pueda deber a la confusión que pudiera existir respecto de los roles que ambas unidades deben desempeñar, no solo desde la visión de los gestores de Riesgos, que pueden visualizarnos como unos competidores y cuestionadores de la  determinación y evaluación de los riesgos por ellos establecida, sino también por la indebida actuación que pudiesen realizar las auditorías internas “exigiendo” determinadas actuaciones con las que reconducir los riesgos residuales observados hasta zonas de menor incertidumbre en la consecución de los objetivos.

Si la causa de la no necesaria coordinación y complementariedad de actividades, fuese debida a la actuación inadecuada de auditoría, entendemos que el pronunciamiento realizado por el Instituto de Auditores Interno al respecto es determinante, como podemos recordar haciendo mención al famoso abanico de posibles escenarios en los que movernos recogidos en la figura, donde queda claro lo que debemos hacer, lo que podemos hacer y lo que nos está prohibido realizar.

Campo de actuaciones que deberíamos exponer con claridad y coordinarlas con el gestor de riesgos, con lo que habremos evitado que surjan dudas sobre hasta dónde vamos a intervenir en el proceso, evitando malas interpretaciones, pero sobre todo duplicidades.

Otro aspecto que también debería establecerse con el Gestor de Riesgos en estas conversaciones previas de coordinación, es la forma en la que Auditoría Interna pondrá a su disposición los resultados de las auditorías en base a riesgos y las conclusiones alcanzadas, de forma que estas puedan ser tenidas en consideración y modificar, en la medida que sea necesario, el mapa de riesgos corporativo, que es la responsabilidad del citado Gestor. Asimismo, y si no existiesen definidos por la Organización los apetitos o tolerancia a los riesgos, este también es un aspecto que debe ser puesto de manifiesto en las auditorías, a fin de que el Comité de Riesgo los proponga al Consejo de Administración/Directorio, a fin de este sea el que decida los niveles de riesgo que se entiendan compatibles con la consecución de los objetivos empresariales.

Por todo lo anterior, la interacción entre ambas Unidades es algo necesario, y que, aclarando los roles que vamos a realizar, no consideramos que sea motivo de polémica o malas interpretaciones, sino todo lo contrario. Por ello no vemos justificada la razón aludida para la implantación de un proceso de determinación del Plan de Auditoría en base a riesgos/Sistema de Gestión de Riesgos, la falta de coordinación con el responsable de riesgos, ya que debería ser una parte interesada en que lo desarrollemos, al ser un beneficiario directo de nuestro trabajo.

En cualquier caso, la experiencia observada es mucho más positiva que la que he tenido la oportunidad de apreciar no hace demasiado tiempo en el mismo entorno, por lo que creo vamos por el buen camino.

Pudiendo para terminar señalar que el Gestor de Riesgos y el Director de Auditoría Interna no son rivales, son colaboradores que deben aprovechar las sinergias de sus respectivas actuaciones.

Esperando que estos comentarios puedan resultar de interés, gracias por la atención que puedan prestarles. Saludos

Jesús Aisa Diez

16 de noviembre de 2014

Planes de Auditoría en Grupos multinacionales y en organizaciones corporativas multiempresa

Como bien conocemos, los planes de auditoría, de acuerdo con lo especificado en la Norma 2020 del Marco Internacional para la Práctica Profesional de Auditoría Interna, deben ser presentados y aprobados por la alta dirección y el Consejo, para lo cual el Director de Auditoría Interna ha de efectuar previamente un análisis de los riesgos que puedan afectar a su organización, a fin de poder determinar las prioridades que debe conceder a la actividad auditora por el dirigida (Norma 2010).

Aspectos que, cuando estemos operando en organizaciones a nivel empresa no representan ninguna duda respecto de cómo actuar para atender  ambos  requerimientos normativos, pero que, cuando estemos trabajando en ambientes de corporaciones multinacionales y/o multifunción, habrá que valorar la forma de desarrollar ambos preceptos, ya que en estos casos normalmente la forma operar estará supeditada a una dependencia corporativa, aunque desarrollada de forma descentralizada, en la que el Director General de Auditoría Interna a nivel de Grupo tendrá la responsabilidad global de la función de auditoría a nivel de toda la Corporación, aunque materializada esta en forma deslocalizada,  surgiendo entonces algunas dudas respecto de que criterios debemos aplicar a nivel empresa para determinar las formas de actuar.

La primera duda con la que nos podemos enfrentar es si los planes de auditoría organizacionales deberíamos deducirlos evaluando los riesgos de los procesos a nivel empresa o en el contexto del Grupo, ya que dependiendo de la decisión adoptada los planes de auditoría serán diferentes, y lo que es más importante, los recursos de auditoría para atenderlos también serán distintos, ya que las sinergias, en uno y otro caso diferirán.

Si actuamos a nivel de empresa los planes serán el resultado de la evaluación y priorización de los riesgos que afecten a los procesos de cada subsidiaría o filial; en tanto que si actuamos en el entorno de todo el Grupo, la priorización será la que se derive del contexto corporativo, en el que se habrá ponderado la importancia de los procesos según su relevancia relativa, pudiendo encontrarnos que, un proceso/riesgo trascendente a nivel empresa, en un entorno corporativo podría no reflejar ya esa valoración, al haberse devaluado dentro del conjunto de los entes auditables de la corporación.

La elección de una u otra forma de actuar tiene ventajas e inconvenientes, por lo que habrá que analizarlas detalladamente y decidir la que en cada caso se considere más oportuna, pero sobre todo más eficiente. 

A modo de reflexión de a lo que nos puede conducir un análisis de los universos de auditoría a nivel empresa, es que, en base a ello,  y según la entidad de las mismas, y a los recursos de auditoría localmente disponibles, el que en las organizaciones más representativas del Grupo se pudieran excluir entes auditables que fuesen comparativamente más significativos que otros incluidos en los planes de auditoría de empresas de menores dimensiones, aunque en el ranking global no lo fuesen, lo que no dejaría de representar una incoherencia. Por todo ello, y debido a que la gravedad de los riesgos es algo relativo, fundamentalmente si los estuviésemos valorando de forma cualitativa, se hace necesario que deberíamos emplear una misma escala para poder concluir sobre la severidad o importancia de los riesgos de forma homogénea en toda la Corporación.

Respecto del circuito de presentación y aprobación, entendemos que la forma más adecuada es que se presenten a la alta dirección y al Comité de Auditoría a nivel local, a fin  de que opinen sobre su adecuación a las necesidades del mantenimiento del nivel requerido para un adecuado control interno, recogiendo sus comentarios y peticiones, elevando   posteriormente dichos planes a nivel de Corporación para que puedan emitir su propia valoración y aprobación definitiva. Circuito que entendemos también válido para la presentación de los resultados obtenidos en el desarrollo de los planes de auditoría.

Espero que quienes tengan oportunidad de actuar en estos entornos, consideren de utilidad estas opiniones, las cuales entendemos podrían ser adecuadas para seguir incidiendo en la mejora del valor que aportan las auditorías, ya que estaremos incidiendo, entre otras cuestiones, en nuestra productividad.

Un saludo.

Jesús Aisa Díez

27 de Octubre de 2014

Los planes de auditoría con altura de miras

Un aspecto que suele ser objeto de debate, cuando los evaluadores de calidad de la institución en la que colaboro nos reunimos para poner en común nuestros puntos de vista, es el correspondiente al alcance que debemos dar a estas evaluaciones, ya que hay quien opina que debemos focalizarlo exclusivamente hacia: (i) la operativa empleada por las unidades de auditoría internas para desarrollar su trabajo, (ii) así como a los soportes institucionales con que cuenta para actuar con independencia y objetividad (Estatuto, Código de Ética, Manual de Metodología, etcétera), y (iii) a su capacidad para actuar.

Pero existimos otros que entendemos que nuestra evaluación debe también incidir sobre los aspectos que puedan afectar al adecuado gobierno corporativo de la organización, como por ejemplo: composición de los Comités de Auditoría, presencia del director de auditoría en los órganos de decisión de las compañías, capacidad real de los auditores en supervisar las actuaciones de los consejeros, entre otras actuaciones, ya que consideramos que estos aspectos son determinantes para condicionar el adecuado entorno de control en el que nos podamos desenvolver los auditores.

Por ello, creemos que desde auditoría interna no solo debemos incidir en los procesos operativos de las distintas unidades, sino también evaluar y opinar sobre aquellos temas que afecten a los miembros del Consejo, garantizando, razonablemente, que actúan disponiendo siempre de la información más completa, y de buena fe, con la diligencia y atención debidas, y en el más alto interés de la sociedad y de los accionistas (ver Punto VI. Las responsabilidades del Consejo. Principios de Gobierno Corporativo OCDE. 2004). Pues como la propia definición de nuestra actividad recoge, tres son los procesos sobre los que hemos de actuar: Riesgos, controles y gobierno corporativo. No debiendo olvidar respecto de este último proceso lo que las buenas prácticas sobre gobernanza corporativa no señalan respecto a: la necesidad de asegurarnos de que los miembros del directorio sean idóneos para su cargo, tengan un claro entendimiento de su principal papel en el gobierno corporativo de la organización, y que no estén sujetos a influencias indebidas de la administración o intereses externos. Es decir que no deterioren el requerido Tone at the top.

Desgraciadamente son muchas las experiencias, al menos en España, que evidencian las irresponsables actuaciones de los Consejos de Administración, donde no es frecuente que pase un día sin que nos levantemos con un nuevo escándalo. El último el de las denominadas tarjetas black empleadas por los consejeros y ejecutivos de la antigua Caja Madrid, hoy integrada en Bankia, por las que los responsables de la Caja crearon dos listas de consejeros y directivos: los que tenían más responsabilidad podían gastar al año hasta 50.000 euros con las tarjetas ‘black’, y los que apenas tenían responsabilidad, 25.000 euros anuales. Estos  gastos no tenían que ser justificados, ni tributaban.

Este nuevo escándalo ha saltado cuando se hicieron públicos determinados correos electrónicos del entonces presidente de la citada Caja, Miguel Blesa, y la unidad de auditoría interna de la entidad recibió el encargo de investigar qué eran esas tarjetas opacas al fisco. Circunstancia que se produjo entre los últimos meses del pasado año o inicio del ejercicio actual.

Lo primero que hizo auditoría interna fue identificar todas las tarjetas de esas características, identificándolas entre el elevado número de tarjetas corporativas que tiene la entidad, concluyendo, según los datos recogidos por la prensa que, en 10 años, los 86 beneficiarios de las black, cargaron a las mismas más 15 millones de euros. Bien, veremos cómo termina el asunto, pero me temo que sin exigir responsabilidades a nadie.

Pero volviendo a retomar el asunto que nos ocupa, es decir la necesidad de que auditoría tenga “altura de miras”, y se ocupe también de verificar el adecuado comportamiento de la alta gerencia y de los Consejos, que con el ejemplo de la Caja Madrid, y el de las demás instituciones financieras rescatadas, creo que nos permiten concluir sobre la oportunidad y conveniencia de incidir en estos temas, sin que para ello tengamos que esperar a que nos lo encarguen, pues si hacemos una adecuada evaluación de los riesgos para determinar los planes de auditoría, estos temas, aparte del perjuicio económico que de ellos se derivan, tienen una incidencia sobre la reputación de las organizaciones, que pensamos les sitúan en la zona de alta severidad, ya que el control realizado es mínimo, en cuyo caso el riesgo residual será muy similar al inherente. Por ello entendemos que son firmes candidatos a ser entes auditables, y que auditoría debería supervisar.

No se me escapa que estos asuntos son comprometidos, y que posiblemente no nos permitan analizarlos, pero al menos considerémoslos y propongámoslos, y que sea el Comité de Auditoría quien asuma la decisión de eliminarlos del Plan. Siendo entonces la responsabilidad de su no inclusión de nuestro jefe funcional, no nuestra.

Espero que se comparta esta posición, y que cuando elaboremos el borrador del plan, no excluyamos ningún ente auditable por crítico y molesto que pueda resultar, sin tener que esperar a que nos lo encarguen para incidir en ellos, ya que de esa forma podremos incrementar el valor añadido que aportamos a las organizaciones.

Jesús Aisa Díez

Madrid, 12 de Octubre 2014.

 

¿A quién debemos distribuir el resultado de nuestro trabajo?

Queridos amigos, después de un cierto tiempo de “vacaciones” en la atención del blog, que han resultado más prolongadas que lo que inicialmente pensé, vuelvo a retomar el hábito de contactar, periódicamente, con aquellos que consideren oportuno conocer nuestras reflexiones sobre diversos aspectos relacionados con el control interno, bien para compartirlas o cuestionarlas. Lo importante es el debate.

En esta ocasión el tema que quisiera comentásemos, es el correspondiente a la difusión de los informes de auditoría, que como bien sabemos es donde se materializa el resultado de nuestro trabajo, por lo que debemos   ser muy exigentes en su contenido, de forma que permita a sus receptores concluir con claridad y calidad sobre los aspectos detectados, haciéndose necesario atender a los requerimientos de: precisión, objetividad, concisión, utilidad, integridad y oportunidad, que nos recuerda la Norma 2420 del “libro de cabecera” de los auditores, el Marco Internacional para la Práctica Profesional de Auditoría interna  (MPPAI).

Pero sabiendo cómo debemos redactarlos, nos quedaría por decidir a quiénes se los entregamos, ya que dependiendo de su distribución podremos esperar una mayor o menor eficacia en el resultado del trabajo realizado. En este sentido nuevamente el MPPAI nos orienta adecuadamente, pero dejándonos grandes grados de libertad a la hora de decidir los destinatarios finales, pues la Norma 2440, Difusión de los resultados, solo nos indica que debemos entregarlos a las partes “apropiadas”. Pero sin precisar cuáles serían estas.

Esta pregunta puede parecer baladí, pero no lo es tanto, ya que, en mi experiencia, me he encontrado con dudas respecto si el responsable directo del ente auditado debe ser receptor directo de los informes, o lo debe ser solo su superior jerárquico, la alta dirección y el Consejo. De forma que el gerente auditado sea conocedor de los resultados del proceso de su responsabilidad supervisado, por la copia que le entregue su superior.

Esta forma de proceder la consideramos inapropiada, no solo desde una perspectiva personal, sino también interpretativa de la citada Norma 2440, ya que, según el Diccionario de la Lengua Española, el adjetivo apropiado, significa: Acomodado o proporcionado para el fin que se destina.

Surge entonces una nueva pregunta, ¿Cuál es fin perseguido?. La respuesta entendemos que es evidente: la modificación/mejora del proceso auditado; y quién estará en mejores condiciones de hacerlo que quien lo ejecuta. En nuestra opinión nadie, ya que este es quien conoce en detalle la forma de operar, y por consiguiente, las alternativas reales de que dispondremos.

Lo anterior, en modo alguno, presupone ninguna limitación en la distribución del informe a la cadena de mando del responsable auditado, pues son también partes interesadas y apropiadas, de las que dependerá, en muchas circunstancias, la aportación de los recursos para incidir en los planes de actuación que se consideren apropiados para superar las debilidades evidencias en la auditoría.

Otro aspecto que también debe contemplarse por los responsables de la Unidades de Auditoría Interna, en el momento de decidir la distribución de los informes, es el correspondiente a la entrega de los mismos a partes ajenas a la organización. 

En este punto la Norma 2440 A2, es suficientemente clara, ya que, salvo que exista regulación, obligación legal, estatutaria que así lo establezca, el Director de Auditoría Interna, debe: (i) evaluar el riesgo potencial para la organización, (ii) consultar con la alta dirección o consejero legal y (iii) controlar la difusión, restringiendo la utilización de los resultados.

En cualquier caso, y siempre que nos encontremos en una situación en la que entendiésemos que deberíamos comentar los resultados de las auditorías a partes ajenas, por encontrarnos por ejemplo con situaciones de índole legal, entendemos que esta debería ser comunicada directa, y reservadamente, al Presidente del Comité de Auditoría, para que sea este quien decida la actuación a realizar, dada su calidad de máximo responsable de la supervisión del control interno de la organización, pues no olvidemos que  el Comité es nuestro responsable funcional, por lo que ante una situación “comprometida”, no debemos actuar aisladamente, compartámosla con quien tiene capacidad de decisión.

Esperando que estas reflexiones puedan ser de interés, y con la intención de seguir manteniendo el contacto habitual por esta vía de comunicación, quedo a su disposición. Un saludo

Jesús Aisa Díez

Madrid, 6 de octubre de 2014