Manual práctico de control interno
Miguel Barquero
Manual práctico de control interno Teoría y aplicación práctica
Cualquier forma de reproducción, distribución, comunicación pública o transformación de esta obra solo puede ser realizada con la autorización de sus titulares, salvo excepción prevista por la ley. Diríjase a CEDRO (Centro Español de Derechos Reprográficos) si necesita fotocopiar o escanear algún fragmento de esta obra (www.conlicencia.com; 91 702 19 70 / 93 272 04 45).
© Miguel Barquero, 2013 © Profit Editorial, 2013 (www.profiteditorial.com) Profit Editorial I., S.L. Barcelona, 2013 Diseño cubierta: XicArt ISBN ePub: 978-84-15735-77-9 Conversión a ePub: booqlab.com
Referencias Sobre el autor Miquel Barquero es Licenciado en Ciencias Económicas y Empresariales por la Universidad Pompeu Fabra y Censor Jurado de Cuentas. Gran parte de su vida profesional la ha desarrollado como auditor en KPMG donde, entre otras cosas, se especializó en auditorías de Control interno. Se dedica también a la docencia y colabora habitualmente con el Col•legi de Censors Jurats de Comptes de Catalunya. Actualmente sigue vinculado al mundo de la auditoría pero desde su perspectiva pública, trabajando para la Sindicatura de Comptes de Catalunya, entidad encargada de la fiscalización del sector público de dicha comunidad. Más información sobre el autor
Sobre el libro Este manual es una herramienta práctica y de consulta fácil para los profesionales del mundo financiero y de la auditoría. La revisión del control interno es una tarea a la que deben enfrentarse estos profesionales para la que no siempre se cuenta con la experiencia, formación o herramientas necesarias. Se incluye una base teórica fundamental de los elementos que componen un sistema de Control interno, así como una descripción de la normativa vigente en relación con esta materia. Para poner en práctica esta base teórica, se proporciona ejemplos de cuáles pueden ser los riesgos y controles de los principales procesos administrativos de un negocio. En estos ejemplos se utiliza un enfoque que requiere el análisis previo de los riesgos del proceso, análisis que permitirá al lector obtener una visión crítica y ser capaz de determinar si con los controles existentes se puede afirmar que el Control interno es adecuado. Este enfoque está en consonancia con los requerimientos de la normativa actual de auditoría y de control interno a nivel nacional e internacional. Se proporciona también unas guías imprescindibles sobre los riesgos que existen en los diferentes elementos que forman un sistema informático y los controles que se deberían implantar para mitigarlos, así como unas reflexiones sobre cómo adaptar los sistemas de control interno a los diferentes tipos y tamaños de empresa. En conjunto, este manual proporciona una amplia base teórica y práctica para la revisión o implantación de un sistema de control interno, y puede ser de gran utilidad para muchos profesionales del mundo financiero y de la auditoría.
Más información sobre el libro y/o material complementario Otros libros de interés
Web de Profit Editorial
Índice
Introducción Capítulo 1. Normativa 1. Ley Sarbanes Oxley 2. Código de buen gobierno y requisitos sobre control interno 3. Modificación del Código Penal 4. Situación actual Capítulo 2. ¿Qué importancia tiene el control interno? 1. Desde el punto de vista del gestor 2. Desde el punto de vista del auditor 3. La planificación de la auditoría Capítulo 3. Control interno 1. Definición 2. Componentes 4. El control interno sobre la información financiera Capítulo 4. El control interno en entornos informatizados 1. Introducción 2. Sistemas operativos 3. Bases de datos 4. Interfaces 5. Aplicaciones 6. Revisión de los sistemas en un proceso de negocio 7. La nube Capítulo 5. Entorno de control 1. Integridad y valores éticos: 2. Filosofía de la dirección y estilo operativo: 3. Consejo de administración: 4. Comité de auditoría y auditoría interna, 5. Estructura organizacional y delegación de autoridad 6. Controles generales sobre los sistemas informáticos 7. Otros elementos a considerar como entorno de control Capítulo 6. Controles habituales que podemos encontrar en los diversos procesos administrativos de una compañía
1. Compra de bienes 2. Servicios recibidos 3. Inversiones en inmovilizado 4. Venta de bienes 5. Prestación de servicios 6. Preparación de nóminas Capítulo 7. Como se adaptan los sistemas de control interno a los diferentes tipos de empresa Capítulo 8. ¿Qué hacer cuando se encuentra una debilidad en el control interno? 1. Desde el punto de vista del gestor 2. Desde el punto de vista del auditor Capítulo 9. Limitaciones del control interno Para concluir Glosario de términos Bibliografía
Introducción
Para la mayoría de usuarios de este manual el control interno no es un concepto nuevo. Todos los que por su profesión están en el mundo de la administración, finanzas, auditoría, consultoría financiera, etc., están más o menos involucrados en el desarrollo, en la ejecución o en la evaluación de sistemas de Control interno. Sin embargo muchas veces estos profesionales se encuentran faltos de referencias. Ningún organismo nacional o internacional ha emitido una norma o modelo a seguir, que se pueda usar como modelo de lo que debería tener un sistema de Control interno para poder garantizar que la información financiera recoge la integridad de las operaciones, la salvaguarda de los activos está asegurada, etc. Evidentemente la emisión de una norma así tendría un riesgo muy importante, pues cada organización es diferente y no es prudente decir que un mismo modelo es adecuado para cualquier situación. En la legislación aplicable a las organizaciones del sector público sí que hay incluidas referencias a como debe ser el control que éstas deben tener en aspectos como por ejemplo: quién tiene la potestad de autorizar gastos, quién debe tener la disposición de caudales públicos, cuál es la forma de adjudicar contratos, procedimientos para la contratación de personal, la función de la intervención, etc. Esta normativa, aunque regula con mucho detalle ciertos aspectos para garantizar los principios de concurrencia, publicidad, igualdad y el buen uso de los recursos públicos, deja en cambio abiertos a la decisión del gestor otros aspectos más puramente organizativos que evidentemente tendrá que regular cada organización en función de su estructura, tamaño y casuística. En general, en la universidad la formación sobre control interno es principalmente teórica, y esto puede conllevar que en ocasiones el alumno finalice sus estudios sin haber visto un albarán y una factura. Por consiguiente, la incorporación en el mercado laboral es el primer contacto que muchos profesionales tienen con la empresa y los sistemas de control interno, y hasta que se acumula cierta experiencia los profesionales actúan sin tener una referencia clara de los elementos que deben formar un sistema de control interno. Tampoco hay muchos manuales dedicados a éste tema y, en general, se centran en explicar qué es el control interno desde un punto de vista teórico, sin profundizar en cómo se debe materializar en los procesos habituales que se pueden encontrar en cualquier negocio. Este manual surge de la necesidad de explicar a otros profesionales como se debe revisar un sistema de control interno, tarea que no es fácil cuando el tiempo apremia. Por esta razón, se intenta que sea eminentemente práctico y que sirva como herramienta de trabajo a cualquier posible usuario. Son por tanto los principales objetivos de este manual: 1) Concienciar, tanto al gestor como al profesional de la auditoría, de la importancia del control interno y de su adecuada revisión.
2) Proporcionar una base teórica actual de los elementos que componen un sistema de control interno, así como una descripción de la normativa vigente en relación con esta materia. 3) Proporcionar ejemplos prácticos de cómo se pueden configurar los sistemas de control interno en los principales procesos de negocio de una compañía. Para ello se propone utilizar un enfoque de análisis previo de los riesgos del proceso que permita al profesional tener una visión crítica sobre los procedimientos que está analizando y le permita determinar si con los controles existentes se puede afirmar que el control interno es adecuado y el riesgo está cubierto. Este enfoque, además de ser práctico, está en consonancia con la normativa internacional de control interno y de auditoría. 4) Proporcionar unos conocimientos básicos sobre cuales son los riesgos principales que existen en los diferentes elementos de un sistema informático, así como los controles que se deberían implantar para mitigarlos. Para ello, este manual se ha articulado en los siguientes capítulos: – Normativa: En este capítulo se analiza la historia reciente, y en concreto los escándalos financieros de los últimos años, para presentar las normativas que han surgido o sufrido cambios recientemente, tanto a nivel nacional como internacional. En concreto, se describe la sección 404 de la ley Sarbanes Oxley, la modificación del Código Penal español, el código unificado de buen gobierno y las nuevas obligaciones que introduce la Ley de Economía Sostenible en el contenido del informe anual de gobierno corporativo. – ¿Qué importancia tiene el Control interno? En este capítulo se recuerda al lector la importancia que tiene implantar unos controles adecuados, tanto desde el punto de vista de un gestor, responsable de su diseño e implementación, como desde el punto de vista de un auditor, que lo revisa como parte de su trabajo. Para éste último, se analiza la normativa a cumplir y los errores comunes que suelen producirse. También se analizan las responsabilidades del auditor en la detección de fraude tanto en la normativa española como internacional. – Control interno: En este capítulo se define el concepto “control interno” y se describen y analizan los diferentes componentes de un sistema de control interno. También se definen los diferentes tipos de controles, su finalidad, y cómo se pueden combinar para obtener un control adecuado independientemente del tamaño y recursos de una entidad. Asimismo, se define el control interno sobre la información financiera, y se diferencia del resto de controles. – El control interno en entornos informatizados: En este capítulo se explica los diferentes elementos que forman un sistema de información integrado, los riesgos que se presentan en cada uno de estos elementos y cómo se deben controlar. De éstos, se analizan los riesgos principales que un auditor/gestor debe tener en cuenta en el desarrollo de su trabajo.
– Entorno de control: En este capítulo se intenta dar al lector una guía de los elementos básicos que podemos encontrar en el menos tangible de los cinco componentes del control interno. El entorno de control es la base y los cimientos de cualquier sistema de control interno, si bien en ocasiones puede ser olvidado puesto que no forma parte de ninguna de las transacciones recurrentes de un negocio. – Controles habituales que podemos encontrar en los diversos procesos administrativos de una compañía: Este capítulo, el más práctico de todos, incluye para cada uno de los procesos administrativos habituales en cualquier negocio (compras, ventas…), una relación de los riesgos que existen en cada parte del proceso, y los controles que se pueden implantar para mitigarlos. Puede ser una herramienta útil como guía comparativa para evaluar cualquier sistema de control interno (salvo negocios muy específicos). Para cada uno de los controles, además del riesgo cubierto, también se indica los objetivos que ayuda a conseguir en relación a la información financiera. – Como se adaptan los sistemas de control interno a los diferentes tipos de empresa: En este capítulo se reflexiona sobre como adaptar los sistemas de control interno a los diferentes tipos de empresa: la gran empresa, la pequeña y mediana empresa y las multinacionales. Se explican los puntos fuertes y débiles de cada tipología, y cómo reforzar estos últimos para conseguir un control adecuado. Se incluye también algunas ideas para el auditor que debe evaluar el control interno en pequeñas y medianas empresas con escasa estructura y sistemas de control. – ¿Que hacer cuando se encuentra una debilidad en el control interno? Es un capítulo que se dedica a clarificar cuales son las acciones a llevar a cabo en el momento que se detecta un fallo en los sistemas de control, tanto desde el punto de vista del gestor como del auditor. Estas acciones no siempre están claras, y en ocasiones hay que llevarlas a cabo. – Limitaciones del control interno: En el último de los capítulos se advierte que no existe sistema de control interno perfecto y que por tanto no se puede esperar la fiabilidad absoluta. Se detallan y explican las causas que hacen que el control interno tenga ciertas limitaciones. Se espera sinceramente que este texto sea de utilidad en el quehacer diario de muchos profesionales, tanto gestores como auditores, y que por su practicidad, pueda ser usado como libro de consulta rápida en el que orientarse cuando surgen dudas.
Capítulo 1 Normativa En lo que llevamos de siglo, los escándalos financieros que ha vivido la economía mundial han sido de un impacto tan significativo que nadie lo hubiera vaticinado con anterioridad. Empezamos con los escándalos acontecidos en las grandes corporaciones cotizadas en Estados Unidos. Enron fue el primero y más mediático de estos escándalos, y le siguieron otros como WorldCom o Global Crossing, que acabaron con algunos directivos entrando esposados en prisión, y con la solicitud del expediente de quiebra por alguna de estas compañías. En muchos de estos casos el denominador común fue la utilización de maquillajes contables para falsear los resultados con informes de auditoría sin salvedades. Por poner un ejemplo, el caso de Enron consistió en la ocultación de información financiera mediante la creación de sociedades instrumentales, Special purpose entities, que no consolidaban en los estados financieros de la corporación. Cuando se descubrió la situación, en apenas medio año, Enron pasó de máximos en su cotización bursátil a solicitar el expediente de quiebra. Estos escándalos conllevaron la emisión de numerosa normativa con el fin de mejorar el proceso de generación de la información financiera y devolver la confianza a inversores y stakeholders. A continuación se describen algunas de estas normas y los cambios que han supuesto.
1. Ley Sarbanes Oxley La Sarbanes Oxley Act, aprobada en Estados Unidos en el año 2002, introdujo una serie de importantes cambios para mejorar las prácticas de buen gobierno corporativo y de control en las empresas cotizadas. Buena parte de estos cambios están orientados a mejorar la independencia del auditor y darle una mayor preponderancia en su relación con su cliente, por ejemplo: – En relación al Comité de auditoría, sección 301, le hace responsable del nombramiento, remuneración y supervisión del trabajo de las firmas de auditoría contratadas para la auditoría financiera u otros servicios. Establece que el presidente del comité sea un consejero independiente, y así mismo tres de los cinco miembros que lo componen, y regula que uno de los consejeros debe ser un experto en temas financieros. – La sección 302, obliga a que los estados financieros incluyan cualquier ajuste significativo que haya sido identificado por los auditores, y que por tanto, la dirección tenga conocimiento de él. En el caso de que dicho ajuste haya sido contabilizado, y por tanto el informe de auditoría favorable, la sección 401 obliga a informar a los
accionistas de que el ajuste se ha introducido a instancias de los auditores. – Para aumentar la independencia del auditor introduce varios cambios como los siguientes: • Endurecer la lista de servicios prohibidos para el auditor de la compañía y establecer al Comité de auditoría como responsable de la autorización de la contratación de servicios al auditor en cualquiera de las filiales del grupo. • Establecer la obligación de incluir en la memoria los honorarios percibidos por los auditores en relación a cada uno de los servicios prestados. • Por primera vez, se obliga al auditor responsable de un trabajo a rotar cada cinco años. Medidas muy similares a éstas fueron introducidas también en España por la Ley 44/2002 de Medidas de reforma del sistema financiero. Por lo que respecta al control interno, las secciones 302 y 404 introducen un importante cambio. La primera de ellas establece la obligación para la dirección de las compañías cotizadas de incluir en los estados financieros presentados una certificación de que los firmantes: – son los responsables del establecimiento y mantenimiento del control interno, – han diseñado los controles para asegurar que la información significativa en relación a la entidad cotizada y cualquiera de sus subsidiarias les es suministrada durante el período en el que se preparan los estados financieros, – han evaluado la efectividad del control interno en los 90 días previos a la fecha del informe, – presentan en el informe sus conclusiones sobre la efectividad del control interno, y – han comunicado a los auditores todas las deficiencias significativas en el diseño o funcionamiento de los controles internos que pudieran afectar a la preparación de la información financiera, así como, cualquier fraude cometido por la dirección o empleados con un rol significativo en la entidad. Este cambio conlleva que las compañías cotizadas en los mercados americanos, incluso foreign registrants de cierto volumen de capitalización, tengan que diseñar e implantar proyectos a nivel internacional de revisión de sus sistemas de control interno. Estos proyectos deben asegurar que la revisión se efectuará en la mayor parte de sus filiales, y que en cada una de ellas se cumple lo siguiente: 1. Se documentan los controles existentes y se evalúa si están bien diseñados para el objetivo que deben cumplir. 2. Se pone a prueba la efectividad de los controles clave, es decir, de aquellos que cubren mejor los riesgos. Se debe comprobar que funcionan y son efectivos para el fin para el que fueron diseñados, y que han funcionado durante todo el período objeto del informe.
3. Que no existen debilidades de control interno que pudieran tener un impacto significativo en los estados financieros. En caso de detectar debilidades de control, la dirección debe intentar solventarlas antes del cierre del ejercicio y corregir cualquier posible error en los estados financieros. En resumen, conlleva para la organización una obligación constante de revisión de sus sistemas de control. Por otro lado, la sección 404 establece para los auditores la obligación de incluir en el informe de auditoría su opinión sobre el control interno de la entidad auditada, y por tanto, de la evaluación que previamente ha hecho la dirección. El artículo 404 fue desarrollado por el Standard 2 emitido por el Public Company Accounting Oversight Board, (PCAOB), y posteriormente por el Standard 5, que modifica y deroga el Standard 2. En esta norma se regula en detalle cómo debe el auditor llevar a cabo los procedimientos de revisión del control interno para poder cumplir con estas obligaciones. El PCAOB fue creado por la misma ley Sarbanes Oxley, para la supervisión de la auditoría de las entidades cotizadas y en aras de proteger los intereses de los inversores en cuanto a obtener información fidedigna e informes de auditoría independiente. El auditor, para poder emitir una opinión sobre el control interno de su cliente, debe llevar a cabo un proceso similar al de la compañía, coordinando en la auditoría de la mayoría de las filiales del grupo, la revisión de los procesos principales, la evaluación del diseño y efectividad de los controles clave. De acuerdo con el Standard 5, si en este proceso el auditor encuentra una material weakness en los sistemas de control interno esto supone una opinión adversa. Se define material weakness como una deficiencia o combinación de deficiencias, en el control interno sobre la información financiera, que provocan que haya una posibilidad razonable de que un error material en los estados financieros de la compañía no sea prevenido o detectado a tiempo. La norma da algunos indicadores de lo que podrían considerarse debilidades significativas: – Fraude, material o no, de la dirección. – La modificación de estados financieros previos para reflejar la corrección de errores significativos. – Identificación por el auditor de errores significativos en los estados financieros que no han sido detectados por los controles de la compañía. – Un Comité de auditoría que no ejerce una supervisión eficaz de la información financiera emitida por la compañía y del control interno sobre la información financiera. Según un informe de la Security Exchange Comission (SEC) del año 2009, el número de material weaknesses se ha ido paulatinamente reduciendo año tras año, y por otro lado, cada vez son más coincidentes con ajustes significativos. Consideran que esta evolución puede ser indicativa de que no se reportan material weaknesses hasta que no se encuentra un error en los estados financieros, y animan a los auditores a seguir realizando una revisión profunda de los sistemas de control de sus clientes. Esta norma ha sido imitada en Canadá y Japón, y aunque de manera menos estricta,
también en Reino Unido, Francia y Alemania. Como se comenta en el punto siguiente, estas obligaciones han llegado también a la normativa española aunque con menor grado de exigencia.
2. Código de buen gobierno y requisitos sobre control interno Los primeros intentos de mejorar la gestión de las sociedades y la calidad de la información financiera a través de la adopción de códigos de buen gobierno los podemos encontrar en 1992 con el informe Cadbury, Reino Unido. Como hemos visto en el punto anterior, en 2002 los escándalos financieros en Estados Unidos llevaron a la emisión de la ley Sarbanes Oxley para intentar mejorar el buen gobierno de las sociedades cotizadas. A nivel estatal, el artículo 116 de la Ley del Mercado de Valores, 24/1988, ya establecía que las sociedades anónimas cotizadas deberían hacer público con carácter anual un informe de gobierno corporativo que ofrezca una explicación detallada de la estructura de gobierno de la sociedad y su funcionamiento, así como una descripción de los sistemas de control de riesgos y el grado de cumplimiento de las recomendaciones de gobierno corporativo. El proceso de adaptación a estos nuevos requerimientos ha sido lento, como se explica a continuación. En 1997 el Gobierno crea la Comisión Olivencia, que hizo público un informe con una serie de recomendaciones que constituían un código de buen gobierno inspirado en la tradición anglosajona. Este código sería de adopción voluntaria por parte de las empresas, aunque deberían justificar sus razones en caso de no adopción. En el ejercicio 2000 se realiza una encuesta a directivos y accionistas que demuestra que los expertos conocen el código pero no los accionistas. Entre los encuestados predomina la opinión de que falta transparencia en la información proporcionada a accionistas y mercados es generalizada. En el ejercicio 2002 se crea una nueva comisión con la finalidad de aumentar la transparencia y la seguridad en los mercados financieros y que elaborará el conocido como Informe Aldama. En el ejercicio 2005 la Comisión Nacional del Mercado de Valores (CNMV) crea un grupo de trabajo que elaborará un código unificado de buen gobierno, con todas las recomendaciones de gobierno corporativo existentes. En mayo de 2006 la CNMV aprueba el código unificado fruto de este grupo de trabajo, que pasará a ser la referencia que deben tomar las sociedades cotizadas para su informe del ejercicio 2007. En éste código, orientado íntegramente al buen gobierno de sociedades cotizadas, se incluyen recomendaciones de las cuales un gran número de ellas están relacionadas con el control interno, como por ejemplo: – Someter a aprobación de la Junta General de Accionistas ciertas operaciones que entrañen una modificación estructural o patrimonial importante de la sociedad. – Las propuestas detalladas de los acuerdos a adoptar por la Junta General se deben hacer públicas con el anuncio de la convocatoria, para dar al accionista la posibilidad de revisarlas.
– El Consejo, previo informe del Comité de auditoría, debe aprobar las operaciones con partes vinculadas. – Los consejeros externos no ejecutivos deben ser una amplia mayoría del Consejo, para poder así ejercer la función de control de la dirección. – La remuneración de los consejeros externos debe ser la necesaria para retribuir su dedicación y responsabilidad, pero no tan elevada como para comprometer su independencia. – Crear una comisión separada de nombramientos y otra de retribuciones por el Consejo de administración. – Las funciones que deben corresponder al Comité de auditoría (recomendaciones en línea con la directiva europea 2006/43): • Supervisar el proceso de elaboración e integridad de la información financiera, la adecuada delimitación del perímetro de consolidación y la aplicación de principios contables. • Revisar periódicamente los sistemas de control interno y de gestión de riesgos. • Velar por la independencia y eficacia de la función de auditoría interna. • Establecer y supervisar mecanismos que permitan a los empleados comunicar, de forma confidencial, las posibles irregularidades presenciadas. • Gestionar las relaciones con el auditor externo. • Asegurar la independencia del auditor externo. En 2011, la Ley 2/2011 de Economía Sostenible (LES), en su disposición final quinta introduce un nuevo artículo 61 bis en la Ley del Mercado de Valores, 24/1988, por el que para los ejercicios económicos que comiencen a partir del 1 de enero de 2011, el Informe Anual de Gobierno Corporativo (IAGC), incorpore una descripción de las principales características de los sistemas internos de control y gestión de riesgos en relación con el proceso de emisión de información financiera. Esta regulación es una adaptación de la directiva comunitaria 2006/46. Anticipándose a este cambio, la CNMV crea un grupo de trabajo, que en junio de 2010 publica el documento “Control interno sobre la información financiera de las entidades cotizadas”. Asimismo, el 26 de octubre de 2011, de acuerdo con la encomienda del Ministerio de Economía y Competitividad, la CNMV publica un proyecto de circular de modificación del modelo de IAGC, incorporando el modo en que debe ser abordada la descripción de las principales características de los Sistemas de Control Interno sobre la Información Financiera (SCIIF). En el modelo de IAGC que proporciona la circular se requiere que las entidades mencionen si la descripción de los SCIIF ha sido revisada por el auditor externo y, en caso afirmativo, la inclusión del informe del mismo. No existe una obligación legal de contratar a un auditor para este fin, si bien, tanto por las recomendaciones del grupo de trabajo de la CNMV como por el modelo de IAGC de la circular, en caso de que la descripción de los SCIIF no haya sido revisada por un auditor se debe indicar los motivos. Como se puede observar seguimos la tendencia marcada por la ley Sarbanes Oxley, en
cuanto a la obligación de las compañías cotizadas de establecer mecanismos de revisión de sus sistemas de control interno sobre la información financiera. Por lo que respecta a los resultados del grupo de trabajo de la CNMV, estos se concretan en un documento que incluye las siguientes ayudas: – Un Marco de referencia. Incluye los principios generales y buenas prácticas de control interno, con el objetivo de ayudar a las entidades cotizadas en el diseño, implantación, funcionamiento y supervisión de sus SCIIF. Su utilización es voluntaria. Está inspirado en el marco de referencia que proporciona el manual Internal Control–Integrated Framework publicado por el Committee of Sponsoring Organizations of the Treadway Commission (COSO). El Integrated Framework de COSO es posiblemente el marco de referencia más usado en el mundo, por lo que el acercamiento de la CNMV a este modelo es un acierto en cuanto a que facilitará la estandarización de los conceptos y manera de entender los SCIIF a nivel internacional. – Una Guía para la preparación de la descripción del sistema de control interno sobre la información financiera. Basada en el marco de referencia anterior, la guía proporciona para cada componente de control interno una relación de elementos de control que deberían existir y que las entidades cotizadas deberán describir en su IAGC. – Unas Pautas de actuación para llevar a cabo la labor de supervisión de los Comités de auditoría sobre los SCIIF. De acuerdo a la Ley del Mercado de Valores y al Código unificado de buen gobierno, son responsabilidad del Comité de auditoría, entre otras, la supervisión de la información financiera, la comprensión de los procesos utilizados para elaborar los estados financieros, y la revisión periódica de los sistemas de control interno y gestión de riesgos. Estas pautas dan una breve guía de cómo llevar a cabo estas tareas. – Un Glosario de términos. Para facilitar la comprensión y la comparabilidad de las descripciones que harán las diferentes compañías cotizadas, se incluye unas descripciones vinculantes de los términos utilizados. Si bien la aplicación del marco de referencia es voluntaria, en caso de utilizarse, el significado que se atribuye a los términos y conceptos es vinculante, y deberá ser utilizado de acuerdo con este documento. – Un Modelo de procedimientos para la revisión del auditor externo. La intención del grupo de trabajo en relación a la revisión por el auditor es que éste emita un informe limitado de manera que se minimice el coste de la revisión. Se huye de requerir una opinión del auditor sobre los sistemas de control, como la que exige la ley Sarbanes Oxley, lo que aumentaría significativamente los procedimientos del auditor y el coste de su trabajo. Se recomienda que los procedimientos del auditor se limiten a obtener la información soporte de las afirmaciones que la entidad hace en el IAGC, verificar que están adecuadamente soportadas, y que éstas son consistentes con el entendimiento de los sistemas de control interno que ha adquirido durante la auditoría.
3. Modificación del Código Penal
También se debe recordar la introducción del artículo 31 bis en el Código Penal, a raíz de la modificación de éste por la Ley Orgánica 5/2010 de 22 de junio, publicada en el Boletín Oficial del Estado de 23 de junio de 2010, que por primera vez extiende la responsabilidad penal a las personas jurídicas por los delitos cometidos por las personas físicas que en ellas participan. El objetivo principal es eliminar la impunidad de quienes se escudan detrás de personas jurídicas para la comisión de delitos o para aquellos quienes toleran tales conductas en sus organizaciones, de manera que se hace difícil discernir de quién es la responsabilidad personal del delito. El artículo 31 bis dice lo siguiente: 1. En los supuestos previstos en este Código, las personas jurídicas serán penalmente responsables de los delitos cometidos en nombre o por cuenta de las mismas, y en su provecho, por sus representantes legales y administradores de hecho o de derecho. En los mismos supuestos, las personas jurídicas serán también penalmente responsables de los delitos cometidos, en el ejercicio de actividades sociales y por cuenta y en provecho de las mismas, por quienes, estando sometidos a la autoridad de las personas físicas mencionadas en el párrafo anterior, han podido realizar los hechos por no haberse ejercido sobre ellos el debido control atendidas las concretas circunstancias del caso. Por consiguiente, además de los delitos cometidos por parte de las personas con poder de representación, la reforma del Código Penal contempla que existe responsabilidad de la persona jurídica por los delitos llevados a cabo por sus empleados cuando la entidad no ha ejercido el control debido sobre ellos. Por tanto, se sobreentiende que es obligación de cualquier organización el establecer unos sistemas de control adecuados, que en la medida de lo posible, eviten la comisión de hechos punibles por el personal de la organización. El artículo 31 dice: “El que actúe como administrador de hecho o de derecho de una persona jurídica, o en nombre o representación legal o voluntaria de otro, responderá personalmente, aunque no concurran en él las condiciones, cualidades o relaciones que la correspondiente figura de delito o falta requiera para poder ser sujeto activo del mismo, si tales circunstancias se dan en la entidad o persona en cuyo nombre o representación obre.” Si los administradores son los responsables últimos de la persona jurídica a la que representan, en ellos recae la responsabilidad de mantener unos sistemas de control adecuados. En caso contrario, delante de la ley serían corresponsables de los delitos cometidos en su organización. La lista de delitos penales que puede cometer una empresa es extensa: estafa, daños, corrupción, revelación de secretos de propiedad industrial e intelectual, blanqueo de capitales, delitos contra el medioambiente, tráfico de influencias, cohecho… por lo que es altamente recomendable establecer las medidas preventivas de control que reduzcan las posibilidades de que se produzcan este tipo de situaciones.
4. Situación actual
A pesar de toda esta nueva normativa, en el año 2008 estalló la burbuja inmobiliaria, y sorprendentemente, además del sector inmobiliario que lógicamente sufrió las consecuencias, numerosas entidades financieras y aseguradoras tuvieron serios problemas e incluso cerraron. ¿Por qué ocurrió esto? Los tipos de interés se habían reducido, y con ello, la posibilidad de incrementar el margen de las entidades financieras. Dado que el margen no mejoraba, en aras de mejorar su cuenta de resultados las entidades financieras optaron por: – Aumentar el volumen de sus operaciones. Para aumentar el volumen de hipotecas concedidas, los criterios de evaluación de riesgos se relajaron. – Aumentar el margen. Conceder hipotecas a clientes con mayor riesgo permitía aplicar un mayor diferencial y, por tanto, aumentar el margen. Esto, en combinación con la comercialización de productos de titulización sobre estas hipotecas (paquetes de hipotecas que se venden como un nuevo activo), y posteriormente, de seguros sobre estos productos, hizo que cuando los clientes de alto riesgo dejaron de pagar el problema se extendiera como un virus. La falta de información sobre qué entidades habían adquirido estas titulizaciones y estaban expuestas al riesgo, generó una crisis de confianza en el sector que colapsó el sistema financiero mundial. Las consecuencias posteriores fueron una crisis económica internacional causada principalmente por la escasez de crédito de las entidades financieras que necesitaban sanear su balance y solventar sus necesidades de liquidez antes que entrar en nuevas operaciones. Por consiguiente, cabría preguntarse: – ¿Qué ocurrió en estas entidades financieras para que asumieran riesgos que les podían llevar a la quiebra? – ¿Los auditores, Comités de auditoría y auditores internos no detectaron nada previamente? – ¿No había controles para evitar que se hicieran inversiones de elevado riesgo? Seguro que estas entidades tenían todas las herramientas necesarias para ejercer un control adecuado: Comités de auditoría, auditoría interna, códigos de buen gobierno, procedimientos de negocio bien diseñados, etc. Pero esto nos debería llevar a reflexionar sobre si la filosofía y actitud de la dirección fueron las más prudentes. Esto ocurre cuando la dirección puede obtener importantes remuneraciones por la consecución de objetivos a corto plazo, y por tanto, está incentivada a mejorar la cuenta de resultados actual sin preocuparse del efecto a medio-largo plazo. Si esto se combina con personas con un estilo de dirección agresivo, tenemos un entorno de control débil en el que las políticas de control de una organización se pueden relajar o incumplir deliberadamente. El entorno de control son los cimientos de cualquier sistema de control interno, y si esté es débil el resto de controles pierden su eficacia. Por tanto, se debe seguir haciendo esfuerzos para mejorar el control interno y tratar de evitar que ocurran situaciones como las anteriores.
Capítulo 2 ¿Qué importancia tiene el control interno? La importancia del control interno es tal que se ha considerado necesario incluir en este manual un apartado para atorgarle la relevancia que se merece.
1. Desde el punto de vista del gestor El establecimiento de procedimientos de control interno es una responsabilidad del gestor de la entidad, aunque debido a que el tiempo y los recursos son limitados, la revisión de los sistemas de control interno implantados no siempre se puede llevar a cabo con la frecuencia deseada. En general, los auditores revisan anualmente los sistemas de control interno de sus clientes durante la fase de planificación de su trabajo, fase que suelen realizar en la etapa interina de la auditoría o visita precierre. El gestor no puede sustentar su responsabilidad en este trabajo, porque el auditor con su revisión no pretende conseguir una garantía absoluta de la fiabilidad del control interno, sino obtener entendimiento del control interno que le permita determinar la naturaleza y alcance de sus pruebas. A pesar de esto, son escasas las empresas que cuentan con un departamento de auditoría interna, o profesionales con la formación adecuada, para poder llevar a cabo una revisión regular de sus estructuras de control. Como se ha indicado en el capítulo primero, los escándalos financieros ocurridos hace unos años, han motivado la emisión de una serie de normas que otorgan una mayor, o más explícita, responsabilidad al gestor en relación con la implantación, revisión y mantenimiento de los sistemas de control interno: – Ley Sarbanes-Oxley, y dentro de ésta la sección 404, por la que las empresas cotizadas deben adjuntar en su información financiera la valoración de la dirección sobre el control interno del grupo. – Disposición final quinta de la Ley 2/2011 de Economía Sostenible, que introduce un nuevo artículo 61 bis en la Ley del Mercado de Valores, 24/1988, por el que se obliga, para los ejercicios económicos que comiencen a partir del 1 de enero de 2011, a que el IAGC, incorpore una descripción de las principales características de los sistemas internos de control y gestión de riesgos en relación con el proceso de emisión de información financiera. – La introducción del artículo 31 bis en el Código Penal, que por primera vez extiende la responsabilidad penal a las personas jurídicas por los delitos cometidos por las personas físicas que en ellas participan, cuando éstos se han producido por no haberse
ejercido sobre ellos el debido control. Normativas aparte, no hay que olvidar que sin control interno la probabilidad de que se produzca fraude en una organización es muy alta, y es el gestor quién debe poner los medios para evitar que el fraude tenga un ambiente propicio para su aparición en sus diferentes vertientes: – Fraude en su concepción habitual, es decir, la malversación de los activos de la compañía para beneficio propio, por ejemplo: ir de vacaciones a costa de la compañía, jefes de almacén que venden existencias por su cuenta, alianzas del departamento de compras con proveedores a cambio de comisiones, falta de segregación de funciones que permite que se aprueben facturas de gastos que nunca se han producido o compras de mercancías que no eran necesarias, comerciales que venden en diciembre con la promesa de aceptar devoluciones en enero, pago de nóminas a empleados inexistentes, compra de activos por encima de su valor razonable, y un largo etcétera. – Fraude por falsear la información financiera. La manipulación de los estados financieros, o maquillaje contable, no es sino otra forma de fraude y, cuando pueda suponer un perjuicio económico para un tercero, un delito según los artículos 282 bis y 290 del código penal. El maquillaje contable se puede producir por diversas motivaciones como pueden ser llegar a un nivel de ventas o beneficios para recibir bonus, contentar a analistas financieros, obtención de financiación externa, no perder el puesto de trabajo, etc. Este tipo de fraude es en general causado por desviaciones gerenciales, que se producen cuando, por presión, los directivos se saltan los controles establecidos para conseguir un beneficio propio, lo que se suele llamar management override. El mantenimiento y revisión de los sistemas de control interno es un trabajo importante y recurrente, y los administradores/gestores de una entidad difícilmente pueden llevar a cabo personalmente esta tarea, por lo que habitualmente se delega esta responsabilidad en un departamento especializado. La composición ideal de este departamento consistirá en un equipo de personas con perfil financiero que entienda las implicaciones de un sistema de control interno, en combinación con un experto en sistemas informáticos, y soportados también en ocasiones por personal de operaciones que conozca los entresijos del negocio. Este equipo se encuentra habitualmente en el departamento de auditoría interna pero, exceptuando a las sociedades cotizadas, son escasas las empresas que cuentan con este departamento. En ese caso, las funciones de revisión de los sistemas de control interno pueden recaer en los departamentos de control de gestión o en el controller, por lo que aún no siendo una de sus labores principales, es recomendable para el controller la formación en éste ámbito. Por todo lo expuesto anteriormente, es evidente que la preocupación por el control ha de ser un punto importante en la agenda de cualquier administrador, gestor o empresario.
2. Desde el punto de vista del auditor Desde el punto de vista del auditor, la revisión del control interno es imprescindible en cualquier auditoría dado que el auditor está obligado a ello para cumplir con las Normas Técnicas de Auditoría (NTA) españolas emitidas por el Instituto de Contabilidad y Auditoría de Cuentas (ICAC), y que regulan la profesión. Adjunto dos fragmentos: “2.3.1. La primera norma es: El trabajo se planificará apropiadamente. 2.3.2. La planificación de la auditoría comporta el desarrollo de una estrategia global en base al objetivo y alcance del encargo y la forma en que se espera que responda la organización de la entidad. El alcance con que se lleve a cabo la planificación varía según el tamaño y la complejidad de la entidad, de la experiencia que el auditor tenga de la misma, del conocimiento del tipo de negocio en que la empresa se desenvuelve, de la calidad de la organización y del control interno de la entidad. … 2.4.1. La segunda Norma es: Deberá efectuarse un estudio y evaluación adecuada del control interno como base fiable para la determinación del alcance, naturaleza y momento de realización de las pruebas a las que deberán concretarse los procedimientos de auditoría.” Se deduce por tanto de esta norma que: – La revisión de los sistemas de control interno de su cliente es una obligación para el auditor, – La revisión del control interno tiene como finalidad la planificación de las pruebas a realizar. Si analizamos que dice la normativa internacional, normativa a la que España se adaptará en breve, la International Standard on Auditing, ISA 315 “Identifying and assessing the risks of material misstatement through understanding the entity and its environment ” regula cómo debe actuar el auditor para identificar los riesgos de error significativos en los estados financieros, a través del entendimiento de la entidad y su entorno, incluido el control interno. En relación al control interno, indica que el auditor debe determinar que controles son relevantes para la auditoría y cuales no, y para los relevantes evaluar si están bien diseñados y si están funcionando correctamente. La ISA 315 proporciona indicaciones al auditor sobre como revisar cada uno de los componentes del control interno de acuerdo con la definición de COSO, aunque permite utilizar otro marco de referencia siempre que se cubran los mismos elementos. La ISA 330 “The auditor’s responses to assessed risks ”, regula como obtener evidencia para verificar que los estados financieros están libres de errores significativos, en concreto en aquellos riesgos que se ha identificado de acuerdo con la ISA 315. Para obtener dicha evidencia el auditor podrá realizar pruebas de cumplimiento y pruebas sustantivas. Según esta norma, el auditor deberá realizar pruebas sobre la efectividad del control interno: – Si en la evaluación del riesgo realizada considera que los controles están bien
diseñados y, a priori, deberían funcionar efectivamente. – Si las pruebas sustantivas por si mismas no constituyen suficiente evidencia de auditoría. La ISA 330 proporciona también una guía sobre el momento, naturaleza y extensión de las pruebas a realizar para obtener evidencia de auditoría y, en concreto, sobre las pruebas a realizar sobre el control interno. Como ha quedado reflejado, tanto en la normativa nacional como internacional, la revisión del control interno por parte del auditor es un procedimiento ineludible para poder obtener una seguridad razonable de que los estados financieros están libres de errores significativos.
3. La planificación de la auditoría El riesgo del auditor de expresar una opinión favorable sobre unos estados financieros que contienen un error material se puede descomponer en: – La pérdida de reputación y respeto profesional. La imagen de rigor profesional y confianza que puede ofrecer un auditor es su activo más importante, si se pierde es difícil que pueda continuar con su actividad. – El riesgo de reclamación por terceros de los daños y perjuicios que pueda haber causado la toma de decisiones en base a unos estados financieros con errores que no han sido resaltados por el auditor. – El riesgo de que su trabajo sea revisado por el organismo regulador, función que en España realiza el ICAC, y sea sancionado por no realizar sus procedimientos adecuadamente. Respecto al segundo y tercer riesgo, un auditor no es responsable por no haber detectado un error o un fraude, pero sí es responsable por no haber realizado su trabajo de manera adecuada, es decir, de acuerdo con la normativa reguladora. Un auditor nunca podrá detectar la totalidad de los errores, pues, de acuerdo con Normas Técnicas, su trabajo se basa en pruebas selectivas y el objetivo de su trabajo es dar una opinión en conjunto de los estados financieros y no de cada una de las partidas que los componen por separado. Por lo tanto, no se puede acusar a un auditor de no haber detectado un error, pero sí se le puede acusar si la no detección se debe a una falta de rigor profesional en su trabajo, por ejemplo si la extensión de las pruebas realizadas no está adecuadamente justificada. Dicho esto, conviene recordar los siguientes puntos: – De acuerdo con las Normas Técnicas, la evaluación de los sistemas de control interno de la entidad auditada es obligatoria. Incluso en el caso que el auditor, por su
conocimiento previo del cliente, prevea que los procedimientos de la compañía no son suficientes como para realizar un enfoque de confianza en el control interno, éste deberá documentar su entendimiento de esos procedimientos. – Una vez realizada la revisión de los sistemas de control interno, el auditor debe decidir y documentar para cada área del balance y cuenta de resultados: • Si realizará un enfoque de confianza en el control interno. Consiste en obtener evidencia de auditoría con pruebas de cumplimiento, es decir, mediante pruebas destinadas a comprobar la efectividad de los controles de la compañía que permiten que los estados financieros estén libres de errores. Este enfoque siempre se deberá completar con un mínimo de pruebas sustantivas. • Si realizará un enfoque sustantivo. Consiste en obtener evidencia de auditoría únicamente con pruebas sustantivas, es decir, con pruebas de verificación de saldos mediante la obtención y revisión de documentación soporte. – Tanto si se obtiene evidencia con pruebas de cumplimiento o con pruebas sustantivas, o una combinación de ambas, el auditor debe asegurarse de que sus procedimientos cubren los diferentes objetivos de auditoría: la existencia, integridad, exactitud, valoración, propiedad, devengo y presentación, de las transacciones del área auditada. – El tamaño de las pruebas sustantivas, debe estar directamente relacionado con las conclusiones obtenidas de la evaluación del control interno, y con el enfoque que se ha planificado realizar. Es conveniente recordar estos puntos para evitar que se produzcan errores en el trabajo del auditor como los siguientes: – La falta de revisión de los procedimientos de la entidad. – La falta de documentación sobre el enfoque de auditoría que se ha decidido realizar en cada área. – La falta de vinculación entre las pruebas sustantivas realizadas y el trabajo de control interno realizado. – El no explicitar los objetivos de auditoría cubiertos con una prueba, y si el conjunto de las pruebas realizadas en esa área cubren todos los objetivos de auditoría. – La falta de justificación de las muestras tomadas. Es muy didáctico e ilustrativo explicar la relación entre el control interno y la planificación de la auditoría con un gráfico como el siguiente:
El punto A representaría la situación en la que una vez entendido el control interno de la compañía, que a priori parece efectivo, el auditor decide obtener su principal evidencia en base a pruebas de cumplimiento que verifiquen que realmente es así, y planificando sólo un mínimo de pruebas sustantivas. El punto B sería el caso contrario, el control interno tiene muchas debilidades y la evidencia se intentará obtener principalmente en base a pruebas sustantivas, cuanto más amplias mejor. El auditor también podría situarse en el punto B cuando, después de haber entendido el control interno y concluir que a priori parece efectivo, decide obtener evidencia únicamente con pruebas sustantivas por razones de coste-eficacia. Todas las combinaciones de pruebas de cumplimiento y pruebas sustantivas que están en la línea que dibuja esta función, serían planificaciones adecuadas de la auditoría según esta simplificación de la realidad. Respecto a los puntos que no están en la frontera: El punto C es un caso frecuente de exceso de celo profesional. El auditor ha realizado tantas pruebas de cumplimiento como en A pero como no tiene la costumbre o el valor de reducir pruebas sustantivas, sigue haciendo muchas pruebas sustantivas por si acaso. Las causas que suelen llevar al auditor a este punto es que no es tarea fácil vincular el trabajo de control interno realizado con los objetivos de auditoría que queremos cubrir (existencia, integridad, etc.) y la falta de involucración de las personas con más experiencia del equipo, las únicas con capacidad y autoridad para tomar este tipo de decisión. En cualquier caso, aunque es una situación no deseable por falta de eficiencia, en este caso el auditor tiene su riesgo doblemente cubierto. El punto D es mucho peor. En este caso debido a las pocas pruebas de cumplimiento que se han realizado, el tamaño de las pruebas sustantivas debería ser mucho mayor. No está justificado el tamaño de las muestras y no se está cumpliendo con las normas técnicas que regulan la profesión. Por ejemplo, en la auditoría de una entidad con una cartera de deudores muy atomizada, (cinco mil deudores con saldos de mil euros cada uno) no se ha realizado pruebas de cumplimiento para verificar si el control interno proporciona evidencia de dichos saldos y de las transacciones relacionadas, y sin embargo se ha circularizado (criterio subjetivo del auditor) 20 clientes. ¿Cómo se puede justificar ante un tercero que las conclusiones del informe están debidamente fundadas con una muestra de 20 clientes? Éste es uno de los peores errores que puede cometer un auditor, error que estaría relacionado también con el tema de la selección estadística, pero ese tema esta fuera del alcance de este manual.
Por todo esto, la importancia del control interno para el auditor es vital, y no debe descuidarse desde el punto de vista de riesgo profesional, tanto por la posibilidad de no detectar errores como por la posibilidad de que el trabajo del auditor no cumpla los estándares de calidad que exige el ICAC en sus inspecciones.
Capítulo 3 Control interno
1. Definición ¿Qué es el control interno? El Control interno ha existido siempre. Desde que se crearon las primeras organizaciones existe la necesidad de establecer controles sobre las personas que en ellas participan y sobre sus operaciones. El control interno ha sido definido en numerosas ocasiones. A continuación se proporcionan dos de estas definiciones por su relevancia a nivel nacional e internacional, respectivamente. De acuerdo con las Normas Técnicas de Auditoría españolas emitidas en 1991 por el Instituto de Contabilidad y Auditoría de Cuentas (ICAC): “2.4.3. El control interno comprende el plan de organización y el conjunto de métodos y procedimientos que aseguren que los activos están debidamente protegidos, que los registros contables son fidedignos y que la actividad de la entidad se desarrolla eficazmente y se cumplen según las directrices marcadas por la dirección.” Si desgranamos esta definición podemos observar unos medios: – plan de organización – conjunto de métodos y procedimientos y unos objetivos para los que se establecen: – que los activos están debidamente protegidos, la llamada “salvaguarda de activos”. Para ello, se establecen procedimientos cuyo objetivo es velar por la seguridad de los activos de la entidad (efectivo, inmovilizados, existencias, saldos a cobrar…). Ejemplos de controles de salvaguarda de activos pueden ser: etiquetaje e inventario de inmovilizado, controles de salida de existencias, conciliaciones bancarias, firma bancaria mancomunada, etc. – que los registros contables son fidedignos, es decir, una información financiera fiable que sea de utilidad para la toma de decisiones, tanto por los agentes internos como externos a la organización. En este fin se englobarían todos aquellos controles cuyo objetivo es asegurar que las operaciones son registradas en la contabilidad íntegramente, que se registran con exactitud y que los registros contables corresponden a transacciones reales, por ejemplo: verificación de que todas las salidas de almacén han sido facturadas y contabilizadas, revisión de que todas las entradas en almacén han sido contabilizadas (se haya recibido la factura o no), comprobación de que todas las provisiones han sido contabilizadas al cierre, etc.
– y que la actividad de la entidad se desarrolla eficazmente y se cumplen según las directrices marcadas por la dirección. En general las directrices de la dirección irán encaminadas a maximizar el beneficio del negocio y reducir los riesgos. Ejemplos de controles que ayuden a conseguir este fin podrían ser, entre otros muchos, que el sistema no permita entrar pedidos no rentables o a clientes morosos, que se tenga que realizar un procedimiento de selección antes de comprar a un proveedor, etc. La definición que proporciona el manual de control interno Internal Control–Integrated Framework publicado en 1992 por COSO, que en la fecha de preparación de este manual está siendo revisado, es la siguiente: “Proceso efectuado por el consejo de administración, la dirección y el resto del personal de una entidad, diseñado con el objeto de proporcionar un grado de seguridad razonable en cuanto a la consecución de objetivos dentro de las siguientes categorías: – Eficacia y eficiencia de las operaciones. – Fiabilidad de la información financiera. – Cumplimiento de las leyes y normas aplicables. La mayor parte de las compañías americanas cotizadas en Estados Unidos utilizan este manual como marco para las revisiones anuales de sus procedimientos de control, revisiones que impone la Ley Sarbanes-Oxley. Las definiciones del Integrated Framework se han convertido en un estándar a nivel mundial, incluso las normas internacionales de auditoría emitidas por el International Auditing and Assurance Standards Board (IAASB) son homogéneas con esta definición, como se puede observar en las normas ISA 315, sobre como identificar y evaluar riesgos de errores significativos mediante el conocimiento de la entidad y su entorno, e ISA 330, sobre la respuesta del auditor a los riesgos evaluados. Como se puede observar la definición “española” y la “americana” son coincidentes, salvo por lo siguiente: – la española hace referencia a la salvaguarda de activos, concepto que si profundizamos en el informe COSO está incluido dentro de la eficacia de las operaciones, – la americana introduce como uno de los objetivos el cumplimiento de las leyes y normas aplicables. Se podría considerar que en la Norma Técnica española este concepto está dentro de las directrices que da la dirección, pero no se especifica como un objetivo independiente. En general, se podría decir que las dos definiciones son similares, y si se analizaran otras definiciones tampoco se observaría diferencias significativas. Esto es debido a que el control interno no viene determinado por normativas, sino que es un ámbito en el que predomina el sentido común, es decir, los procedimientos a establecer para asegurar que la información financiera es fiable, una adecuada gestión del negocio y el cumplimiento de normativas, deberían ser similares en cualquier organización. Se debe resaltar que en la definición de COSO se habla de “seguridad razonable” y no certeza absoluta, pues no existe sistema de control interno infalible. Más adelante se
expondrán las limitaciones del control interno.
2. Componentes El informe de COSO de 1992 y sus actualizaciones posteriores estructuran el control interno en cinco componentes, que son habitualmente representados en el llamado “cubo de COSO” que se muestra a continuación:
De acuerdo con el cuadro anterior, los cinco componentes del control interno son: – Entorno de control – Evaluación de riesgos – Actividades de control – Información y comunicación – Actividades de seguimiento Además de los cinco componentes del control interno que se presentan en la cara frontal del cubo, en la figura también se puede observar: – En su parte superior, los objetivos del control interno que han sido comentados anteriormente. – En la parte lateral, el hecho de que los controles deben estar implantados en las diferentes divisiones, departamentos o cuerpos de la entidad. A continuación se presenta una breve descripción de cada uno de los cinco componentes que debe tener un sistema de control interno. Entorno de control (Control environment) Está situado en la parte más baja del cubo porque es considerado el cimiento de cualquier
sistema de control. Si el entorno de control no es adecuado, difícilmente se puede tener seguridad sobre el funcionamiento del resto de procedimientos de la entidad. El entorno de control es todo aquello que no es específico de un proceso de negocio concreto sino que influye en todas las actividades de la entidad. Dentro del entorno de control se puede incluir conceptos como la integridad, valores éticos y filosofía de la dirección, la organización del Consejo de administración, la implantación de un Comité de auditoría y auditoría interna, la estructura organizacional diseñada, la delegación de autoridad, las diferentes prácticas de recursos humanos, las formas de remuneración, etc. Debido a la importancia de este componente se ha dedicado el capítulo quinto a desarrollar con profundidad todo lo relativo al entorno de control. Evaluación de riesgos (Risk assessment) Forma parte del control interno el hecho de que la dirección analice cuales son los riesgos que pueden afectar a la entidad, los documente, los evalúe y establezca estrategias para afrontarlos. Antes de identificar riesgos, la dirección debe especificar los objetivos de la entidad: – Objetivos operativos: pueden ser ejemplos de objetivos operativos el mantener un grado de satisfacción del cliente, mantener la tasa de morosidad por debajo de un porcentaje, establecer un determinado tiempo de entrega, etc. – Objetivos de la información reportada: que la información financiera tanto de uso interno como la publicada al exterior este libre de errores significativos. Estos objetivos también pueden hacerse extensivos a la información no financiera, tanto de uso interno como externo. En relación a la información financiera estos objetivos serán que la información refleje la imagen fiel de las operaciones realizadas, y que se cumplan los objetivos de, existencia, integridad, exactitud, valoración, propiedad y presentación. – Objetivos en relación al cumplimiento de la legalidad y normativa: pueden ser ejemplos el cumplimiento de normativas sobre productos alimenticios, normativas medioambientales, de salud y seguridad en el trabajo, obligaciones tributarias, etc. Para cada uno de estos objetivos la dirección debe analizar cuáles son los riesgos que les pueden afectar, tanto a nivel general (reducción de ventas por crisis económicas) como a nivel de procedimiento (pérdida de existencias en el almacén) en cada una de las transacciones. Este procedimiento se debe desarrollar en colaboración con personas de diferentes niveles dentro de la organización para poder identificar todos los riesgos. En la identificación de riesgos debe considerarse la probabilidad de que se produzcan conductas fraudulentas dentro de la organización, en sus dos vertientes: la apropiación indebida de activos y la preparación de información maquillada. Una vez identificados, se debe analizar y clasificar los riesgos en función de variables como las siguientes: – su probabilidad de ocurrencia, – la magnitud del impacto,
– el tiempo que transcurre entre que se materializa el riesgo y se produce un impacto para la entidad, – la persistencia del impacto para el negocio una vez se ha producido el riesgo. En general, se suelen usar clasificaciones del tipo alto/medio/bajo, dado que es difícil estimar con más detalle, y tres niveles son suficientes para la toma de decisiones. Son muy descriptivas las tablas de doble entrada en las que un eje es la probabilidad y el otro el tamaño del impacto, pues permiten identificar a la dirección los riesgos en los que debe centrar sus esfuerzos.
Se pueden usar colores que podrían tener el siguiente significado: Riesgos que por su impacto o probabilidad requieren decisiones inmediatas Riesgos que deben evaluarse para buscar una solución a medio plazo. Riesgos que no requieren acción debido a su escasa probabilidad o impacto.
Una vez analizados los riesgos, se debe tomar una decisión sobre como gestionar cada uno de ellos, decisión que puede entrar dentro de las siguientes opciones: – Aceptar el riesgo y no emprender acciones para mitigarlo. – Evitar el riesgo dejando de hacer las actividades que lo generan. – Reducir el riesgo con las herramientas disponibles. – Compartir el riesgo: contratando seguros, buscando socios, etc. La posición de la compañía hacia cada uno de los riesgos debe documentarse como parte de este proceso, y contar con el nivel de autorización pertinente. El risk assessment o evaluación de riesgos, es un concepto más extendido en las grandes corporaciones americanas, pero que paulatinamente se está introduciendo en compañías españolas de cierto tamaño. Los mapas de riesgos son una herramienta cada vez más usada en la gestión porque cada vez son más los gestores que ven las ventajas de documentar esta información. Actividades de control (Control Activities)
Son los procedimientos que se encuentran a lo largo de cualquier proceso de negocio de una entidad y que han sido diseñados por la dirección para mitigar los riesgos identificados (ver apartado anterior) en el mismo. De todos los componentes del control interno que define COSO, éste es el que coincide con la idea clásica de control interno, es decir, conciliaciones bancarias, recuentos físicos, etc. La segregación de funciones se construye en el diseño de las actividades de control que participan en un proceso, es decir, cuando se decide que actividades se tienen que realizar y quién las va a realizar. Si las funciones coinciden en una única persona, el riesgo de error y fraude aumenta considerablemente. Si hay segregación será necesario que se produzca la colusión entre empleados para poder llevar a cabo conductas inapropiadas. Cuando el tamaño de las entidades y la escasez de recursos no permita que la segregación de funciones sea suficiente, se debe diseñar otras actividades de control alternativas que reduzcan el riesgo de fraude por parte de las personas con acumulación de poderes, como pueden ser controles detectivos o de supervisión como veremos a continuación. Las actividades de control pueden consistir en: – Verificaciones: comparar dos elementos y actuar en consecuencia cuando no coinciden; por ejemplo, la comparación del pedido con el material recibido. – Conciliaciones: comparar dos elementos e identificar las partidas que componen la diferencia entre los mismos; por ejemplo, conciliaciones bancarias. – Autorización: la autorización por el responsable de un departamento da validez a una transacción; por ejemplo, la autorización de la emisión de un pedido. – Controles físicos: los inmovilizados, existencias, caja, etc. deben estar en lugares seguros que impidan su apropiación por terceros, y periódicamente deben ser contados para verificar que coinciden con el registro contable y no se han producido hurtos; por ejemplo, inventarios, arqueos, etc. – Controles sobre bases de datos fijos: para verificar que no se introduce modificaciones no autorizadas en las bases de datos que se utilizan en el proceso, como pueden ser el maestro de clientes o proveedores; por ejemplo, los exception reports, o informes de excepciones, notifican los cambios introducidos en la base de datos para que sean revisados por el responsable del departamento. – Controles de supervisión: pruebas para comprobar que el resto de actividades de control (verificaciones, conciliaciones, autorizaciones…) están funcionando correctamente; por ejemplo, la revisión de las conciliaciones bancarias por una persona adicional a la que las realiza. Las actividades de control también se pueden clasificar entre: – Controles preventivos: diseñados para evitar que se produzca el error en el momento en que se está gestionando la transacción. Se ejercen durante la transacción. Por ejemplo la comparación del pedido con el material recibido, para no aceptar la recepción del producto en caso de no coincidencia. – Controles detectivos: diseñados para detectar errores que no han sido detectados por
los controles preventivos. Se ejercen con posterioridad al registro de la transacción, aunque deben ejercerse con anterioridad a la emisión de los estados financieros. Por ejemplo una revisión analítica de los márgenes obtenidos puede dar lugar a detectar errores en los procesos de compra y de venta que han pasado desapercibidos a los controles preventivos. La decisión de qué tipo de controles establecer dependerá de la dirección, que normalmente elegirá una combinación de ambos, dado que los controles preventivos evitan que se produzca el error y los detectivos permiten obtener una mayor seguridad sobre el funcionamiento global del resto de controles. En relación a su vinculación con el sistema informático, las actividades de control se pueden clasificar en: – Manuales: cuando son realizadas por un empleado, por ejemplo cuando se recuenta el producto que llega al almacén y se compara con el pedido. – Automáticas: cuando son realizadas por el propio sistema informático, por ejemplo cuando el sistema no admite pedidos de clientes no autorizados o no deja entrar en almacén algo que no ha sido pedido. – Combinación de ambas: por ejemplo cuando una interfaz de datos entre dos sistemas advierte de datos que no han podido ser volcados, pero es una persona quién debe investigar esas transacciones para determinar cual ha sido el problema y volverlas a procesar. Adicionalmente a las actividades de control que funcionan a nivel de transacción, se pueden implementar otras actividades de control cuyo objetivo suele ser más amplio. Este tipo de revisiones habitualmente son ejercidas por el departamento de control de gestión o controller. Son ejemplos las siguientes: – La comparación de los márgenes, por división o por producto, con los conseguidos en períodos pasados y con el presupuesto. Una evolución fuera de lo normal puede ser indicativa de algún fallo de control en los procesos de compras o ventas que se debe investigar. El mismo análisis se puede hacer con otras partidas de la cuenta de resultados como pueden ser las ventas o los gastos de explotación. – El análisis de la variación de los precios medios a los que se adquiere las materias primas principales puede proporcionar una seguridad adicional sobre el funcionamiento de los controles de los procedimientos de compra. – Análisis de las desviaciones de fábrica: el análisis de los datos que puede proporcionar una buena contabilidad analítica puede ser un control importante sobre las transacciones que involucra el proceso de fabricación. Son controles a posteriori, pero si se realizan rigurosamente el grado de seguridad que otorgan es muy elevado. Adicionalmente, tienen la ventaja de que no se centran en un solo riesgo y por tanto pueden detectar errores causados por diferentes motivos.
Información y comunicación (Information & Communication) La información y la comunicación son componentes que soportan el funcionamiento del resto de componentes del control interno. Información no es sinónimo de datos. Información es la combinación de datos, con el análisis y presentación adecuados, para que sean relevantes para el usuario. Datos puede haber muchos, pero la dirección debe decidir que información le será útil para el desarrollo de las diferentes actividades de control. Actualmente los entreprise resource planning , (ERP’s), los programas de business intelligence, las aplicaciones web, etc. son fuentes de información muy potentes. Esta información si es bien tratada es un elemento de control realmente efectivo. Con estas herramientas se puede disponer de informes como por ejemplo: – Datos comparados con presupuesto, con el año anterior, y con el mes anterior. – Informes de resultados por división, por producto, por cliente… y en cada uno de estos informes, se pueden incluir el volumen de ventas, los abonos, las causas de los abonos. – Estadísticas de los productos más visitados en la web, los más comprados, los que más gente han pinchado en el botón “me gusta”… Si se dispone de esta información, se debe decidir qué informes son más relevantes para cada nivel de responsabilidad y comunicar para que se haga un uso adecuado de la información. En relación al control interno la dirección debe comunicar a sus empleados: – La importancia y las ventajas de contar con un control interno efectivo. – El rol que debe jugar cada empleado al realizar las actividades de control que le han sido encomendadas. – La importancia de comunicar cualquier debilidad de control y los comportamientos contrarios al código ético de la entidad. Por lo que respecta a este último punto es recomendable que existan canales de comunicación que permitan al empleado denunciar malas prácticas como por ejemplo los llamados whistle blowers, que se podría traducir por chivato, o “ethic hotlines”, que consisten en un teléfono o dirección de correo electrónico donde poder denunciar conductas inapropiadas sin temor a represalia por superiores jerárquicos. Es también una buena práctica en ese sentido, que el Consejo de administración pueda tener acceso a comunicarse directamente con los empleados sin la presencia de la dirección. También es importante comunicar a terceros como clientes o proveedores el código ético que rige las operaciones de la entidad, e incluso solicitar a nuevos proveedores que confirmen su adherencia al mismo. La comunicación fluida y bidireccional con terceros, como pueden ser clientes y proveedores, puede ser muy beneficiosa para mejorar el control de la entidad. Por ejemplo, si se concilia saldos regularmente se puede detectar errores en la contabilización de las operaciones, y si se solicita que nos informen de los errores que se ha cometido en la gestión con ellos nos puede llevar a detectar errores de control interno.
Seguimiento (Monitoring) Las actividades de seguimiento son procedimientos realizados para evaluar si cada uno de los cinco componentes del control interno está funcionando correctamente. El concepto se puede confundir con un control detectivo o un control de supervisión (ver Actividades de control) al estar interrelacionados. La diferencia entre una actividad de seguimiento y una actividad de control es la siguiente: – Un control detectivo como puede ser un inventario rotativo, detecta unos errores y estos se corrigen. Aquí finaliza el proceso. – Una actividad de seguimiento podría ser también el mismo inventario rotativo, pero el revisor se planteará: • Si los controles sobre la entrada y salida de existencias siguen funcionando adecuadamente (actividad de control) • Si existen nuevos riesgos que no han sido identificados (evaluación de riesgos) • Si los empleados implicados disponen de información suficiente y entienden su rol dentro de la organización para realizar sus funciones (información y comunicación). Es decir, evaluará si en esa actividad cada uno de los componentes del control interno está funcionando como debería. Según COSO, las actividades de seguimiento pueden realizarse de dos maneras: – Ongoing evaluations: cuando se llevan a cabo de manera continua y rutinaria, como parte del proceso que están evaluando, y general mente, son realizadas por el personal de la entidad. Puede ser un ejemplo el inventario rotativo que se ha comentado anteriormente. – Separate evaluations: cuando se realizan en un momento concreto del tiempo, y por personal ajeno al proceso como pueden ser auditores internos o externos. Puede ser un ejemplo el inventario de fin de ejercicio. Las Ongoing evaluations comportan una mayor rapidez en la detección de errores. Las Separate evaluations, si son realizadas por personal ajeno al proceso, aportan un punto de vista nuevo y una mayor independencia. En general se optará por una combinación de ambas fórmulas. Las actividades de seguimiento son imprescindibles para tener la seguridad de que el control interno sigue siendo efectivo. Las actividades de un negocio son cambiantes, las personas pueden cometer errores, un empleado puede no haber entendido el objetivo del control que realiza, la configuración de la seguridad informática se puede desmontar por un cambio de versión, etc., por consiguiente, se debe establecer ciertas medidas para comprobar que los cambios en el entorno no han afectado a los controles establecidos y que estos siguen funcionando. Cuando una parte de las actividades de la compañía esté subcontratada (por ejemplo, la preparación de la nómina) también se debe llevar a cabo actividades de seguimiento sobre el control interno de las actividades llevadas a cabo por el proveedor de servicios. Este
seguimiento se puede enfocar de tres maneras: – Realizando nosotros mismos verificaciones sobre el control interno del proveedor de servicios, para ello se debe haber previsto esta posibilidad en el contrato. – Solicitando al proveedor un informe de experto independiente sobre su control interno. – Estableciendo controles en nuestra organización para comprobar que el resultado de los servicios contratados está libre de errores.
4. El control interno sobre la información financiera Como se ha comentado al principio de este capítulo, los objetivos del control interno se podrían decir que son los siguientes: – Eficacia y eficiencia de las operaciones. – Fiabilidad de la información financiera. – Cumplimiento de las leyes y normas aplicables. Desde el punto de vista de un gestor todos ellos son igualmente importantes, pero en ciertas ocasiones puede darse más importancia a uno de ellos por encima del resto, por ejemplo: los auditores del sector público realizan revisiones centradas en el cumplimiento de la legalidad y en sectores muy regulados auditoría interna revisa la efectividad de los controles establecidos para cumplir con la normativa aplicable. La fiabilidad de la información financiera es el objetivo principal, por encima de los otros dos, en situaciones como las siguientes: – La revisión que realizan los auditores de cuentas para emitir su informe sobre las cuentas anuales. El auditor cuando revisa los sistemas de control interno, debe centrar su trabajo en aquellos controles que aseguran que los estados financieros reflejan la imagen fiel de la entidad. – Las revisiones de control interno que debe realizar la dirección y los auditores de acuerdo con la ley Sarbanes Oxley y el Estándar 5 del PCAOB, son revisiones del llamado Internal control over financial reporting, es decir, del control interno sobre la información financiera. – La descripción del control interno que exige el nuevo artículo 61 bis introducido en la Ley del Mercado de Valores, 24/1988, por el que para los ejercicios económicos que comiencen a partir del 1 de enero de 2011, el Informe Anual de Gobierno Corporativo (IAGC), debe incorporar una descripción de las principales características de los sistemas internos de control y gestión de riesgos en relación con el proceso de emisión de información financiera. Esta regulación es una adaptación de la directiva comunitaria 2006/46. En estas tres situaciones, el revisor del control interno debe centrar su trabajo en el
estudio de un determinado tipo de controles. Cuando se trata de determinar si el control interno establecido es suficiente para garantizar una información financiera fiable, el revisor se debe hacer las siguientes preguntas: – ¿Qué controles hay establecidos para asegurar que las transacciones y saldos registrados existen realmente? – ¿Qué controles hay establecidos para asegurar que las transacciones son registradas con exactitud? – ¿Qué controles hay establecidos para asegurar que la integridad de las transacciones han sido registradas? Es decir, debe identificar y revisar el funcionamiento de aquellos controles que ayudan a cumplir los objetivos de existencia, exactitud e integridad de la información financiera. ¿Quiere decir esto que el revisor debe olvidarse de los otros dos objetivos? La respuesta es no. Aunque el revisor debe centrar su análisis en los controles sobre la información financiera, también debería considerar: – En relación al cumplimiento de legalidad y normativa: sin profundizar en las actividades de control que se realizan, se debería considerar si la entidad tiene procedimientos establecidos, que incluyan los cinco componentes del control interno, para asegurar el cumplimiento de legalidad y normativa, y que cualquier posible contingencia que pueda tener un impacto en los estados financieros sea comunicada al departamento encargado de la preparación de la información financiera. – En relación a la eficacia y la eficiencia de las operaciones: aunque no es el objetivo revisar los controles establecidos por la dirección para controlar el negocio, el revisor sí debería considerar si algunos de éstos pueden ser a la vez controles para la prevención de fraude o controles que pueden prevenir situaciones con impacto en los estados financieros, por ejemplo: los controles sobre la capacidad crediticia de los nuevos clientes.
Capítulo 4 El control interno en entornos informatizados
1. Introducción Actualmente no se puede obviar que los sistemas de control están completamente ligados a la configuración de los sistemas informáticos. Es común escuchar esta afirmación y, por lo general, seguida de “tenemos que ir adaptándonos a esta nueva realidad…”, cuando hace muchos años que tendríamos que habernos adaptado. En España en el año 2010, el 64,8% de la empresas con más de 250 trabajadores utilizaba ERP’s en su gestión diaria, y el 43,5% de las empresas con más de 50 trabajadores. De media el 22% de las empresas españolas con ordenadores utilizan un ERP, aún un poco lejos del 32% de Alemania. Los llamados ERP’s son sistemas que permiten gestionar las diferentes actividades de un negocio (compras, ventas, recursos humanos, finanzas…) de forma integrada. Esta integración aumenta la eficiencia de la gestión, y la seguridad, dado que toda la información está en el mismo entorno. Actualmente, SAP cuenta con una cuota dominante en el mercado de los ERP’s aunque existen otras opciones en el mercado. Evidentemente, las empresas que invierten en un sistema informático integrado sustituyen buena parte de los controles manuales, tipo sello o punteo de listados, por controles que realizan automáticamente estos sistemas o que ayudan a realizar de una forma más rápida y más potente. Por lo que, en una entidad de este tipo, para obtener la certeza de que el control interno funciona adecuadamente se debe entender qué sistemas informáticos intervienen, cómo están configurados, cómo se comunican entre ellos, quién los puede manipular, etc. No hay que caer en la complacencia de “como SAP es un seguro de buen funcionamiento, seguro que el control interno está bien”, puesto que SAP es configurable y puede ofrecer numerosos controles, pero sólo si se activan adecuadamente, en caso contrario, no ofrece garantía alguna. Además, la configuración de estos sistemas se puede modificar en el tiempo, ya sea por actualizaciones o por las necesidades del negocio en un momento determinado, por lo que se deben revisar periódicamente para comprobar que siguen teniendo la configuración que se había pensado en su implantación y que por tanto siguen siendo seguros. Cuando nos enfrentamos a un sistema integrado hay que tener en cuenta que no sólo debemos entender el ERP, sino todas las diferentes estructuras que están detrás de éste y que permiten que todo funcione. En general, se dice que un sistema integrado consta de las siguientes capas:
A continuación se explica, de manera general, en que consiste cada uno de estos elementos, qué riesgos conlleva y qué controles debemos buscar para obtener la certeza de que el control interno no flaquea en el sistema informático. Para más detalle se deberá recurrir a manuales especializados en auditoría informática y en los diferentes sistemas que se encuentran en el mercado.
2. Sistemas operativos Los sistemas operativos son los encargados de distribuir el almacenamiento, gestionar el hardware instalado, controlar la ejecución de otros programas y son la pantalla que vemos cuando no hay otro software funcionando. Los sistemas operativos para servidores de bases de datos y aplicaciones de negocio más utilizados en la actualidad son Windows, Unix y Linux. Aunque cada sistema operativo es diferente, y los procedimientos a realizar para su revisión serán diferentes, el riesgo que debemos controlar es común en todos: evitar que una persona no autorizada pueda provocar daños en los datos y sistemas instalados. Para evitar este riesgo se deberá asegurar que: – Existe una adecuada gestión de usuarios y contraseñas. – Los usuarios con permisos de administrador son los imprescindibles. – Existe un registro de logs que permite verificar el usuario que ha llevado a cabo una determinada acción en el sistema. – Las carpetas y ficheros con información crítica están adecuadamente protegidos de su modificación/eliminación por terceros no autorizados. – El acceso al sistema operativo a través de la red es seguro, y que sólo se ha configurado para aquellos servicios realmente imprescindibles. – Existe una política de gestión de cambios con la debida segregación de funciones. – Existe una política de copias de seguridad y procedimientos de recuperación.
– La seguridad física de los servidores donde se encuentra el sistema operativo es adecuada. Tanto el gestor como el auditor deberán incorporar en sus equipos personas con el conocimiento técnico suficiente como para poder realizar estas comprobaciones y obtener la certeza de que no existen riesgos para la información y los sistemas de la entidad.
3. Bases de datos Las bases de datos son uno de los componentes más importantes y más sensibles de un sistema informático. En ellas se almacenan gran cantidad de datos. Si tiene acceso una persona no autorizada o si las personas autorizadas hacen un uso indebido de éstos puede conllevar un perjuicio económico importante. Las bases de datos más utilizadas en la actualidad son Oracle, IBM y Microsoft. Las bases de datos son el contenedor de información donde las aplicaciones: – vuelcan la información de todas las transacciones realizadas. El libro diario, la cartera de clientes, el inventario permanente, etc., se encuentran almacenados en la base de datos. Las aplicaciones tipo SAP nos permiten acceder a estos datos y modificarlos, pero no los contienen en si mismas. – obtienen datos “fijos” para utilizar en el proceso de las transacciones de negocio, como por ejemplo: el maestro de clientes o de proveedores, donde se incluye la dirección y datos bancarios de los clientes/proveedores autorizados, o el fichero con los datos personales de los empleados. Tanto en un tipo de información como en otro, los riesgos de un uso indebido son muy importantes. Por poner algunos ejemplos: – Si podemos acceder a los ficheros de transacciones y modificarlas al alza o a la baja, quizás podemos hacer pagar menos a un cliente o pagar más a un proveedor a cambio de una comisión. – Si podemos modificar el inventario permanente, podemos “esconder” robos de mercancías regularizándolos como diferencias de inventario, de manera que en el inventario físico no surjan diferencias. – Si podemos modificar la dirección de envío de un cliente, podemos enviar el producto a otro almacén. – Si podemos modificar los datos bancarios de un proveedor, podemos redirigir los pagos a otra cuenta bancaria. – Podemos crear proveedores y clientes sin pasar por los filtros de autorización establecidos, para poder entrar transacciones con ellos. – Podemos modificar el sueldo de un empleado. – Podemos crear un empleado fantasma.
Para evitar estos riesgos se deberá asegurar que: – Existe una adecuada gestión de usuarios y contraseñas. – Los permisos de modificación de la base de datos están muy restringidos y son independientes de los usuarios de la información. – Existe un registro de logs que permita verificar quién ha realizado cada modificación. – Existe un diccionario de datos que define la estructura de la base de datos, la interrelación entre los diferentes datos y quién puede tener acceso a ellos para consultar o para editar. – Existe una política de gestión de cambios de la estructura de la base de datos con la debida segregación de funciones. – Los usuarios con permisos de administrador son los mínimos imprescindibles. Dada la importancia de los datos, y que el control absoluto no existe, es recomendable establecer, por si los controles sobre la base de datos fallan, controles compensatorios como por ejemplo: – El uso de exception reports, informes que contienen las modificaciones introducidas en la base de datos y que se envían al gestor responsable del área, para que revise que coinciden con los autorizados por él. Éste es el mejor control sobre modificaciones no autorizadas en las bases de datos, pero se debe configurar adecuadamente para que al gestor sólo le lleguen las modificaciones de los campos con más riesgo, pues en caso contrario y en bases de datos de cierto volumen, los listados son de magnitudes difíciles de revisar. – Otros controles detectivos como pueden ser: • Revisiones analíticas de márgenes que nos permitan decidir si la evolución es razonable con los cambios en el coste de las materias primas y las tarifas de precios aprobadas. • La revisión del top 10 o 20 de clientes y proveedores, permite identificar situaciones de fraude que no han sido detectadas y que han adquirido un volumen importante. • Conciliación periódica de saldos con clientes y proveedores por los departamentos de gestión de clientes y proveedores para verificar que no se ha extraviado dinero/mercancías y que ambas partes tienen la misma información de las transacciones realizadas. • Comparar la nómina con los efectivos que informa cada departamento, para comprobar que todo el que cobra tiene un sitio en la organización. • Comparación de salarios con los del período anterior y análisis de las diferencias. • Analizar la evolución de los consumos de materias primas, mermas, diferencias de inventario, etc.
Conviene recordar que los controles detectivos nos ayudarán a detectar los errores a posteriori, y que no sustituyen a los controles preventivos que debe haber sobre la base de datos para evitar, en la medida de lo posible, que se produzcan dichos errores. Por tanto, cuando se analiza la segregación de funciones y las personas que tienen acceso a la modificación de las bases de datos o a la entrada de transacciones, no sólo es necesario analizar la configuración de accesos en la aplicación que usamos, sino también como está configurada la base de datos que hay detrás. Debemos saber quién tiene acceso a las bases de datos y quién puede modificar su contenido, así como poner controles sobre los cambios que realicen estas personas.
4. Interfaces Se podría definir interfaz como el puente por el que va la información de una aplicación a otra, que se deben comunicar porque cada una participa en una parte del proceso. Incluso en sistemas de información integrados puede haber ciertas partes de un proceso de negocio que se gestionan con otra aplicación y por tanto se requiere una interfaz. Siempre que se vuelca información de un sitio a otro existe el riesgo de que el traspaso no sea totalmente efectivo. Por poner un ejemplo, si los pedidos se recogen en una aplicación diseñada a medida, la información de esta aplicación se volcará en el ERP correspondiente y si la interfaz no funciona correctamente se pueden perder pedidos en el traspaso. Problemas que se pueden dar en la interfaz son: la interrupción de las comunicaciones a mitad del traspaso, intentar traspasar dos veces el mismo lote de información, etc. Para evitar el riesgo de pérdidas de información en interfaces se debe establecer controles sobre los interfaces que pueden ser: – Manuales: mediante la comparación y conciliación de la información de una y otra aplicación. – Automáticos: cuando la conciliación entre ambos sistemas se realiza mediante un programa que genera un listado con las transacciones que no han podido ser volcadas para su análisis y corrección. Incluso en este segundo caso hará falta la intervención de una persona que analice porque los datos no han podido ser volcados, y que comunique a los usuarios pertinentes la incidencia de manera que estos puedan corregir la entrada y pueda ser procesada adecuadamente.
5. Aplicaciones Las aplicaciones de negocio o ERP’s, como ya se ha comentado, son la herramienta que utiliza el usuario para entrar datos y transacciones, gestionar y obtener información. Se debe tener en cuenta que estos sistemas permiten diferentes configuraciones, y que se
pueden hacer implantaciones a medida del cliente. Por consiguiente, la experiencia que tengamos sobre el funcionamiento de un ERP en una entidad no se puede extrapolar enteramente a otras entidades. Se suele decir que hay dos tipos de instalaciones de ERP: – Cuando el usuario se adapta a la manera de funcionar del ERP. – Cuando se adapta el ERP a la manera de trabajar del usuario. El segundo escenario, aunque es más cómodo para el usuario en su adaptación al nuevo sistema informático, puede ser una fuente de complicaciones a futuro. Por ejemplo, una actualización de versión puede generar problemas de funcionamiento puesto que la configuración del ERP standard es diferente a la del que se tiene instalado. Adicionalmente, la actualización de versión en este entorno supone un coste de consultor muy elevado pues hay que reconfigurar la nueva versión a las adaptaciones que se ha hecho en la antigua versión. A efectos de una revisión de la seguridad del control interno, estar en uno u otro escenario supone un diferente enfoque: – En una versión estándar de ERP se pueden aplicar pruebas estándar que los expertos en auditoría informática ya tienen diseñadas. Por ejemplo, se puede verificar que no existe riesgo de segregación de funciones analizando que las llamadas high risk transactions (aprobar facturas, liberar pago…) no coinciden en las mismas personas. – Cuando estamos ante un ERP muy adaptado, se deberá hacer una mayor inversión de tiempo en entender cuáles son esos cambios y cómo nos afectan. Por ejemplo, la prueba de segregación de funciones estándar puede no abarcar la integridad de las high risk transactions, pues se puede haber creado un comando a medida para liberar el pago de ciertas facturas adicional al estándar, que estaríamos obviando si nos centramos sólo en los comandos estándar. Los riesgos principales que se pueden producir a raíz del mal uso de una aplicación integrada son: – Que una persona no autorizada pueda modificar la parametrización y funcionamiento de la aplicación, con consecuencias imprevisibles a nivel de negocio y a nivel contable. – El acceso de personas no autorizadas a las bases de datos. Adicionalmente al acceso directo a los datos que tienen los administradores de bases de datos y que ya hemos comentado en el apartado correspondiente a bases de datos, la aplicación de gestión es también una puerta a la modificación de las bases de datos. – Que una inadecuada segregación de funciones facilite las conductas inapropiadas y la malversación de recursos. Es muy habitual que se concentren en un empleado más permisos de acceso de los que corresponden a su cargo debido a malas prácticas como las siguientes:
– Sustituciones por vacaciones que requieren otorgar permisos a la persona que hace la sustitución, adicionales a los de su perfil habitual. – En cambios de departamento, no se suprime el acceso a las pantallas correspondientes a las anteriores funciones. – Uso de perfiles de usuario demasiado genéricos y amplios. – La actualización de versión del sistema informático incorpora nuevas funciones a usuarios. – Exceso de superusuarios, muchas veces porque se utilizan en la implantación del sistema para realizar pruebas y no se retiran finalizada la instalación. Para evitar estos riesgos se deberá asegurar que se cumplen los siguientes puntos de control interno: – Para evitar que se produzcan cambios en parametrización y funcionamiento de la aplicación se deberá comprobar que: • Existe una política de gestión de cambios con la debida segregación de funciones, es decir, que la persona que realiza el desarrollo, es diferente de la que lo prueba y de quién lo aprueba y pasa a producción (se llama producción al entorno real, por contraposición al entorno de pruebas). • Los usuarios con permiso para parametrizar y con permiso para pasar cambios a producción son los mínimos imprescindibles. • El procedimiento establecido para hacer cambios en la aplicación requiere pasar por la aprobación del usuario final, que debe comprobar en un entorno de pruebas su correcto funcionamiento. – Para evitar el acceso de personas no autorizadas a las bases de datos, además de los controles sobre las bases de datos que hemos comentado en el apartado correspondiente: • Las personas con acceso a los comandos de modificación de bases de datos están muy restringidos y son sólo las personas autorizadas. • Se generan exception reports resumen de las modificaciones introducidas en los campos significativos de las bases de datos. Estos informes se deben enviar a la persona responsable de autorizar cambios, (director de departamento), que debe ser diferente de la persona que tiene acceso a la modificación e introduce los cambios. – Para evitar que haya acumulación de funciones en una misma persona, y que la falta de segregación de funciones suponga una oportunidad para conductas fraudulentas: • Sólo el administrador de perfiles y usuarios puede dar de alta/baja a usuarios y modificar perfiles de usuario. Esta persona debe tener los conocimientos adecuados tanto a nivel técnico como de control interno. • El director del departamento de sistemas revisa la actividad del gestor de perfiles y usuarios porque, por un lado, ostenta el poder de deshacer en un momento dado toda
•
• • •
la segregación de funciones, y por otro lado, existe la posibilidad de que se equivoque. Se establecen políticas y procedimientos para dar de alta un nuevo usuario, como por ejemplo: solicitud del director de departamento, comunicación de recursos humanos y análisis de si esa persona acumula otras funciones incompatibles. Los cambios de departamento deben llevar pareja la baja del perfil de usuario de las antiguas funciones, y a ser posible, en el mismo momento. Las sustituciones por vacaciones generan muchos errores en este sentido. Procedimientos para dar de baja: recursos humanos debe comunicar al departamento de sistemas todas las bajas de usuarios o cambios de funciones. Existe un registro de logs que permite verificar quién ha realizado cualquier transacción en la aplicación. Se analiza periódicamente que los usuarios de la aplicación no acumulan high risk transactions, es decir, que no se acumulan funciones en una misma persona. Los auditores deben comprobar este punto, por lo que sería una oportunidad para hacerlo en colaboración.
Para realizar esta revisión se deben tener ciertos conocimientos técnicos, pero también es necesario tener una visión clara de los procesos de negocio y entender los riesgos que supone una inadecuada segregación de funciones. Por consiguiente, la persona que realiza esta revisión debe tener un perfil mixto: financiero con conocimientos informáticos o informático con conocimientos de control interno.
6. Revisión de los sistemas en un proceso de negocio En los apartados anteriores se ha analizado los controles generales sobre los sistemas de información o entorno de control de los sistemas. Como ya se ha comentado en diversas ocasiones, el entorno de control son los cimientos del control interno porque si el entorno no es el adecuado, el resto de controles no proporciona ninguna seguridad. Por consiguiente, en una revisión del control interno el análisis de los controles generales sobre los sistemas de información es un procedimiento que no se puede obviar. Una vez revisado el entorno de control, se puede dar el siguiente paso que será la revisión de los controles a nivel de aplicación en cada uno de los procesos de negocio. Para ello, en cada proceso de negocio y antes de empezar la revisión, se debe documentar y entender: – Módulo del ERP utilizado. – Otras aplicaciones que intervienen en el proceso y las interfaces que comunican con el ERP. – Las tablas maestras de datos que intervienen en el proceso (por ejemplo: maestro de clientes).
– Las transacciones (comandos) que se utilizan en el proceso (por ejemplo: servir pedido, facturar albaran servido, abonar…). – Los controles automáticos que realiza la aplicación en el flujo del proceso (por ejemplo: verificación que el pedido no hace superar el límite de crédito del cliente). – La parametrización o configuración del módulo (por ejemplo: 3-way matching, cuentas contables en las que se contabiliza las transacciones…). Con esta información se deberá evaluar si los controles cubren todos los riesgos que existen en el proceso, y si por el contrario, se debería implantar controles adicionales. Los controles identificados se deben poner a prueba y comprobar que han funcionado correctamente en el período analizado.
7. La nube En la actualidad se está imponiendo la tendencia de almacenar datos y aplicaciones en la llamada nube o cloud computing. Se trata de utilizar un servidor ajeno en lugar de uno propio, al que podemos acceder vía una conexión de Internet. Esta nueva herramienta que nos ofrece la tecnología conlleva ventajas como la posibilidad de acceder a los datos de la empresa desde cualquier lugar, la reducción de la inversión necesaria en equipos informáticos y en personal, y la escalabilidad, es decir, que si el negocio crece, basta con contratar una ampliación del servicio para tener más capacidad. Por otro lado, también supone ciertas desventajas, y son que adicionalmente a los riesgos que ya hemos analizado sobre los sistemas operativos, aplicaciones, bases de datos e interfaces, tenemos que añadir: – No se puede ejercer directamente el control sobre los servidores y se debe confiar en los controles de la empresa que nos presta el servicio. – El hecho de acceder a los datos por Internet supone un mayor riesgo de ataque externo que cuando los datos están en una red interna. – En cierto modo se crea una cierta dependencia de la empresa que presta el servicio. – Dependencia de la conectividad para poder operar, si la conexión de datos deja de funcionar no se puede trabajar. Por tanto, antes de tomar la decisión de traspasar nuestros sistemas a la nube, se debería: – Evaluar las ventajas y desventajas de esta externalización. – Evaluar los sistemas de control que posee la empresa que presta el servicio. Probablemente, las empresas que prestan estos servicios dispondrán de certificaciones externas sobre la calidad de sus controles. – Plantear un plan de contingencia para el caso en que ésta no pueda continuar prestando el servicio como poder migrar nuestros datos y sistemas a otro servidor.
Capítulo 5 Entorno de control Como ya se ha comentado al analizar la definición de control interno de COSO, el entorno de control, está situado en la parte más baja del cubo, por ser considerado como los cimientos de cualquier sistema de control. Si el entorno de control no es adecuado, difícilmente el resto de procedimientos pueden llegar a tener éxito, como se explica a continuación. Dentro de entorno de control se pueden englobar muchos aspectos, no es una lista cerrada. Habitualmente se habla de:
1. Integridad y valores éticos Evidentemente este es un tema poco tangible pero no por ello menos importante. La dirección es, consciente o inconscientemente, ejemplo a seguir y responsable de la transmisión de unos valores al resto de la organización. La motivación/desmotivación, de igual manera que el comportamiento ético/no ético, dependerá de la implicación que la dirección consiga de sus empleados. Por supuesto, además del trabajo en liderazgo, los valores éticos de una organización deben establecerse por escrito en un código ético o código de conducta para su comunicación formal a los empleados. En muchas organizaciones al contratar a un nuevo empleado se exige la firma de un documento en el que éste reconoce haber leído el documento y comprometerse con dichos principios. Esta medida, a pesar de no ser una garantía de buen comportamiento, sí es al menos un medio para propagar a toda la organización cuales son las conductas esperadas y las consecuencias de su incumplimiento. Para la vigilancia del cumplimiento del código de conducta, en muchas organizaciones se instaura lo que en inglés llaman whistleblowers o chivatos, que pueden tener la forma de teléfono hotline o dirección web, donde poder denunciar conductas inapropiadas dentro de la organización, sin miedo a represión por parte de superiores jerárquicos implicados. Cada vez es más frecuente el uso de estos instrumentos, y es una buena medida para evitar el fraude en cualquier organización. Sin herramientas de este tipo las conductas inadecuadas se pueden demorar en el tiempo, con la consecuente pérdida económica y de reputación para la organización. Evidentemente, una vez detectadas conductas inadecuadas, la organización debe aplicar rigurosamente las medidas disciplinarias previstas en el código de conducta, o que se consideren proporcionales al daño causado.
2. Filosofía de la dirección y estilo operativo Este punto está muy relacionado con el anterior, pues los valores éticos de una organización vienen en gran parte dados por el estilo operativo de su dirección. Como se comentará posteriormente en el apartado de limitaciones del control interno, las desviaciones gerenciales son difíciles de evitar en cualquier sistema de control interno, pues muchas decisiones recaen en estas personas y por su lugar en el escalafón, son pocas las personas que les pueden pedir explicaciones. Por esta razón cobran especial relevancia otros componentes del entorno de control como los whistleblowers que se comentan en el punto anterior, establecer un buen sistema de control de gestión, comités de auditoría y auditoría interna independientes, etc. La filosofía de la dirección se puede observar en: – Sus prioridades: se preocupa por el funcionamiento del negocio a medio-largo plazo, o por el contrario sólo se centra en la consecución de resultados a corto plazo. – El proceso de toma de decisiones: ¿Se evalúan adecuadamente los riesgos/beneficios de las decisiones importantes? ¿En el pasado se han producido errores importantes por operaciones realizadas sin haber sido suficientemente evaluadas? ¿Los miembros de la dirección mantienen una actitud adversa al riesgo, o de riesgo controlado, o se toman más riesgos de los que la compañía puede soportar? – Su actitud respecto a la información financiera: ¿Existe una preocupación por tener una información financiera fiable? ¿Se usa la contabilidad para mejorar los resultados del año aunque suponga cambios de criterio contable o prácticas no aceptadas por las normas contables vigentes? ¿Se realizan presupuestos realistas? ¿O por el contrario los presupuestos son muy agresivos y no suelen cumplirse? Por otro lado, el carácter del estilo gerencial puede verse influenciado por diversos motivos, como por ejemplo: – Retribución: La forma como se retribuye a un directivo puede tener un efecto considerable en su comportamiento. Los incentivos por beneficios de los directivos de entidades financieras pueden haber sido, entre otras, una de las causas de que algunos de ellos tomaran decisiones para mejorar los resultados a corto plazo, independientemente del riesgo a medio-largo plazo que pudieran conllevar, y que han llevado a algunas de estas entidades a la quiebra. En cualquier compañía la dirección suele tener una parte de su retribución fija y una parte variable. En función de la importancia de la parte variable y de los parámetros que sirvan para determinarla, la actuación de los directivos puede ir en uno u otro sentido. Por ejemplo: • No es recomendable que el director financiero tenga objetivos en función del resultado, Ebitda u otros indicadores económicos en los que puede influir directamente con sólo realizar un asiento contable, y si los tiene, deberían ser una parte menor de su bonus.
• La fuerza comercial evidentemente debe tener un incentivo en función de sus ventas, pero para evitar malas prácticas como la venta condicionada (“te lo envío y si no lo vendes en Navidad no te preocupes que en enero te acepto la devolución”) es recomendable que éste se ajuste en función de las devoluciones, o que sea por venta cobrada. Por consiguiente, el diseño de la remuneración e incentivos de la dirección y de los empleados de la compañía es un elemento de control, que debe diseñarse adecuadamente para evitar conductas inapropiadas, y que tiene una influencia muy significativa en el entorno de control. – Resultados: Aunque en casi todas las organizaciones del mundo hay presión por conseguir unos resultados concretos, esta presión es diferente en las compañías con buenos resultados (la presión es por llegar a presupuesto), de la presión que tienen aquellas compañías cuyos resultados están siendo negativos, y de su mejora depende muchas veces la obtención de financiación, la continuidad del negocio y la conservación del empleo. En este segundo escenario, la presión que sufre la dirección y los empleados es muy alta y la probabilidad de conductas inadecuadas aumenta considerablemente. La presión en ambos escenarios, beneficios o pérdidas, es mayor cuando nos encontramos en sociedades cotizadas que deben presentar resultados al mercado periódicamente. – Otras motivaciones: La dirección de una compañía también puede verse afectada por otro tipo de presiones como por ejemplo: • la intención de vender la compañía a corto plazo, • la obtención de financiaciones específicas, • el cumplimiento de debt covenants, ratios financieros cuyo cumplimiento exigen las entidades financieras que prestan financiación, y que en caso de incumplimiento pueden suponer la ejecución de los activos pignorados, • la amenaza de perder su puesto de trabajo. Por tanto, la filosofía de la dirección y todo lo que le puede afectar, es un punto importante a tener en cuenta a la hora de evaluar el entorno de control de una organización.
3. Consejo de administración El Consejo de administración es el órgano de poder más alto de la compañía y un elemento importante del entorno de control. La Ley de Sociedades de Capital le atribuye todas las competencias de dirección y gestión, y al mismo tiempo una gran capacidad de delegación, por lo que las posibilidades de organización son muy diversas y se puede diluir su función de control. Las funciones principales del Consejo de administración son:
– Marcar las pautas de hacia dónde debe ir la compañía, la estrategia. – Velar por los intereses de los accionistas, que aunque diversos, se podrían resumir en la maximización del valor económico de la entidad de forma sostenida. – Ejercer como elemento de control sobre la dirección, que como se ha comentado en el punto anterior, puede tener objetivos diferentes a los del accionista. Esta función es un elemento clave del entorno de control, dado el poder que puede acumular la dirección. El Código unificado de buen gobierno presenta una serie de recomendaciones en relación al funcionamiento de los Consejos de administración, todas ellas con el fin de que éstos ejerzan la función de control que tienen encomendada. Algunas de estas recomendaciones son: – El Consejo debe reservarse las competencias siguientes: aprobar los objetivos y presupuestos anuales, aprobar inversiones significativas y la política de financiación, aprobar la evaluación y retribución de directivos, nombramiento y cese de directivos, la creación o adquisición de participaciones, las operaciones con partes vinculadas, etc. – En el Consejo los consejeros externos deben ser mayoría sobre los consejeros ejecutivos (directivos), para así poder ejercer su labor de supervisión sobre la dirección con la debida independencia. – Dentro de los consejeros externos, el número de consejeros dominicales y el número de consejeros independientes debe ser proporcional a la parte de capital que representan los consejeros dominicales sobre el resto de accionistas. – Cuando el presidente del Consejo sea también el primer ejecutivo de la compañía, los consejeros independientes deben poder solicitar la inclusión de puntos en el orden del día. – La frecuencia de las reuniones debe permitir al Consejo hacer su función adecuadamente. – Los consejeros deben tener acceso a la información para la toma de decisiones, y con la anticipación suficiente. – Los consejeros deben declarar sus otras actividades profesionales, otros consejos en los que participen, y participaciones. – La remuneración de los consejeros externos no debe ser tan elevada como para comprometer su independencia, y no debe incluir la entrega de acciones u opciones sobre acciones, o cualquier tipo de instrumento referenciado al valor de la acción. Como se puede observar, son muchas las consideraciones que pueden afectar el correcto funcionamiento de un Consejo de administración, y que deben evaluarse para verificar que éste puede cumplir con sus cometidos: controlar a la dirección y velar por los intereses de todos los accionistas.
4. Comité de auditoría y auditoría interna, Según la disposición adicional 18a de la Ley del Mercado de Valores, las entidades emisoras de valores admitidos a negociación en mercados secundarios oficiales de valores deberán tener un Comité de auditoría. En cualquier caso, es un instrumento de control y por tanto también recomendable para entidades no cotizadas de cierto tamaño. Entre sus competencias se encuentran las siguientes: – Informar a la Junta General, Asamblea General, u órgano equivalente de la entidad de acuerdo con su naturaleza jurídica, sobre las cuestiones que se planteen en su seno en materia de su competencia. – Supervisar la eficacia del control interno de la sociedad, la auditoría interna y los sistemas de gestión de riesgos, así como discutir con los auditores de cuentas las debilidades significativas del sistema de control interno detectadas en el desarrollo de la auditoría. – Supervisar el proceso de elaboración y presentación de la información financiera regulada. Dadas sus funciones y la independencia con la que se le debe dotar, el Comité de auditoría se puede considerar como un elemento muy recomendable para conseguir un entorno de control adecuado. Es también recomendable que el Comité disponga de un departamento de auditoría interna que le proporcione el soporte necesario para realizar estas funciones. Los miembros del Comité de auditoría deben ser en su mayoría consejeros no ejecutivos y deben ser designados teniendo en cuenta sus conocimientos y experiencia en materia de contabilidad, auditoría o ambas. El objetivo es otorgar al Comité de auditoría y al departamento de auditoría interna de la independencia y capacidad necesarias para realizar eficazmente su función de control sobre la dirección de la entidad. El Código unificado de buen gobierno presenta una serie de recomendaciones en relación al buen funcionamiento del Comité de auditoría. Algunas de estas recomendaciones están muy directamente relacionadas con el entorno de control: – Establecer y supervisar un mecanismo que permita a los empleados comunicar, de forma confidencial, las irregularidades que hayan observado en el seno de la empresa. Lo que los anglosajones llaman whistleblower y que ya se ha comentado anteriormente en este texto. – El Comité debe poder convocar a cualquier empleado o directivo de la sociedad, incluso sin presencia de ningún otro directivo. – Recibir periódicamente al auditor externo para comentar sus resultados y verificar que la dirección tiene en cuenta sus recomendaciones. Por lo que respecta a la auditoría interna, es evidente que es un elemento que aporta un plus adicional de control en cualquier compañía, no necesariamente cotizada. Los auditores
internos tienen dos ventajas sobre los auditores externos: – Conocen con mayor profundidad el negocio y los sistemas de información del grupo en el que trabajan. – Realizan trabajos puntuales sobre áreas concretas en las que se ha determinado que puede existir un riesgo, y esto les permite profundizar mucho más en la realización de las pruebas que en una auditoría de cuentas. Este mayor conocimiento y la focalización de sus trabajos permiten que sus resultados sean de un mayor valor añadido. Por el contrario, para que la auditoría interna sea eficaz es imprescindible que el departamento sea dotado de un alto grado de independencia y que pueda realizar su trabajo sin presiones. Por esta razón es recomendable su vinculación directa al comité de auditoría o a miembros no ejecutivos del Consejo de administración. Tener un departamento propio de auditoría genera una mayor seguridad en el resto de procedimientos de la compañía, dado que de esta manera los errores o fraudes tienen que pasar un triple control para pasar desapercibidos: el de los controles propiamente dichos, el que hace el auditor externo y el que hace el auditor interno.
5. Estructura organizacional y delegación de autoridad Otro aspecto a considerar a la hora de evaluar el entorno de control de una organización es si la estructura establecida es adecuada al tamaño y complejidad de las operaciones que se realizan, y por tanto ofrece suficientes garantías para, por un lado, desarrollar las actividades según las directrices de la dirección y la normativa vigente, y por otro lado, asegurar un control adecuado sobre las transacciones realizadas que permita obtener una información financiera fiable. Una estructura organizacional adecuada debe tener presente los siguientes aspectos: – El tamaño adecuado a la complejidad de la organización. Una búsqueda de reducir costes de estructura puede llevar en su extremo a: • Un exceso de carga de trabajo que reduce la calidad del trabajo y por tanto del control que se puede ejercer. • Un menor conocimiento de las áreas/zonas supervisadas cuando se acumulan diferentes responsabilidades por una misma persona. • Falta de segregación de funciones en algunos puntos de la organización que puede suponer lagunas de control (como veremos a continuación). – El personal debe tener la preparación adecuada al puesto de trabajo en el que realizan sus funciones, tanto a nivel de conocimientos teóricos como de experiencia profesional previa. Es necesario también que cada persona del proceso tenga unos conocimientos mínimos de cómo se relaciona su departamento con el resto de la organización, y cuales son los pasos previos y posteriores del proceso en el que participan, para poder entender correctamente su función en la organización.
– Una adecuada delegación de autoridad, lo que los anglosajones llaman delegation of authority, es decir, que el diseño de la estructura de poderes es apropiado para la organización. Y en estructura de poderes se engloba entre otros: • Personas con poderes bancarios. Siempre se debe usar firma mancomunada, y es recomendable que a partir de ciertos importes sólo las personas de más rango de entre las que tienen poder bancario puedan autorizar el pago. Recientemente el uso de banca electrónica se está extendiendo, y no siempre se es consciente de los poderes que tiene cada una de las personas que tienen acceso, por ejemplo: en ocasiones se pide al banco que de acceso a banca electrónica a una persona que sólo necesita hacer consultas de los extractos para realizar sus funciones, pero el banco le proporciona el mismo acceso que a las personas con autoridad para realizar transferencias. Se debe resaltar, en especial para los auditores, que los bancos no suelen incluir esta información en sus cartas de confirmación de saldos, puesto que hacen mención únicamente a las firmas físicas. • Personas con poder para comprometer a la compañía en obligaciones contractuales. Es recomendable que el poder para la firma de contratos no se delegue en una sola persona y se requiera más de una firma para su formalización. Como es lógico, se debe escalar estos poderes, de manera que ciertas decisiones deben someterse a la autorización previa del Consejo de administración o Junta de accionistas. • Límites para la realización de pedidos a proveedores. Por lo que respecta a la realización de pedidos, para que la delegación de poderes sea también funcional se suele optar por un esquema de poderes escalado en función del importe. – Segregación de funciones. Cuanto mayor es la segregación de funciones entre departamentos y personas menor es el riesgo de que se produzcan situaciones indeseadas, dicho de otra manera, cuantas más personas participan en un proceso más difícil es que alguien tenga la oportunidad de realizar conductas inapropiadas. El problema en las pequeñas y medianas empresas es que no siempre se cuenta con los recursos necesarios para tener toda la segregación que se consideraría “ideal”. En estos casos, la falta de segregación de funciones se deberá suplir con controles de supervisión, que aunque se ejercen a posteriori, detectan los errores producidos y controlan el exceso de poder acumulado en las personas que acumulan tareas. Por ejemplo, en una gran empresa tendremos una persona que determina las compras a realizar, y un director de compras que le supervisa y autoriza los pedidos que se proponen. En una empresa mediana o pequeña, posiblemente el departamento de compras sea una sola persona y por tanto el riesgo de fraude es mayor. En este caso, alguien deberá realizar controles de supervisión, como revisar los precios medios de compra, o los márgenes obtenidos, para detectar si se ha producido compras a precios anormales. La falta de segregación de funciones puede conllevar situaciones tan peligrosas como que la persona que contabiliza facturas pueda también ordenar transferencias bancarias. En resumen, para contar con un entorno de control adecuado la estructura de una organización debe aspirar a:
– Establecer una estructura con el tamaño adecuado a la complejidad de la organización. – Conseguir empleados con la capacidad necesaria para el desarrollo de sus funciones. – Un diseño adecuado de la delegación de poderes que evite el exceso de poder en manos de una sola persona. – Obtener la más amplia segregación de funciones con los recursos disponibles. De los cuatro, los dos últimos puntos son dos de los elementos más importantes de un sistema de control interno.
6. Controles generales sobre los sistemas informáticos En el capítulo cuarto se han desarrollado con profundidad las consideraciones a tener en cuenta a la hora de evaluar el control interno en un entorno informatizado, distinguiendo: – Controles sobre los sistemas operativos. – Controles sobre las bases de datos. – Controles sobre interfaces. – Controles sobre las aplicaciones. Se incluye también un apartado para ayudar a determinar cuáles de estos controles debemos tener en cuenta cuando se trata de revisar el control interno de un proceso de negocio concreto. En este apartado se recomienda documentar y entender: – Otras aplicaciones que intervienen en el proceso y las interfaces que comunican con el ERP. – Las tablas maestras de datos que intervienen en el proceso (por ejemplo: maestro de clientes). – Las transacciones (comandos) que se utilizan en el proceso (por ejemplo: servir pedido, facturar albaran servido, abonar…). – Los controles automáticos que realiza la aplicación en el flujo del proceso (por ejemplo: verificación que el pedido no hace superar el límite de crédito del cliente). – La parametrización o configuración del módulo (por ejemplo: 3-way matching, cuentas contables en las que se contabiliza las transacciones…). Los controles que aseguran que todo lo anterior funciona correctamente se podrían considerar actividades de control de un proceso de negocio concreto. Pero en cambio, la gestión de las bases de datos, los controles sobre interfaces o la segregación de funciones también se podrían considerar controles que formarían parte del entorno general de control de los sistemas informáticos. En lo referente a los sistemas informáticos es difícil poner una frontera para determinar qué controles caen dentro del entorno general de control, y qué
controles forman parte de un proceso de negocio concreto. Cuando se realiza una revisión de los controles generales sobre los sistemas informáticos, se suele hacer un enfoque centrado en analizar, entre otras: – Las políticas y procedimientos de seguridad que rigen la concesión de accesos al sistema operativo, bases de datos y aplicaciones: gestión de contraseñas, procedimientos de altas/bajas de usuarios, análisis periódico de segregación de funciones, etc. – Las políticas y procedimientos establecidos para gestionar las modificaciones del software utilizado: autorización, período de pruebas, confirmación de correcto funcionamiento por parte del usuario, segregación de funciones entre el personal de desarrollo y producción, etc. – Políticas de seguridad: localización de servidores, copias de seguridad, planes de contingencia, antivirus, firewalls, etc. Cuando se realiza una revisión de un proceso de negocio concreto se profundiza en: – Determinar que ningún usuario no autorizado puede acceder a la base de datos que interviene en el proceso. – Que las funciones principales del proceso no coinciden en los mismos usuarios y por tanto existe una adecuada segregación de funciones. – Que existe un control efectivo sobre las interfaces con otros sistemas que participan en el proceso de negocio revisado. Y por tanto, indirectamente se verifica si los controles generales han funcionado correctamente o han permitido que existan riesgos en el proceso revisado.
7. Otros elementos a considerar como entorno de control Por otro lado dentro del entorno de control podríamos incluir otros conceptos que la definición de COSO incluye como elementos separados (ver cubo de COSO), pero que desde un punto de vista más global, bien podría entenderse que son elementos del entorno general de control de una organización, como son: – La evaluación de riesgos. – La información y comunicación. – Las actividades de seguimiento. Si se está realizando un trabajo basado en el marco de COSO, en ese caso se debe seguir las definiciones que este manual ofrece. En otras situaciones se podría considerar que estos componentes son parte integrante del entorno general de control de la entidad revisada.
Capítulo 6 Controles habituales que podemos encontrar en los diversos procesos administrativos de una compañía Esta sección, la más práctica de este manual, tiene como objetivo servir de guía a aquellos profesionales que busquen una referencia con la que comparar a la hora de implementar (gestores) o evaluar (auditores) sistemas de control interno. Cuando se revisan los sistemas de control interno es fácil identificar los controles existentes, pero no es tan fácil tener la seguridad de que no deberían existir controles adicionales. Para ello en esta sección se proporciona un ejemplo de los riesgos que existen en cada uno de los procesos habituales de una compañía, y los controles que se puede implantar para mitigarlos. Los procesos analizados son los siguientes: – Compra de bienes. – Servicios recibidos. – Inmovilizado. – Venta de bienes. – Servicios prestados. – Preparación de nóminas. Es conveniente recalcar que estos ejemplos no son listas cerradas, y es posible que muchas organizaciones tengan controles que no están incluidos en estos ejemplos, y por el contrario, controles de estos ejemplos no los encontraremos en muchas organizaciones porque en su lugar se ha implantado otro tipo de control. Por lo tanto estos ejemplos deberán ser adaptados consecuentemente a la casuística particular de cada negocio en aras de conseguir la mayor fiabilidad. Otro aspecto relacionado con el anterior, es que cada organización cuenta con un sistema informático diferente, en ocasiones integrado en otras no, completo o sólo instalado en algunos módulos, y por lo tanto son diferencias que se deben estudiar en cada caso. Los ejemplos que se muestran a continuación consideran que los módulos de gestión de almacén, compras, ventas, recursos humanos y contabilidad están integrados. Para la pequeña y mediana empresa, se incluye también una orientación sobre los controles que deberíamos buscar en organizaciones con sistemas de información no integrados. Para cada uno de los procesos se incluye lo siguiente: 1. Una descripción del proceso y cuáles son las actividades principales que se realizan en cada uno de los diferentes subprocesos en los que se podría dividir el proceso.
2. Matriz de saldos contables relacionados y objetivos de la información financiera. Esta tabla identifica los saldos contables que son fruto de la contabilización de las transacciones del proceso. Para cada uno de ellos se especifica las afirmaciones que los controles establecidos tienen que garantizar que se cumplen. En otras palabras, las afirmaciones serían los objetivos de la información financiera o de la contabilidad. Estos términos son más habituales en el mundo de la auditoría, no obstante, deben ser utilizados también por los gestores para poder determinar si sus controles aseguran que la información financiera refleja la integridad de las operaciones realizadas, lo hace con exactitud, etc. Las afirmaciones comúnmente utilizadas a nivel internacional son seis, que en la tabla siguiente se presentan junto con las afirmaciones que fijan las Normas Técnicas de Auditoría (NTA) españolas:
Además de estas afirmaciones se utiliza dos más, que no son objetivos de la información financiera pero sí objetivos de control interno, y que por tanto se debería identificar que controles ayudan a asegurar estos objetivos: SA
CF
Salvaguarda de activos
Control del fraude
3. Matrices de riesgos y controles. En cada proceso se proporciona una tabla en la que, para cada parte del proceso, se identifican riesgos que se pueden producir y ejemplos de controles que pueden mitigarlos. Estas tablas incluyen las siguiente columnas: – Riesgo: qué puede ir mal en esa parte del proceso, tanto si se produce un error como si se dan conductas no apropiadas.
– Control: la descripción del control y su funcionamiento. Los controles se identifican con un código: • CP, si son controles preventivos, diseñados para evitar que se produzca el error en el momento en que se está gestionando la transacción. • CD, si son controles detectivos, diseñados para detectar errores que no han sido detectados por los controles preventivos. – Afirmación: el objetivo de la información financiera que ayuda a cubrir dicho control. Con los controles establecidos se debería tener cubiertos los seis objetivos. 4. Nota para sistemas no integrados. Debajo de cada una de las matrices de riesgos y controles se ha incluido una pequeña reflexión sobre como cambia la situación en el caso de encontrarnos ante una organización que no dispone de sistemas de información integrados, y que por tanto, realiza muchos de sus procedimientos manualmente.
1. Compra de bienes
E: existencia; I: integridad; e: exactitud; V: valoración; P: propiedad; p: presentación, SA: salvaguarda de activos, CF: control del fraude
Un proceso de compra de materias primas o mercancías, se puede dividir en los siguientes subprocesos:
Las actividades que generalmente se realizan en cada uno de estos subprocesos son las siguientes: Descripción general del proceso Subproceso
Descripción El proceso de compra de bienes se inicia con la selección de los proveedores con los que se va a trabajar.
Selección de proveedor.
El departamento de compras negocia condiciones económicas (precio) con los proveedores cuyo producto cumple los requisitos técnicos fijados por los departamentos técnicos, y propone al que ofrece unas mejores condiciones económicas. La persona o personas responsables seleccionan la mejor opción y autorizan el alta del proveedor en la base de datos de proveedores autorizados. Los precios contratados son también introducidos en una base de datos de precios para poder ser usados en la realización de pedidos futuros.
Realización de pedidos.
Posteriormente, y en función de las necesidades de existencias (necesidades de fábrica menos stock en almacén y menos pedidos pendientes de ser recibidos), el departamento de compras envía pedidos a los proveedores autorizados. Los pedidos son autorizados en función de su importe según la delegación de autoridad establecida. En almacén se reciben las mercancías y se dan de alta en el inventario.
Recepción de bienes.
Recepción de la factura.
La entrada en el inventario va acompañada, de manera manual o automática, de la contabilización del aumento en las existencias y de la deuda con proveedores por facturas pendientes de recibir. Posteriormente se recibe la factura del proveedor. El departamento de cuentas a pagar comprueba si es conforme al pedido realizado y al producto recibido. Se contabiliza en la cuenta del proveedor reduciendo el saldo de proveedores por facturas pendientes de recibir.
Pago de la factura.
En base a las facturas ya contabilizadas, el departamento de tesorería prepara una relación de las facturas cuyo vencimiento está próximo, y propone su pago a las personas con poderes bancarios. Si lo autorizan, se paga y se contabiliza el pago en la cuenta del proveedor.
A continuación se presenta los riesgos que existen en cada una de las partes de este proceso y ejemplos de controles que se puede implantar para mitigarlos: Riesgos y controles subproceso: Selección de proveedores Riesgos
Controles
Afirm.
Asociación con proveedores a cambio de comisiones para seleccionar su producto.
CP01. El departamento de compras debe obtener varias ofertas (mínimo tres) que cumplan con los requisitos técnicos del producto a comprar.
CF
CP02. La selección de la mejor opción se toma de forma mancomunada entre el responsable de compras y el responsable de producción.
CF
Realizar pedidos a proveedores no autorizados (ver también siguiente subproceso).
CP03. Sólo la persona autorizada puede introducir proveedores autorizados en la base de datos del sistema (maestro de proveedores).
CF
Modificaciones no autorizadas de las bases de datos de proveedores: creación de nuevos proveedores, modificación de datos bancarios o dirección.
CD01. El responsable de proveedores/cuentas a pagar del departamento de administración recibe periódicamente del departamento de informática un listado con las modificaciones realizadas en el maestro de proveedores, y verifica que son las que han sido autorizadas y se ha obtenido una justificación del cambio.
CF
Acumulación de proveedores autorizados en el maestro de proveedores.
CD02. Cada cierto tiempo (1 o 2 años) se requiere al departamento de compras la reevaluación de los proveedores autorizados mediante la solicitud de nuevas ofertas.
CF
Cuando no se dispone de un sistema de gestión integrado Los controles realizados por el sistema (CP03 y CD01) pueden ser sustituidos por controles manuales, por ejemplo, una revisión diaria del listado de los pedidos a realizar por una persona con experiencia, y distinta de la que ha preparado los pedidos, que pueda detectar pedidos inusuales, precios desorbitados o nuevos proveedores.
Riesgos y controles subproceso: Realización de pedidos Riesgos
Controles
Afirm.
Pedidos a proveedores no autorizados.
CP04. El sistema sólo permite realizar pedidos a proveedores dados de alta en el maestro de proveedores.
CF
CP05: Todos los pedidos deben ser entrados en el sistema para poder ser procesados.
CF
Pedidos innecesarios por fraude o error.
Pedidos a precios diferentes a los pactados o superiores a mercado.
CP06: Se establece una escala de límites económicos en el sistema en función de los cuales el pedido debe ser autorizado por el director del departamento de compras, por el director financiero o por el director general.
CF
CP07: El sistema no permite realizar pedidos de volumen desproporcionado. Por ejemplo, con un límite en función de la media de los últimos 6 meses.
CF
CD03. Se revisa que los niveles de existencias para cada referencia son razonables a las necesidades.
CF, EIe
CD04: Se revisa periódicamente que los aprovisionamientos están en línea con el presupuesto y el origen de las desviaciones (volumen, precio, etc.)
CF, EIe
CD05: Se revisa que no hay pedidos pendientes de ser recibidos de cierta antigüedad.
CF,
CD06: Se revisan los volúmenes comprados a los principales proveedores (por ejemplo, el top 10 o top 20).
CF, EIe
CP08: El sistema no permite realizar pedidos a precios diferentes a los autorizados e introducidos en el maestro de condiciones comerciales.
CF
CD07: Se revisa para cada referencia los precios medios de compra, comparándolos con el año anterior, con presupuesto y con la evolución del coste de materiales.
CF, EIe
CD08: Se revisan los márgenes obtenidos y se analizan las desviaciones.
CF, EIe
Cuando no se dispone de un sistema de gestión integrado Los controles realizados por el sistema (en este caso todos los controles preventivos) pueden ser sustituidos por controles manuales, por ejemplo: una revisión diaria del listado de los pedidos a realizar por una persona con experiencia, y distinta de la que ha preparado los pedidos. En caso de tener controles manuales es recomendable realizar con mayor profundidad los controles detectivos.
Riesgos y controles subproceso: Recepción de bienes Riesgos
Controles
Afirm.
Aceptar cantidades de producto superiores/inferiores a las del pedido por fraude o error.
CP09: Segregación de funciones entre las personas del departamento de compras y las personas de almacén que confirman la recepción.
CF
CP10: Antes de aceptar la recepción y firmar el albarán de entrega se verifica que los productos recibidos coinciden con las cantidades pedidas de cada referencia y con las cantidades entregadas según el albarán.
CF, EIe
CP11: El sistema permite al personal de almacén aceptar la entrada, si las cantidades no difieren en más de un % con las del pedido. Si supera este margen, el sistema no permite contabilizar la entrada y el departamento de compras debe modificar el pedido para poder
CF,
recepcionar dicha entrega. En ocasiones los sistemas contemplan la posibilidad de hacer recepciones parciales, comprobando que la cantidad total no supere la del pedido.
Error en la contabilización.
Error en la contabilización cuando el Incoterm transfiere la propiedad en puerto de origen.
CD03. Se revisa que los niveles de existencias para cada referencia son razonables a las necesidades.
CF, EIe
CD09: Se realizan inventarios rotativos a lo largo del año de manera que se revise varias veces cada una de las referencias. Son realizados por personas ajenas a la gestión diaria del almacén.
CF
CP12: En un sistema de gestión integrado, el gasto de la compra se debe contabilizar automáticamente por el importe resultante de las cantidades entradas y los precios del pedido realizado, contra una cuenta de facturas pendientes de recibir.
CF
CD07: Se revisa para cada referencia los precios medios de compra, comparándolos con el año anterior, con presupuesto y con la evolución del coste de materiales.
CF, EIe
CD08: Se revisan los márgenes obtenidos y se analizan las desviaciones.
CF, EIe
CP13: En el cierre mensual se revisan los diferentes Incoterms de los pedidos realizados para, en su caso, contabilizar la compra manualmente y con anterioridad a su recepción en el almacén destino.
I
Cuando no se dispone de un sistema de gestión integrado Los controles realizados por el sistema (CP11 y CP12) pasaran a ser manuales, lo que da opción a error o fraude. Por tanto se deberá utilizar con mayor profundidad los controles detectivos.
Riesgos y controles subproceso: Recepción de la factura Riesgos
Controles
Afirm.
Aceptación y contabilización de facturas incorrectas por fraude o error.
CP14: Segregación de funciones entre el personal que contabiliza las facturas a pagar, el personal del departamento de compras y el personal de almacén.
CF,
CP15: El personal que introduce los datos de la factura en el sistema, la asocia con un pedido (normalmente se exige que el proveedor haga referencia al nº de pedido en su factura). El sistema compara que las cantidades facturadas coinciden con las recibidas. De la misma manera comprueba que los precios de la factura son los autorizados en el sistema o los contemplados en el pedido.
CF, EIep
En caso de discrepancias el sistema impide la contabilización (se suele establecer unos márgenes de tolerancia) y se debe transmitir la incidencia al departamento de compras para su resolución (modificación del pedido o petición de nueva factura con los datos correctos). En caso de coincidencia el sistema realiza la contabilización contra la cuenta de proveedor autorizado.
CD07: Se revisa para cada referencia los precios medios de compra, comparándolos con el año anterior, con presupuesto y con la evolución del coste de materiales.
CF, EIe
CD08: Se revisan los márgenes obtenidos y se analiza las desviaciones.
CF, EIe
CD10: Regularmente se concilia saldos con el proveedor.
EIe
Contabilizar por duplicado una factura.
CP16: El sistema no permite contabilizar dos facturas contra una misma entrada en almacén.
CF, E
Pérdida de facturas.
CP17: Se establece un circuito de recepción de facturas, y en los cierres contables se revisa el listado de facturas recibidas para comprobar que todas han sido contabilizadas.
I
Cuando no se dispone de un sistema de gestión integrado Los controles realizados por el sistema (CP15 y CP16) en un sistema no integrado son procedimientos manuales, por lo que son menos potentes para la detección de fraude y error. Por consiguiente se debe realizar con mayor profundidad los controles detectivos como por ejemplo, revisar los márgenes obtenidos, los precios medios de compra, los volúmenes comprados a cada proveedor, conciliar saldos con proveedores, etc.
Riesgos y controles subproceso: Pago de la factura Riesgos
Controles
Afirm.
Malversación de fondos.
CP18: Segregación de funciones entre las personas del departamento de tesorería y el departamento de cuentas a pagar.
CF
CP19: Se establece un sistema de autorización de pagos, preferiblemente con firma mancomunada, y con la intervención de diferentes personas en función del importe.
CF
CP20: En caso de existir banca y firma electrónica, esta debe tener el mismo sistema de firma mancomunada que la firma física.
CF
CP21: En el caso de pago por transferencia o cheque, cada orden de pago debe ir vinculada a un listado de facturas generado por el sistema (recordemos que sólo las facturas correctas han sido contabilizadas), que será la base de la contabilización. El listado recoge los datos bancarios del maestro de proveedores.
CF, Ele
CP22: El listado de facturas se enviará al banco físicamente con la firma de los apoderados o mediante un fichero electrónico que incluya la relación de facturas a pagar. En este segundo caso, se debe prestar atención a la posible manipulación del fichero antes de su envío al banco.
CF
CP23: En el caso de pago por recibo domiciliado, una persona de cuentas a pagar asocia los recibos pagados con las facturas correspondientes y contabiliza el pago. Debe hacerlo en un plazo reducido de tiempo para poder devolver el recibo si es incorrecto.
CF, Ele
CP24: El pago en efectivo está restringido a pequeñas operaciones, y el volumen de efectivo en caja no permite usar el efectivo en las compras a proveedores.
CF
CP25: El pago anticipado de compras, cuando todavía no se ha recibido factura, debe estar
Errores en la contabilización del pago.
Pagar dos veces la misma factura.
justificado por autorización del departamento solicitante, y establecer como paso necesario la contabilización del anticipo.
CF, I
CP26: El talonario de cheques está debidamente protegido.
CF
CP27: La caja física está debidamente protegida.
CF
CP28: En el caso de pago por transferencia o cheque la contabilización es automática una vez se prepara la relación de facturas y se pasan al estado de “enviado al banco para su pago”.
EIep
CP29: En el caso de recibos domiciliados el sistema no permite casar el pago con la factura si la coincidencia no es exacta. En caso de discrepancias el departamento de cuentas a pagar deberá modificar la contabilización si es necesario.
EIep
CD11: Periódicamente se preparan conciliaciones bancarias, preferentemente por una persona que no dependa del departamento de tesorería.
CF, EIep
CP30: El sistema no permite pagar dos veces la misma factura.
CF
Cuando no se dispone de un sistema de gestión integrado En un sistema no integrado el procedimiento es más complejo, puesto que los listados de facturas a liquidar preparados manualmente pueden no estar en consonancia con las facturas que administración ha contabilizado. Por tanto, el responsable que firma la emisión del pago debe revisar que la relación que le pasa el tesorero está debidamente justificada con las facturas correspondientes y que éstas han recibido el visto bueno por parte del departamento de cuentas a pagar (tras verificar que corresponden a recepciones en almacén). Para evitar duplicidades se tiene que establecer un sistema de sellado que impida pagar dos veces la misma factura.
2. Servicios recibidos Este proceso es muy similar al anterior, pero el hecho de no ser bienes homogéneos y el hecho de no haber un control físico sobre la recepción de los servicios prestados hace que tenga sus particularidades.
E: existencia; I: integridad; e: exactitud; V: valoración; P: propiedad; p: presentación, SA: salvaguarda de activos, CF: control del fraude
Un proceso de compra de servicios, contiene los mismos subprocesos que el proceso de compra de bienes aunque las actividades pueden diferir en ciertos aspectos:
Las actividades que generalmente se realizan en cada uno de estos subprocesos son las siguientes: Descripción general del proceso Subproceso
Descripción El proceso de compra de servicios se inicia con la selección del proveedor al que se va a contratar el servicio.
Selección de proveedor.
El departamento de compras obtiene condiciones económicas de los proveedores cuyo producto cumple los requisitos técnicos fijados por los departamentos que solicitan el servicio, y propone al que ofrece unas mejores condiciones económicas. La persona o personas responsables seleccionan la mejor opción y autorizan el alta del proveedor en la base de datos de proveedores autorizados. En servicios es habitual que se formalice un contrato, firmado por las personas responsables, que establece las condiciones que han de regir la prestación del servicio.
Contrato.
Este contrato puede contemplar la realización de un único servicio o actuar como marco para la prestación de servicios futuros. El contrato deber ser revisado por el departamento legal antes de su firma. En servicios se puede diferenciar varios tipos de situaciones: Si es un servicio puntual, el departamento de compras prepara el pedido y éste es autorizado en función de su importe según la delegación de autoridad establecida. El proceso es el mismo que en la compra de bienes.
En aquellos casos en los que se firma un contrato que regula el servicio a prestar, el tiempo y el precio (anual, mensual…) no es necesaria la emisión de pedido. Son un ejemplo los servicios de limpieza, seguridad, alquileres, auditoría, abogados, etc. Realización del pedido.
En aquellos casos en los que se firma un contrato marco que regula las condiciones del servicio a prestar y precios tarifa, en el momento en que se necesita el servicio se realiza un pedido de acuerdo con las condiciones del contrato. Son un ejemplo el transporte de mercancías, inserciones de publicidad en medios de comunicación, etc. En este tercer caso, dado que las condiciones económicas están pactadas se suele delegar a los departamentos correspondientes la realización de pedidos. Esta delegación conlleva un cierto riesgo de falta de segregación de funciones, pues se acumula en una misma persona la realización del pedido y la aprobación del servicio/factura, y aunque los precios están pactados, las cantidades no. Este riesgo se suple con controles detectivos sobre la evolución del gasto de cada departamento y su comparación con los resultados obtenidos. En aquellos casos que se emite pedido, con anterioridad al cierre contable el departamento que ha solicitado el servicio debe confirmar en el sistema informático o comunicar a contabilidad si ha recibido el mismo. En este momento se contabiliza la deuda con el proveedor por facturas pendientes de recibir.
Recepción del servicio.
En aquellos casos que un contrato regula el servicio a prestar y no es necesaria la emisión de un pedido, se debe comunicar al departamento de contabilidad la existencia de estos contratos porque si el servicio se está prestando en el cierre contable se deberá reconocer el gasto incurrido hasta la fecha y la deuda con el proveedor por facturas pendientes de recibir. Posteriormente se recibe la factura del proveedor. En aquellos casos que se hace pedido, el departamento de cuentas a pagar comprueba si la factura es conforme al pedido realizado y verifica que la factura tenga la conformidad del departamento correspondiente.
Recepción de la factura.
En aquellos casos que un contrato regula el servicio a prestar y no es necesaria la emisión de un pedido, cuando se recibe la factura el personal de cuentas a pagar la compara con las condiciones acordadas en el contrato y verifica que la factura tiene la conformidad del departamento correspondiente. Si la factura es correcta, el departamento de cuentas a pagar la contabiliza en la cuenta del proveedor reduciendo el saldo de proveedores por facturas pendientes de recibir.
Pago de la factura.
En base a las facturas ya contabilizadas, el departamento de tesorería prepara una relación de las facturas cuyo vencimiento está próximo, y propone su pago a las personas con poderes bancarios. Si lo autorizan, se paga y se contabiliza el pago en la cuenta del proveedor.
A continuación se presentan los riesgos que existen en cada una de las partes de este proceso y ejemplos de controles que se puede implantar para mitigarlos. No se presentan el subproceso de selección de proveedores y de pago de facturas porque no difieren de lo incluido en las tablas del proceso de compra de bienes. Riesgos y controles subproceso: Contrato Riesgos
Controles
Afirm.
Entrar en obligaciones contractuales que puedan suponer un perjuicio económico en el futuro.
CP04: Con anterioridad a la firma de un contrato se debe obtener informe sobre el borrador del mismo: - del departamento legal, - del departamento financiero, - del departamento de compras.
CF
CP05: La firma de contratos debe ser mancomunada por dos responsables de la
debida autorización.
organización. La delegación de autoridad establece unos límites económicos en función de los cuales se determina qué responsables pueden firmar un contrato.
CF
CD03: El departamento legal gestiona y archiva los contratos firmados. Si un contrato es firmado sin la debida autorización o sin contar con los informes previos necesarios el departamento legal alerta de esta irregularidad.
Riesgos y controles subproceso: Realización de pedidos Riesgos
Controles
Afirm.
Pedidos a proveedores no autorizados.
CP06: El sistema sólo permite realizar pedidos a proveedores dados de alta en el maestro de proveedores.
CF
CP07: Todos los pedidos deben ser entrados en el sistema para poder ser procesados.
CF
CP08: Se establece una escala de límites económicos en el sistema en función de los cuales el pedido debe ser autorizado por el director del departamento de compras, por el director financiero o por el director general.
CF
CP09: En los contratos marco, si se delega la realización de pedidos a departamentos diferentes al de compras, el sistema limita la introducción de pedidos de estos departamentos a los proveedores concretos con los que pueden trabajar.
CF
CP10: El sistema no permite realizar pedidos de volumen desproporcionado. Por ejemplo, con un límite en función de la media de los pedidos de los últimos 6 meses.
CF
CD04: Se revisa periódicamente la evolución de los gastos por departamento, comparando con el presupuesto, año anterior, mes anterior…, y se analiza el origen de las desviaciones.
CF, Ele
CD05: Se revisan los volúmenes comprados a los principales proveedores (top 10 o top 20).
CF, Ele
CD06: Se revisa que no hay pedidos pendientes de ser recibidos de cierta antigüedad.
CF
CP11: El sistema no permite realizar pedidos a precios diferentes a los autorizados e introducidos en el maestro de condiciones comerciales.
CF
CD04: Se revisa periódicamente la evolución de los gastos por departamento, comparando con el presupuesto, año anterior, mes anterior…, y se analiza el origen de las desviaciones.
CF, Ele
Pedidos innecesarios por fraude o error.
Pedidos a precios diferentes a los pactados o superiores a mercado.
Cuando no se dispone de un sistema de gestión integrado Los controles realizados por el sistema (en este caso todos los preventivos) pueden ser sustituidos por controles manuales; por ejemplo, una revisión diaria del listado de los pedidos a realizar por una persona con experiencia, y distinta de la que ha preparado los pedidos. En caso de tener controles manuales es recomendable realizar con mayor profundidad los controles detectivos.
Riesgos y controles subproceso: Recepción del servicio Riesgos
Controles
Afirm.
Confirmar la recepción de servicios que no han sido prestados, por fraude o error.
CP12: Segregación de funciones entre las personas del departamento de compras y las personas de los diferentes departamentos que pueden confirmar la recepción del servicio.
CF
Si en determinados casos se delega la realización de pedidos a otros departamentos diferentes al de compras, esto conlleva un riesgo de falta de segregación de funciones, pues se acumula en una misma persona la realización del pedido y la aprobación del servicio/factura. Este riesgo se debe suplir con controles detectivos más potentes sobre la evolución del gasto del departamento, como CD04. Es recomendable también que no se pueda modificar los precios a los que se realiza el pedido.
Error en la contabilización.
CD04: Se revisa periódicamente la evolución de los gastos por departamento, comparando con el presupuesto, año anterior, mes anterior…, y se analiza el origen de las desviaciones.
CF, Ele
CP13: Una vez confirmada la recepción del servicio, en un sistema de gestión integrado el gasto se contabiliza automáticamente por el importe del pedido realizado contra una cuenta de facturas pendientes de recibir.
Elep
CP14: Con anterioridad al cierre contable, el departamento legal informa a contabilidad de los contratos de servicios vigentes (que no requieren pedido) que se deberá tener en cuenta para provisionar el gasto correspondiente.
CF, I
CD04: Se revisa periódicamente la evolución de los gastos por departamento, comparando con el presupuesto, año anterior, mes anterior…, y se analiza el origen de las desviaciones.
CF, Ele
Cuando no se dispone de un sistema de gestión integrado Si no se cuenta con un sistema de gestión integrado, que contabiliza automáticamente el gasto cuando los departamentos confirman la recepción del servicio, con anterioridad al cierre, contabilidad deberá solicitar a cada departamento que le informen de pedidos realizados y cuyo servicio ha sido recibido, que están pendientes de recibir factura.
Riesgos y controles subproceso: Recepción de la factura Riesgos
Controles
Afirm.
Aceptación y contabilización de facturas incorrectas por fraude o error.
CP15: Segregación de funciones entre el personal que contabiliza las facturas a pagar, el personal de compras y el personal que confirma la recepción del servicio.
CF
CP16: El personal que introduce los datos de la factura en el sistema, la asocia con un pedido (normalmente se exige que el proveedor haga referencia al nº de pedido en su factura), que debe estar en el estado de “servicio recibido”. El sistema compara con el importe de la factura con el del pedido.
CF, Ele
En caso de discrepancias el sistema impide la contabilización (se suele establecer unos márgenes de tolerancia) y se debe transmitir la incidencia al departamento de compras para su resolución (modificación del pedido o petición de nueva factura con los datos correctos). En caso de coincidencia el sistema realiza la contabilización contra la cuenta de proveedor de forma automática.
Contabilizar por duplicado una factura.
Pérdida de facturas.
CP17: En aquellos casos que un contrato regula el servicio a prestar y no es necesaria la emisión de un pedido, cuando se recibe la factura el personal de cuentas a pagar la compara con las condiciones acordadas en el contrato, y verifica que la factura tiene la conformidad del departamento correspondiente. Al no existir pedido la contabilización es manual.
CF, Elep
CD04: Se revisa periódicamente la evolución de los gastos por departamento, comparando con el presupuesto, año anterior, mes anterior…, y se analiza el origen de las desviaciones.
CF, Ele
CD07: Regularmente se concilia saldos con el proveedor.
Ele
CP18: El sistema no permite contabilizar dos facturas contra un mismo pedido.
CF, E
CP19: Todas las facturas son selladas conforme han sido contabilizadas.
E
CD04: Se revisa periódicamente la evolución de los gastos por departamento, comparando con el presupuesto, año anterior, mes anterior…, y se analiza el origen de las desviaciones.
CF, Ele
CP20: Se establece un circuito de recepción de facturas, y en los cierres contables se revisa el listado de facturas recibidas para comprobar que todas han sido contabilizadas.
I
Cuando no se dispone de un sistema de gestión integrado Los controles realizados por el sistema (CP16 y CP18) en un sistema no integrado son procedimientos manuales, por lo que son menos potentes para la detección de fraude y errores en la contabilización de facturas. Por consiguiente se debe realizar con mayor profundidad los controles detectivos para detectar cualquier evolución atípica de los gastos incurridos.
3. Inversiones en inmovilizado
E: existencia; I: integridad; e: exactitud; V: valoración; P: propiedad; p: presentación, SA: salvaguarda de activos, CF: control del fraude
Un proceso de inversión en inmovilizados se puede dividir en los siguientes subprocesos:
Las actividades que generalmente se realizan en cada uno de estos subprocesos son las siguientes: Descripción general del proceso Subproceso
Descripción Anualmente: - Los diferentes departamentos solicitan presupuesto para las inversiones que consideran necesarias. Adjuntan informes técnicos justificativos de la necesidad y de la estimación del coste de la misma.
Plan de inversiones.
- La dirección revisa estos proyectos y los discute con los departamentos solicitantes. En función de las restricciones presupuestarias y de la estrategia corporativa, la dirección propone al Consejo de administración aprobar los proyectos prioritarios para la entidad. - El Consejo de administración aprueba un presupuesto de las inversiones a realizar en el ejercicio siguiente, en el que se detalla los diferentes proyectos a realizar. - A cada proyecto se le asigna un código, que se utilizará para hacer el seguimiento del proyecto de inversión, y para dar de alta el activo en el auxiliar de inmovilizado. El proceso de inversión se inicia con la selección del proveedor al que se va a adquirir el activo.
Selección de proveedor.
El departamento de compras obtiene condiciones económicas de los proveedores cuyo producto cumple los requisitos técnicos fijados por los departamentos que solicitan la inversión, y propone al que ofrece unas mejores condiciones económicas. La persona o personas responsables seleccionan la mejor opción y autorizan el alta del proveedor en la base de datos de proveedores autorizados.
Contrato.
En inversiones que requieren obra o instalación, es habitual que se formalice un contrato, firmado por las personas responsables, que establece la descripción técnica del activo a recibir y las condiciones que regularán la relación con el proveedor. El contrato deber ser revisado por el departamento legal antes de su firma.
Realización del pedido.
El departamento de compras prepara el pedido y éste es autorizado en función de su importe según la delegación de autoridad establecida. El proceso es el mismo que en la compra de bienes. El departamento técnico que ha solicitado la inversión (producción, informática…) cuando se recibe el activo revisa que cumple las condiciones técnicas solicitadas. En caso contrario se gestiona su devolución o la reclamación al proveedor con la colaboración del departamento de compras.
Recepción de la inversión.
Con anterioridad al cierre contable el departamento que recibe la inversión debe confirmar en el sistema informático o comunicar a contabilidad si ha recibido los activos pedidos aunque no se haya recibido la factura. En este momento se contabiliza la deuda con el proveedor por facturas pendientes de recibir. En grandes inversiones que conllevan la realización de obras, las certificaciones parciales que se van realizando son revisadas y firmadas por el departamento que ha solicitado la inversión y por el director de obra. En caso de no cumplir con los requisitos contratados se exige al proveedor su corrección con la colaboración del departamento de compras y del director de obras. Posteriormente se recibe la factura del proveedor. El departamento de cuentas a pagar comprueba si la factura es conforme al pedido realizado, que se ha confirmado la recepción del mismo, y verifica que la factura tiene la conformidad del departamento correspondiente.
Recepción de la factura.
En grandes inversiones que conllevan la realización de obras, y se permite facturar certificaciones parciales del importe total de la obra, el departamento de cuentas a pagar comprueba que las certificaciones están firmadas por el departamento que ha solicitado la inversión y por el director de obra. En la última certificación se comprueba que el importe total de la obra coincide con el pedido realizado/contrato firmado. Se contabiliza en la cuenta del proveedor reduciendo el saldo de proveedores por facturas pendientes de recibir.
Pago de la factura.
En base a las facturas ya contabilizadas, el departamento de tesorería prepara una relación de las facturas cuyo vencimiento está próximo, y propone su pago a las personas con poderes bancarios. Si lo autorizan, se paga y se contabiliza el pago en la cuenta del proveedor. En función de la vida útil del activo y su valor residual, el sistema calcula y contabiliza automáticamente la dotación a la amortización para cada período contable.
Valoración.
El departamento financiero considera las provisiones por depreciación necesarias en aquellos activos en desuso o infrautilizados, o aquellos cuyo valor recuperable se ha reducido, y contabiliza el posible deterioro. Cuando hay cambios en el destino que se le da a un activo, la dirección informa a contabilidad para que se tenga en cuenta a efectos de su valoración. Cuando llega el final de la vida útil de un activo, la dirección autoriza su destrucción y baja de la contabilidad. Cuando un activo es prescindible por la Sociedad antes del fin de su vida útil, la dirección puede autorizar su venta a un tercero. Se debe asegurar que la venta se realiza a precio de mercado.
Venta/Baja
del activo.
Las ventas de activos significativos deben formalizarse en un contrato. En activos menores con la factura es suficiente. El responsable del registro de activos fijos dará de baja el activo. Facturación emite la factura en base al acuerdo llegado con el comprador, y el departamento de administración realiza la contabilización de la venta/baja del activo, con el consecuente beneficio o pérdida.
A continuación se presenta los riesgos que existen en cada una de las partes de este proceso y ejemplos de controles que se puede implantar para mitigarlos. No se presenta el subproceso de aprobación del plan de inversiones dado que es una actividad que se realiza una vez al año y no es recurrente, por lo que no es necesario el establecimiento de controles adicionales para comprobar su correcto funcionamiento. No se presentan el subproceso de selección de proveedores y de pago de facturas porque no difieren de lo incluido en las tablas del proceso de compra de bienes. Riesgos y controles subproceso: Contrato Riesgos
Controles
Entrar en obligaciones contractuales que puedan suponer un perjuicio económico en el futuro.
Afirm.
CP04: Con anterioridad a la firma de un contrato se debe obtener informe sobre el borrador del mismo: - del departamento legal, - del departamento financiero, - del departamento de compras.
CF
Entre otros aspectos financieros, el departamento financiero comprueba que la inversión esté de acuerdo con el plan de inversiones.
Firma de contratos sin la debida autorización.
CP05: La firma de contratos debe ser mancomunada por dos responsables de la organización. La delegación de autoridad establece unos límites económicos en función de los cuales se determina qué responsables pueden firmar un contrato.
CF
CD03: El departamento legal gestiona y archiva los contratos firmados. Si un contrato es firmado sin la debida autorización o sin contar con los informes previos necesarios el departamento legal alerta de esta irregularidad.
CF
Riesgos y controles subproceso: Realización de pedidos Riesgos
Controles
Afirm.
Pedidos a proveedores no autorizados.
CP06: El sistema sólo permite realizar pedidos a proveedores dados de alta en el maestro de proveedores.
CF
CP07: Todos los pedidos deben ser entrados en el sistema para poder ser procesados.
CF
Pedidos innecesarios por fraude o error.
CP07: Todos los pedidos deben ser entrados en el sistema para poder ser procesados.
CP08: Para poder entrar un pedido de inversión, el sistema exige introducir uno de los códigos de proyecto aprobados en el plan de inversiones.
CF
CP09: Se establece una escala de límites económicos en el sistema en función de los cuales el pedido debe ser autorizado por el director del departamento de compras, por el director financiero o por el director general.
CF
CD04: Se revisa por una persona ajena al proceso que las inversiones realizadas están de acuerdo con el presupuesto de inversiones aprobado por el Consejo de administración, y que los conceptos son coincidentes.
CF, EleP
CD05: Se revisan los volúmenes comprados a los principales proveedores (por ejemplo el top 10 o top 20).
CF, Ele
CD06: Se revisa que no hay pedidos pendientes de ser recibidos de cierta antigüedad.
CF
Cuando no se dispone de un sistema de gestión integrado Los controles realizados por el sistema (CP06 a CP09) pueden ser sustituidos realizando con mayor profundidad y frecuencia la revisión, por una persona ajena al proceso, de las inversiones realizadas y su comparación con el plan de inversiones (CD04).
Riesgos y controles subproceso: Recepción de la inversión Riesgos
Controles
Afirm.
Confirmar la recepción de inversiones que no han sido recibidas, por fraude o error.
CP10: Segregación de funciones entre las personas del departamento de compras y las personas de los diferentes departamentos que pueden confirmar la recepción del servicio.
CF
CD07: Periódicamente se realizan inventarios de activos fijos por personal ajeno al departamento al que gestiona el activo y que confirma su recepción.
CF, SA, ElePp
Confirmar la recepción de inversiones que no cumplen las características técnicas solicitadas.
Error en la contabilización.
CP11: El departamento técnico que ha solicitado la inversión (producción, informática…) cuando se recibe el activo revisa que cumple las condiciones técnicas solicitadas. En caso contrario se gestiona su devolución o la reclamación al proveedor con la colaboración del departamento de compras. CF En grandes inversiones, las certificaciones parciales que se van realizando son revisadas y firmadas por el departamento que ha solicitado la inversión y por el director de obra. En caso de no cumplir con los requisitos contratados se exige al proveedor su corrección con la colaboración del departamento de compras y del director de obras. CP12: Cuando el personal del departamento que recibe la inversión confirma la recepción del pedido, en un sistema de gestión integrado se contabiliza automáticamente la inversión contra proveedores de inmovilizado por facturas pendientes de recibir.
Elep
En el caso de certificaciones parciales, normalmente este proceso será manual. CD04: Se revisa por una persona ajena al proceso que las inversiones realizadas están de acuerdo con el presupuesto de inversiones aprobado por el Consejo de administración, y que los conceptos son coincidentes.
CF, Ele
Cuando no se dispone de un sistema de gestión integrado Si no se cuenta con un sistema de gestión integrado, con anterioridad al cierre, contabilidad deberá solicitar a cada departamento que le informen de pedidos de inversiones realizados y recibidos, que están pendientes de recibir factura.
Riesgos y controles subproceso: Recepción de la factura Riesgos
Controles
Afirm.
Aceptación y contabilización de facturas incorrectas por fraude o error.
CP13: Segregación de funciones entre el personal que contabiliza las facturas a pagar, el personal de compras y el personal que recepciona la inversión.
CF
CP14: El sistema no permite contabilizar una factura si no se corresponde con un pedido entrado en el sistema, y éste pedido está en el estado de “recibido”.
CF
CP15: El personal que introduce los datos de la factura en el sistema, la asocia con un pedido (normalmente se exige que el proveedor haga referencia al n° de pedido en su factura). El sistema compara con el importe de la factura con el del pedido.
CF, Elep
En caso de discrepancias el sistema impide la contabilización (se suele establecer unos márgenes de tolerancia) y se debe transmitir la incidencia al departamento de compras para su resolución (modificación del pedido o petición de nueva factura con los datos correctos). En caso de coincidencia el sistema realiza la contabilización contra la cuenta de proveedor de forma automática. En el caso de certificaciones parciales:
Contabilizar por duplicado una factura.
Pérdida de facturas.
CP16: El departamento que introduce los datos de la factura en el sistema, comprueba que la certificación que acompaña la factura está conformada por el departamento receptor de la inversión y por el director de obra.
CF
CP17: Si el sistema permite hacer recepciones parciales de un activo, la comparación con el pedido se realizará cuando se confirma que es la última certificación o cuando se supera el importe del pedido.
CF, Ele
CD04: Se revisa por una persona ajena al proceso que las inversiones realizadas están de acuerdo con el presupuesto de inversiones aprobado por el Consejo de administración, y que los conceptos son coincidentes.
CF, Ele
CD08: Regularmente se concilia saldos con el proveedor.
Elep
CP18: El sistema no permite contabilizar dos facturas contra un mismo pedido.
CF, E
CP19: Todas las facturas son selladas conforme han sido contabilizadas.
E
CD04: Se revisa por una persona ajena al proceso que las inversiones realizadas están de acuerdo con el presupuesto de inversiones aprobado por el Consejo de administración, y que los conceptos son coincidentes.
CF, Ele
CP20: Se establece un circuito de recepción de facturas, y en los cierres contables se
I
Pérdida de facturas.
revisa el listado de facturas recibidas para comprobar que todas han sido contabilizadas.
I
Cuando no se dispone de un sistema de gestión integrado Los controles realizados por el sistema (CP14, CP15, CP17 y CP18) en un sistema no integrado son procedimientos manuales, por lo que son menos potentes para la detección de fraude y errores en la contabilización de facturas. Por consiguiente se debe realizar con mayor profundidad los controles detectivos para detectar cualquier evolución atípica de las inversiones contabilizadas.
Riesgos y controles subproceso: Valoración Riesgos
Controles
Afirm.
Fraude o error en el cálculo de la amortización.
CP21: Segregación de funciones. Sólo el personal de administración puede modificar los datos del modulo de inmovilizado.
CF, V
CP22: En función del presupuesto de inversiones y de los expedientes técnicos que lo soportan, el departamento de administración crea una ficha para cada proyecto de inversión en el modulo de inversiones del sistema, indicando la vida útil y valor residual para cada uno de los componentes en los que se puede desglosar la inversión.
V
CP23: Con anterioridad a los cierres el departamento de administración solicita la fecha de la puesta en marcha de los proyectos en curso. Si es posible, esta información se solicita a un departamento independiente del que soporta el gasto por la amortización.
CF, V
CP24: El sistema calcula automáticamente la dotación a la amortización para cada período contable.
V
CD09: Se revisa que los gastos por amortización están en línea con el presupuesto, y el origen de las desviaciones.
V
CP25: Con anterioridad al cierre, el departamento de administración solicita a la dirección información sobre cualquier cambio en la finalidad de un activo. En cada cierre se revisa que la clasificación (y por tanto valoración) de los diferentes activos está de acuerdo con su finalidad.
V, P
CP26: El departamento financiero solicita periódicamente a los jefes de departamento información sobre cualquier activo en desuso o infrautilizado en sus respectivos departamentos. Se analiza qué impacto puede tener en su valoración, y en su caso, se contabiliza el posible deterioro.
V, P
Fraude o error en la clasificación de activos, que comporten diferente criterio de valoración.
Cuando no se dispone de un sistema de gestión integrado Los controles realizados por el sistema (CP22 y CP24) en un sistema no integrado son controles manuales que pueden conllevar la generación de errores. Por tanto se deberá realizar con mayor profundidad los controles detectivos sobre la evolución del gasto por amortizaciones.
No se ha considerado el proceso de valoración a valor razonable y el cálculo de provisiones, puesto que no son procedimientos recurrentes que deban seguir un procedimiento establecido sino estimaciones contables que serán supervisadas previamente a su contabilización. Riesgos y controles subproceso: Venta/Baja de activos Riesgos
Controles
Afirm.
Venta/Baja de activos no autorizada (contabilizada).
CP27: Segregación de funciones entre las personas que autorizan la operación, el departamento responsable de activos fijos y el departamento de administración.
CF
CP28: La delegación de autoridad establece unos límites económicos en función de los cuales se determina que responsables pueden autorizar la venta de un activo, y siempre de forma mancomunada.
CF
CP29: Para dar de baja un activo del registro auxiliar de inmovilizado, el departamento responsable de activos fijos solicita la debida autorización. En caso de no contar con autorización, se comunica al responsable superior jerárquico.
CF
Venta de activos no autorizada (no contabilizada).
CD07: Periódicamente se realiza inventarios de activos fijos por personal ajeno al departamento al que gestiona el activo.
CF, SA, ElePp
Venta de activos a un precio inferior a su valor de mercado.
CP30: Previamente a la autorización de la venta se debe justificar en el expediente el precio de mercado o de activos similares.
CF
CP31: En activos muy específicos, sin mercado o sin referencia de transacciones de activos similares, se establece un procedimiento de subasta para obtener el mayor precio posible.
CF
CD10: Periódicamente se revisa que los activos según contabilidad coinciden con los activos según el auxiliar de inmovilizado.
Elep
CD11: El responsable de contabilidad supervisa que el beneficio/pérdida contabilizado por operaciones con activos fijos es correcto en función del acuerdo llegado con el comprador y el valor contable del activo según el registro auxiliar de inmovilizado.
CF, SA, ElePp
CD12: Los resultados que no forman parte de las actividades ordinarias del negocio son revisados en cada cierre.
CF, SA, ElePp
Fraude o error en la contabilización de la venta.
4. Venta de bienes
E: existencia; I: integridad; e: exactitud; V: valoración; P: propiedad; p: presentación, SA: salvaguarda de activos, CF: control del fraude * En contabilidad de gestión o bajo normas contables que utilicen la clasificación funcional y no por naturaleza, el concepto variación de existencias se englobaría dentro del epígrafe “coste de ventas”.
Un proceso de venta de bienes se puede dividir en los siguientes subprocesos:
Las actividades que generalmente se realizan en cada uno de estos subprocesos son las siguientes: Descripción general del proceso Subproceso
Aceptación del cliente.
Descripción Cuando el departamento comercial consigue un nuevo cliente solicita su alta como cliente al departamento de administración de clientes. Este departamento antes de dar de alta al cliente, evalúa su capacidad crediticia, y fija el nivel de crédito que se le va a conceder. En casos de riesgo alto sólo se permite la venta al contado.
El departamento comercial recoge los pedidos de los clientes y los introduce en el sistema. Recepción de pedidos.
El sistema no permite introducir pedidos a clientes que no hayan sido previamente dados de alta, y sólo hasta el límite de crédito concedido. La aplicación por la que se introducen los pedidos también contempla los precios y descuentos a utilizar. En almacén se prepara los pedidos que han sido introducidos en el sistema, y que no han sido bloqueados por éste, y se envían a la dirección del cliente.
Envío de producto.
Habitualmente el transporte hasta las instalaciones del cliente se realiza mediante empresas de transporte, aunque también puede llevarse a cabo con medios propios. En el momento que el personal de almacén pasa el pedido al estatus de pedido servido el sistema contabiliza automáticamente la baja del stock en el inventario permanente y la venta (pendiente de ser facturada).
Emisión de la factura.
Cobro de la factura.
El departamento de facturación comprueba que el sistema ha preparado la facturación correspondiente a todos los pedidos servidos el día anterior, y soluciona las incidencias. Si no hay incidencias se lanza el proceso de facturación y el importe se contabiliza definitivamente en la cartera de clientes en la cuenta correspondiente a cada cliente. El departamento de cuentas a cobrar se encarga de pasar al cobro las facturas emitidas en su vencimiento. Los medios de cobro pueden ser diversos: efectivo, cheque, transferencia, recibo domiciliado…, y conllevan diferentes procedimientos. Para aquellas facturas que no se cobran al vencimiento este departamento hace seguimiento de las mismas y todas las acciones necesarias para conseguir su cobro, y en su caso, propone a contabilidad la provisión por dudoso cobro que se estime necesaria. Cuando el cliente no está conforme con el producto recibido, y las causas están dentro de las contempladas por la política de devoluciones de la entidad, el departamento comercial puede autorizar la devolución del producto. La devolución supondrá:
Devoluciones.
- la recepción del producto en almacén y verificación de su estado. Si su estado es bueno volverá a formar parte de las existencias, en caso contrario se destruirá o reciclará. - La emisión de una nota de abono por el departamento de facturación. - El reintegro de la nota de abono en el caso de que el cliente ya hubiera satisfecho la factura correspondiente a esos productos.
No se ha considerado la provisión por devoluciones pendientes de recibir puesto que no es un procedimiento recurrente que deba seguir un procedimiento establecido sino estimaciones contables que serán supervisadas previamente a su contabilización. A continuación se presentan los riesgos que existen en cada una de las partes de este proceso y ejemplos de controles que se puede implantar para mitigarlos. Riesgos y controles subproceso: Aceptación de clientes Riesgos
Controles
Riesgo de crédito.
CP01: El comercial que capta el cliente solicita su alta al departamento de administración de
Afirm.
Riesgo de crédito.
Riesgo de manipulación del maestro de clientes.
clientes, independiente del departamento comercial. CP02: El departamento de administración de clientes solicita informes financieros del nuevo cliente y evalúa el nivel de crédito que se le puede conceder. (No es necesario en ventas al contado).
CF
CP03: Los datos de los clientes autorizados por administración de clientes y el límite de crédito fijado son introducidos en el maestro de clientes.
CF
CP04: Sólo personas determinadas del departamento encargado de la administración de clientes puede modificar el maestro de clientes. Sólo introducen aquellos cambios autorizados por el responsable del departamento.
CF
CD01: El director del departamento periódicamente recibe del departamento de informática un listado con las modificaciones realizadas en el maestro de clientes durante el período, y verifica que son las que ha autorizado y tiene conocimiento.
CF
Cuando no se dispone de un sistema de gestión integrado El control realizado por el sistema, CD01, si no es posible realizarlo automáticamente, se deberá realizar manualmente o restringir la modificación de la base de datos de clientes a una sola persona.
Riesgos y controles subproceso: Recepción de pedidos Riesgos
Controles
Afirm.
Riesgo de no registrar todas las operaciones.
CP05: Los pedidos deben ser entrados en el sistema para poder ser procesados y servidos en almacén.
CF, I
CD02: Se realizan inventarios rotativos a lo largo del año de manera que se revise varias veces cada una de las referencias.
CF, I
CP06: El sistema no permite entrar pedidos si el cliente no está dado de alta.
CF
CP07: El sistema no permite realizar pedidos si se supera el límite de crédito establecido para ese cliente. En caso de no tener establecidos límites de crédito, puede haber un control de pedidos de volumen desproporcionado. Por ejemplo: poner un límite en función de la media de los pedidos de los últimos 6 meses.
CF, V
CP08: Cada cierto tiempo, el departamento de administración de clientes revalúa los límites de crédito para, incrementarlos si es necesario y no ha habido problemas de impago, o restringirlos si se han producido impagados.
CF, V
CD03: Se revisa el top 10 de clientes con más facturación en el período, y el top 10 de clientes con más saldo pendiente de cobro, para analizar riesgos.
CF, V
CD04: Periódicamente se revisa el balance de antigüedad de saldos para comprobar que se cobra con normalidad, e investigar en su caso la situación de clientes con retrasos importantes o las causas que provocan el impago de facturas concretas ya vencidas.
CF, V
CD05: Periódicamente se revisan los listados de recibos impagados para hacer
CF, V
Riesgo de crédito.
Riesgo de ventas no rentables por fraude o error.
Riesgo de “cargar el canal” por la fuerza comercial con la promesa de aceptar devoluciones.
seguimiento de los clientes con posibles problemas de morosidad.
CF, V
CP09: El sistema no permite entrar pedidos a precios que no sean los autorizados por el director del departamento comercial, o con descuentos superiores a los autorizados.
CF
CP10: Sólo personas determinadas del departamento comercial puede modificar el maestro de precios de venta y descuentos autorizados.
CF
CD06: El director del departamento comercial periódicamente recibe del departamento de informática un listado con las modificaciones realizadas en el maestro de precios y descuentos durante el período, y verifica que son las que ha autorizado y tiene conocimiento.
CF
CD07: Se revisan los márgenes obtenidos por división, y si es posible también por cliente, y se compara con el mismo período del ejercicio anterior, con el mes anterior y con el presupuesto. Se analizan las desviaciones inusuales.
EIep, CF
CD08: Se revisan los precios medios de venta por producto y se compara con los del mismo período del ejercicio anterior, con el mes anterior y con el presupuesto. Se analizan las desviaciones inusuales.
CF
CP11: Existe una política de devoluciones clara y concisa.
CF
CP12: Las devoluciones deben ser aprobadas por el director del departamento comercial.
CF
CD09: Se revisa periódicamente la evolución de las ventas por agente comercial y se compara con el mismo período del ejercicio anterior, con el mes anterior y con el presupuesto. Se analizan las desviaciones inusuales.
EIep, CF
CD10: Periódicamente se revisan las estadísticas de devoluciones por agente comercial para analizar fluctuaciones anormales.
CF
Cuando no se dispone de un sistema de gestión integrado Los controles realizados por el sistema, CP06, CP07, CP09, CD06, pueden ser sustituidos por controles manuales como la revisión por el director comercial del listado de pedidos recibidos previamente a su preparación por el personal de almacén. Esta revisión puede detectar pedidos a precios no autorizados, pedidos de clientes ya identificados como morosos, o pedidos de clientes que ya han sobrepasado su límite de crédito.
Riesgos y controles subproceso: Envío del pedido Riesgos
Controles
Afirm.
Envío de cantidades de producto diferentes a las pedidas por
CP13: Segregación de funciones entre el personal del departamento comercial y el personal de almacén.
CF, SA
fraude o error. CP14: Segregación de funciones entre el personal de almacén: las personas que preparan los pedidos deben ser diferentes de las que los envían.
CF, SA
El personal de almacén prepara los pedidos que han sido introducidos en el sistema. Una vez completado el pedido, el sistema pasa el stock de esas referencias al estatus “pedido preparado pendiente de ser enviado”. El personal de salida de pedidos revisa, (una muestra) de los palets preparados para evitar errores, y una vez enviado el producto, pasa el pedido al estatus de “pedido servido”.
Riesgo de pérdida de producto durante su transporte.
CD02: Se realizan inventarios rotativos a lo largo del año de manera que se revise varias veces cada una de las referencias.
CF, SA
CP15: Se imprime dos albaranes, el que se lleva el transportista para su firma por el cliente y posterior retorno a la compañía, y el que firma o sella el transportista conforme ha recogido la mercancía. Se comprueba que todos los pedidos han sido entregados mediante el retorno por parte del transportista del albaran sellado por el cliente.
CF, SA
Cuando no se dispone de un sistema de gestión integrado En un sistema de control interno no integrado, los pedidos (que sólo puede preparar el departamento comercial), se pasan impresos a almacén. Por lo tanto, los estatus de “pedido preparado pendiente de ser enviado” y “pedido servido” deberán indicarse mediante sellos en el impreso del pedido para evitar duplicidades en el envío de producto.
Riesgos y controles subproceso: Contabilización de la venta Riesgos
Controles
Afirm.
Errores en el reconocimiento de la venta.
CP16: En un sistema de gestión integrado, una vez confirmado el envío del pedido, la venta se contabilizará automáticamente por las cantidades servidas y los precios del pedido entrado, anotando el ingreso en la cuenta de resultados, contra una cuenta deudora provisional de ventas pendientes de facturación.
EIep, CF
CP17: Se revisan los diferentes Incoterms de los pedidos enviados para, en su caso, contabilizar manualmente el ajuste de retrocesión de la venta y variación de existencias (por ejemplo, cuando la propiedad se transmite al llegar a puerto de destino). También se puede parametrizar el sistema para que retrase la contabilización X días en función de la experiencia que se tiene sobre el tiempo que tarda en llegar la mercancía al destino.
EI
CD07: Se revisan los márgenes obtenidos por división, y si es posible también por cliente, y se compara con el mismo período del ejercicio anterior, con el mes anterior y con el presupuest. Se analizan las desviaciones inusuales.
EIep
CD08: Se revisan los precios medios de venta por producto y se compara con lo del mismo período del ejercicio anterior, con el mes anterior y con el presupuesto. Se analizan las desviaciones inusuales.
EIep
CD09: Se revisa periódicamente la evolución de las ventas por división y se compara con el mismo período del ejercicio anterior, con el mes anterior y con el presupuesto. Se analizan las desviaciones inusuales.
EIep
Errores en el reconocimiento del coste de ventas
CD11: Regularmente se concilia saldos con los clientes más importantes.
EIep
CP18: El sistema da de baja el stock del inventario permanente una vez se confirma el estatus de pedido servido. Por tanto la variación de existencias recogerá el coste de la venta por el valor que corresponda según el método de valoración utilizado.
EIe, CF
CD02: Se realizan inventarios rotativos a lo largo del año de manera que se revise varias veces cada una de las referencias.
EIe, CF
CD07: Se revisan los márgenes obtenidos por división, y si es posible también por cliente, y se compara con el mismo período del ejercicio anterior, con el mes anterior y con el presupuesto. Se analizan las desviaciones inusuales.
EIe, CF
Cuando no se dispone de un sistema de gestión integrado Los controles CP16 y CP18 en un sistema no integrado deben ser sustituidos por procedimientos de contabilización manual, tanto de la venta como de las unidades salidas, que pueden conllevar errores. En este caso se necesita establecer otros controles de supervisión sobre dicha contabilización, como la revisión de los asientos por el jefe de contabilidad. Tanto en el reconocimiento de ingresos como del coste de ventas, los controles de supervisión como las comparaciones de la cifra de ventas, el análisis de márgenes, precios medios de venta, etc., si se realizan con rigor pueden detectar errores producidos en la contabilización manual. En relación con las unidades salidas será de especial relevancia un buen sistema de inventarios rotativos, que detecte las diferencias con el stock teórico y permita analizarlas para tomar las medidas necesarias.
Riesgos y controles subproceso: Emisión de la factura Riesgos
Controles
Afirm.
Fraude o error en la emisión de facturas.
CP19: Segregación de funciones entre el departamento de facturación y el personal del departamento comercial y almacén.
CF
CP20: En un sistema de gestión integrado, una vez confirmado el envío del pedido, la factura se genera automáticamente por las cantidades servidas y los precios del pedido entrado.
CF
CD12: Los responsables de facturación verifican que la integridad de los pedidos servidos ha sido facturada por el sistema, y resuelven en su caso, errores producidos en el proceso.
Ele
Una vez solventados los errores lanzan el proceso de facturación y se contabiliza la factura en la cartera del cliente correspondiente, reduciendo la cuenta provisional de ventas pendientes de facturación. CD13: Periódicamente se concilia el movimiento de la cartera de clientes con la facturación emitida.
ELe
Cuando no se dispone de un sistema de gestión integrado En un sistema no integrado, o integrado parcialmente, se tendrá que establecer controles diseñados específicamente para cada caso, con el fin de intentar comprobar que: - Las cantidades facturadas se corresponden con las cantidades salidas. - Los precios utilizados en las facturas se corresponden con los precios autorizados. En función de la mayor o menor profundidad de estos controles, cobrarán especial relevancia otros controles detectivos como la revisión de la evolución de ventas, márgenes y precios medios, en la detección de errores o fraudes cometidos en el proceso de facturación.
Riesgos y controles subproceso: Cobro de la factura Riesgos
Controles
Afirm.
Apropiación indebida del importe cobrado.
CP21: Segregación de funciones entre las personas del departamento de tesorería y del departamento de facturación/administración de clientes.
CF, SA
CP22: El registro del correo recibido permite determinar a que persona ha sido entregado, por lo que en caso de recepción de cheques al portador, se puede determinar a quién fue entregado.
CF, SA
CP23: Cuando se permite el cobro en efectivo, una persona que no participa en el proceso concilia las cantidades ingresadas en bancos con los avisos de cobro de facturas por el personal que realiza la visita al cliente.
CF, SA
CD14: Administración de clientes periódicamente revisa el balance de antigüedad de saldos para comprobar que se cobra con normalidad. Este departamento reclama directamente al cliente el pago de facturas vencidas. De esta manera un departamento independiente de tesorería y del departamento comercial puede contrastar que no se ha desviado ingresos que el cliente ya ha realizado.
CF, SA
CD15: Periódicamente se preparan conciliaciones bancarias por una persona independiente al departamento de tesorería, o son revisadas por un tercero.
CF, SA
CD14: Administración de clientes periódicamente revisa el balance de antigüedad de saldos para comprobar que se cobra con normalidad. Este departamento reclama directamente al cliente el pago de facturas vencidas.
ElePp, CF, SA,
CD15: Periódicamente se preparan conciliaciones bancarias por una persona independiente al departamento de tesorería, o son revisadas por un tercero.
ElePp, CF, SA,
CD16: Periódicamente se concilia la contabilidad con la cartera de clientes.
EIePp, CF, SA,
Errores en la contabilización.
Cuando no se dispone de un sistema de gestión integrado En un sistema no integrado los controles establecidos no deben ser muy diferentes a los que
hemos descrito, podemos encontrar diferencias en el nivel de automatización de los procesos, pero los controles a realizar deben ser aproximadamente los mismos.
Riesgos y controles subproceso: Devoluciones Riesgos
Controles
Afirm.
Aceptación de devoluciones no autorizadas.
CP24: Segregación de funciones entre el departamento comercial (que autoriza), el personal de almacén (que recibe la mercancía) y el departamento de facturación (que realiza los abonos).
CF
CP25: La solicitud de abono por el departamento comercial debe tener una escala de autorizaciones en función del importe del abono (jefe de zona, director comercial, etc.) tanto para devoluciones como para cualquier otro tipo de abono.
CF
CP26: El personal de almacén no puede aceptar la entrada de producto si previamente el departamento comercial no ha introducido en el sistema la solicitud de abono.
CF
CP27: El personal de almacén recuenta las cantidades devueltas y comprueba que coinciden con la solicitud del departamento comercial.
CF
CP28: El personal de almacén verifica el estado de los productos devueltos e introduce en el sistema como existencias recibidas únicamente aquellas unidades en buen estado.
EeV, CF
CP29: El sistema contabiliza automáticamente la entrada en existencias por las unidades en buen estado que ha introducido el personal de almacén, y la retrocesión de la venta contra una cuenta de abonos pendientes de emitir.
EIe
Aceptación de devoluciones incompletas o en mal estado.
Errores en la contabilización del abono al cliente y la entrada de stock.
Nota: Cuando el producto no tiene número de lote es difícil parametrizar el sistema para que la retrocesión de la venta y abono se realice a los precios concretos a los que se vendió esa mercancía y no a los más recientes. En cualquier caso, en sectores con poca oscilación de precios y/o cuando la devolución es cercana a la venta, es un riesgo menor. CP30: Cuando administración de clientes lanza la emisión del abono éste se contabiliza automáticamente en la cartera de clientes vaciando la cuenta de abonos pendientes de emitir.
EIe
Nota: cuando no se dispone de información sobre el precio al que se vendió esos productos, Administración de clientes debe hacer una estimación de los precios vigentes a los que se vendieron y la emisión del abono es un procedimiento manual. Emisión de abonos injustificados o superiores a las devoluciones recibidas.
CP31: Administración de clientes sólo puede emitir abonos por devoluciones si previamente se ha introducido la recepción de las unidades por el personal de almacén.
CF
CD17: El responsable de administración de clientes revisa el listado de abonos emitidos, y que no hay abonos pendientes de emitir.
Ele, CF
CD18: Se revisan periódicamente los datos de devoluciones por zona, por cliente, por agente comercial… de manera que se puede detectar desviaciones inusuales.
EIe, CF
CD19: Periódicamente se compara el importe de los abonos emitidos por devoluciones, con
EIe,
el coste de las existencias entradas en almacén por esta causa, y se analiza que el margen de los abonos está en consonancia con el margen habitual del negocio.
EIe, CF
En caso de haber saldo pendiente de cobro, el departamento de administración de clientes compensa las facturas pendientes con los abonos emitidos. Pago de abonos.
CF En caso contrario, las notas de abono siguen el mismo proceso de pago que cualquier otra factura. Ver controles del pago de facturas del proceso de compra de bienes.
Cuando no se dispone de un sistema de gestión integrado Cuando nos encontramos en un sistema no integrado: - Tanto la contabilización de la entrada en existencias como del abono será manual (CP29, CP30), por lo que hay mayores posibilidades de error. - No se dispone de los controles que impiden la entrada en almacén de devoluciones no autorizadas, o la emisión de abonos por devolución sin la efectiva entrada en almacén, por lo que existe mayor margen para conductas inapropiadas. Por tanto, con el uso de procedimientos manuales cobrarán especial relevancia otros controles detectivos como la revisión de los datos de devoluciones por cliente, agente comercial, (si se dispone de ellas) y otros tipos de análisis como comparar las notas de abono emitidas con las entradas por devoluciones en almacén, etc.
5. Prestación de servicios
E: existencia; I: integridad; e: exactitud; V: valoración; P: propiedad; p: presentación, SA: salvaguarda de activos, CF: control del fraude
Dada la diversidad de negocios que pueden entrar en la categoría “servicios”, este ejemplo no se puede adaptar a todos los casos. En concreto, este ejemplo incluye los controles que pueden usarse en servicios relacionados con la venta de proyectos, en los que el coste principal es el salario de las personas que los realizan. Pero estos servicios pueden ser muy diferentes a otros como por ejemplo: telecomunicaciones, turismo, etc. Un proceso de prestación de servicios se puede dividir en los siguientes subprocesos:
Las actividades que generalmente se realizan en cada uno de estos subprocesos son las siguientes: Descripción general del proceso Subproceso
Descripción El personal técnico presenta ofertas a clientes para la realización de nuevos proyectos.
Presentación de ofertas.
La presentación de ofertas a potenciales clientes debe ir precedida de un presupuesto de ingresos y gastos que debe cumplir los requisitos de rentabilidad fijados por la dirección. Estos presupuestos son revisados por el responsable de área, que verificará: - Si se cumple la rentabilidad esperada. - Si hay algún impedimento para realizar el servicio, por ejemplo: elevado riesgo, problemas de independencia, recursos insuficientes para prestar el servicio, etc. - Si se estima que puede haber riesgo de crédito. Todas las ofertas aceptadas son formalizadas mediante un contrato con el cliente (puede ser la misma oferta firmada).
Formalización de contratos.
Una vez firmado el contrato: - El departamento de administración da de alta el cliente en el maestro de clientes. - Se introduce los datos del proyecto en el sistema informático: importe a facturar, horas de personal presupuestadas, gastos esperados, etc. Una vez el contrato está firmado y el proyecto abierto en el sistema se puede empezar la prestación del servicio.
Prestación del servicio.
El personal técnico que realiza el servicio imputa su tiempo y gastos en los proyectos para los que trabaja. El sistema, en función de los gastos imputados y del margen esperado, contabiliza el ingreso correspondiente pendiente de facturar. El sistema informático, en función de las condiciones de facturación acordadas en el contrato e introducidas en el sistema, emite las facturas correspondientes.
Emisión de
El importe facturado aumenta la cuenta de clientes y reducela cuenta de deudores por ingresos pendientes
facturas.
de facturar. Cuando por algún motivo el cliente no está conforme con la factura recibida, y las causas están dentro de las contempladas por la política de notas de abono de la entidad, se autoriza la emisión del abono correspondiente y de una nueva factura.
Cobro facturas
El departamento de cuentas a cobrar se encarga de pasar al cobro las facturas emitidas en su vencimiento. Los medios de cobro pueden ser diversos: cheque, transferencia, recibo domiciliado… y conllevan diferentes procedimientos. Para aquellas facturas que no se cobran al vencimiento el departamento hace seguimiento de las mismas, y en su caso, propone a contabilidad la provisión por dudoso cobro que se estime necesaria.
A continuación se presentan los riesgos que existen en cada una de las partes de este proceso y ejemplos de controles que se pueden implantar para mitigarlos. No se presenta el subproceso de cobro de facturas porque no difiere de lo incluido en las tablas del proceso de venta de bienes. Riesgos y controles subproceso: Presentación de ofertas Riesgos
Controles
Afirm.
Hacer ofertas de baja retabilidad.
CP01: Las ofertas deben ser autorizadas por el responsable del área. Para su autorización el responsable revisa el presupuesto de ingresos y gastos que ha preparado el técnico que realiza la oferta. Verifica que las estimaciones son razonables y que cumple los requisitos de rentabilidad fijados por la dirección.
CF
CP02: Las ofertas/contratos deben ser autorizadas por el responsable del área. Hacer ofertas de proyectos que no pueden llevarse a cabo.
Hacer ofertas a clientes con riesgo de crédito.
Para su autorización el responsable verifica: - Si - Si - Si - Si - Si
es un cliente de elevado riesgo. es un proyecto de elevado riesgo. las personas que participan en el proyecto confirman su independencia del cliente. se dispone de recursos suficientes para prestar el servicio. se estima que puede haber riesgo de crédito.
CP03: Junto con la oferta que se pasa a autorización del responsable del área, el personal técnico debe adjuntar un informe del departamento de administración de clientes sobre el riesgo de crédito de dicho cliente.
CF
CF, V
Riesgos y controles subproceso: Formalización de contratos Riesgos
Controles
Afirm.
Obligaciones contractuales que puedan suponer un perjuicio económico.
CP04: Todos los contratos deben seguir un formato estándar que ha sido revisado por los servicios legales de la entidad.
CF
Firma de contratos sin la debida autorización.
Si la oferta presentada se utiliza como contrato, ver CP01. Si se formaliza un contrato: CP05: El contrato debe ser firmado por el responsable del área.
CF
Riesgos y controles subproceso: Prestación del servicio
Riesgos
Controles
Afirm.
Prestación de servicios e incursión en costes para proyectos no autorizados.
CP06: Todos los proyectos deben ser formalizados mediante contrato con el cliente.
CF
CP07: El personal del departamento de administración sólo registra en el sistema los proyectos formalizados en un contrato.
CF
CP08: El sistema no permite contabilizar gastos y facturar si no dispone de un número de proyecto asociado.
CF
CD01: El director del área de negocio recibe del departamento un listado de cambios (exception report) en la base de datos de proyectos, en el que puede revisar los proyectos introducidos en el sistema y los cambios introducidos en proyectos ya existentes.
CF
Incurrir en mayores gastos de los previstos para la realización del servicio.
CP09: Periódicamente se requiere a los gestores de proyectos que se evalúe el grado de avance de cada proyecto abierto y la rentabilidad esperada. En caso de desviación significativa se les exige las explicaciones correspondientes.
V
Manipulación de la contabilidad para intereses particulares.
CP10: Segregación de funciones entre el personal de administración que gestiona el sistema de seguimiento de proyectos y el personal técnico que presta el servicio.
CF
No registrar en la contabilidad la integridad de las operaciones.
CP11: El sistema revisa que en los cierres todo el personal técnico ha realizado sus partes de tiempo y gastos, y por tanto, ha imputado su coste a los proyectos en los que ha trabajado. El sistema envía avisos al personal que no ha cumplido. Se establecen sanciones para el personal que incumple esta obligación.
I
Errores en la imputación de gastos entre proyectos.
CP12: El sistema no deja imputar más gastos a aquellos proyectos que previamente han sido catalogados como “finalizados”.
CF, V
CD02: El responsable del proyecto tiene acceso al detalle de los costes incurridos y los revisa previamente a su valoración del proyecto.
EIeV, CF
CP13: Periódicamente se requiere a los gestores de proyectos que evalúen el grado de avance de cada proyecto abierto, en función de los costes incurridos y los costes a incurrir en el futuro (que deben estimar). En función del grado de avance y/o el margen resultante de la nueva estimación de costes, el sistema calcula los ingresos a reconocer.
EIeV
CP14: En cada cierre el sistema contabiliza automáticamente el ingreso contra una cuenta de servicios prestados pendientes de facturar en función de la última valoración del proyecto realizada.
EIeV, CF
CD03: Los proyectos con grandes cambios en el margen previsto, o con márgenes anormalmente altos/bajos son analizados por una persona del departamento de administración, que solicita las explicaciones pertinentes al gestor del proyecto.
EIeV, CF
CD04: La dirección revisa periódicamente la evolución de las ventas, margen y precio hora por tipo de servicio. Se compara con el mismo período del ejercicio anterior, con el mes anterior y con el presupuesto. Se analizan las desviaciones inusuales.
EIe
Estimación incorrecta del margen del proyecto y por tanto en el reconocimiento de ingresos.
Cuando no se dispone de un sistema de gestión integrado La gestión de proyectos realizada por el sistema puede ser sustituida por controles manuales, realizados con la ayuda de listados extracontables, pero el riesgo de no detección de errores aumenta. Por tanto, en estos casos es necesario el establecimiento de controles detectivos adicionales como pueden ser: -
Comprobar que todos los gastos incurridos están siendo imputados a proyectos aprobados. Comprobar que el total de horas del personal técnico ha sido imputada a algún proyecto. Comprobar que no hay cambios en los proyectos ya finalizados. Comprobar que la contabilización de los ingresos por proyectos en curso coincide con los documentos de control de seguimiento de proyectos. - Etc.
Riesgos y controles subproceso: Emisión de facturas Riesgos
Controles
Afirm.
Facturación incorrecta por fraude o error.
CP15: Segregación de funciones entre el departamento de facturación y el personal técnico.
CF
CP16: Las condiciones de facturación acordadas con el cliente son introducidas en el sistema cuando se da de alta el proyecto. El sistema realiza las facturas automáticamente, incluyendo los gastos incurridos en el proyecto (hasta el tope fijado con el cliente en su caso).
CF
CD05: Previo al envío de las facturas al cliente, el departamento de facturación solicita a los responsables de proyecto su visto bueno. En caso de querer modificar las condiciones de facturación, se solicita la autorización del responsable de área.
CF
CD06: El director del área de negocio recibe periódicamente un listado con las modificaciones realizadas en los proyectos de facturación introducidos en el sistema para su supervisión.
CF
CP17: El sistema realiza el asiento contable correspondiente a la facturación realizada, haciendo un cargo en la cuenta de clientes y un abono en la cuenta de servicios prestados pendientes de facturar.
Elep
CD07: Regularmente se concilia saldos con los clientes más importantes.
Ee
CP18: Para la emisión de un abono, el personal de administración de clientes solicita la autorización del responsable de proyecto y del responsable del área.
CF SA
CP19: Salvo en facturas emitidas por duplicado por error, para la emisión de un abono el personal de administración de clientes requiere la emisión de una nueva factura.
Ele, CF, SA
CD08: El responsable de administración revisa el listado de abonos contabilizados. Si son muy numerosos, se analiza la concentración de abonos por departamento, gestor y cliente para detectar conductas inapropiadas.
Ele, CF, SA
Contabilización errónea de la facturación.
Emisión de abonos sin justificación.
Cuando no se dispone de un sistema de gestión integrado
En un sistema no integrado, o integrado parcialmente se tendrá que establecer otro tipo de controles que aseguren una facturación completa y sin errores, por ejemplo: - Comprobación de que todos los proyectos abiertos están siendo facturados. - Comprobación de que la facturación está en consonancia con los costes incurridos en cada proyecto. - Revisión por un tercero de los asientos a contabilizar.
6. Preparación de nóminas
E: existencia; I: integridad; e: exactitud; V: valoración; P: propiedad; p: presentación, SA: salvaguarda de activos, CF: control del fraude
Este ejemplo se refiere exclusivamente al proceso de preparación de la nómina, y no incluye por tanto, ninguna referencia a otro tipo de retribuciones como incentivos, pagos basados en acciones, planes de pensiones, etc., que en cualquier caso, no son transacciones recurrentes y se pueden revisar más detalladamente que el gasto por nómina. Un proceso de preparación de nómina se puede dividir en los siguientes subprocesos:
Las actividades que generalmente se realizan en cada uno de estos subprocesos son las siguientes: Descripción general del proceso Subproceso
Descripción
Mantenimiento de la base de datos de personal.
Sólo las personas autorizadas del departamento de personal tienen acceso a la modificación de la base de datos de personal en la que se incluye: fecha de alta, sueldo y complementos, situación personal, número de cuenta corriente, entre otros datos. Estas personas son las responsables de modificar la base de datos cuando se produce un alta, una baja, un cambio salarial o cualquier otro cambio en la situación de la plantilla. La nómina se prepara en base a los datos que contiene esta base de datos. El personal de recursos humanos introduce en el sistema los conceptos retributivos variables como las dietas y comisiones por ventas, y otras variables que pueden afectar la nómina como son las bajas por enfermedad.
Preparación de la nómina.
El sistema informático con la base de datos de empleados y los conceptos retributivos variables del mes prepara la nómina automáticamente. La contabilización se realiza automáticamente.
Pago de la nómina.
El sistema al mismo tiempo que genera el resumen de nómina que es contabilizado, genera un fichero con el liquido a percibir por cada empleado que será enviado al banco para su pago.
A continuación se presenta los riesgos que existen en cada una de las partes de este proceso y ejemplos de controles que se puede implantar para mitigarlos. Riesgos y controles subproceso: Mantenimiento de la base de datos de personal Riesgos
Controles
Afirm.
Modificaciones no autorizadas de la base de datos de personal.
CP01: Sólo las personas autorizadas tienen acceso a introducir modificaciones (altas, bajas, cambio de sueldo, cambio de cuenta corriente…) en la base de datos de personal.
CF
CP02: Sólo se introducen los cambios debidamente autorizados por el director de recursos humanos.
CF
CD01: Previo a la aprobación de la nómina, el director de recursos humanos recibe un listado de cambios (exception report) de las modificaciones realizadas en la base de datos de personal, para comprobar que únicamente se ha introducido los cambios por él autorizados.
CF
Cuando no se dispone de un sistema de gestión integrado Incluso los sistemas de información más sencillos cuentan con la opción de realizar el control CD01, pero cuando no sea factible esta comprobación deberá ser sustituida por una mayor profundidad de revisión de la nómina previa a su autorización.
Riesgos y controles subproceso: Preparación de la nómina
Riesgos
Controles
Afirm.
La nómina incluye importes superiores a los autorizados por fraude o error.
CP03: Sólo la persona autorizada puede introducir en el sistema las variables que pueden afectar en la nómina: dietas, comisiones de ventas, bajas por enfermedad, etc.
CF
CP04: La persona autorizada sólo introduce conceptos retributivos variables si tiene la correspondiente autorización del director del departamento afectado y del director de recursos humanos.
CF
CP05: El sistema con la información de la base de datos de empleados, y los datos de conceptos variables introducidos para el mes, prepara la nómina automáticamente.
Elep, CF
CD02: El director de recursos humanos revisa el resumen de nómina antes de proceder a su autorización. Entre otras comprobaciones puede realizar las siguientes:
Elep, CF
- Que el total de los conceptos retributivos variables como dietas, comisiones, etc. cuadran con los listados soporte autorizados. - Una comparación de la retribución de cada empleado con la del mes anterior. CD03: En recursos humanos se calcula mensualmente indicadores de gestión como por ejemplo: salario medio, salario medio por departamento, incremento del gasto por departamento, gasto de Seguridad Social en porcentaje sobre los salarios, comisión media por comercial, etc. La nómina incluye trabajadores ficticios.
Elep, CF
CP06: Se revisa que el total de perceptores según la nómina coincide con la información del sistema de ficha horaria (en sectores donde se utilice el control horario). CD01: Previo a la aprobación de la nómina, el director de recursos humanos recibe un listado de cambios (exception report) de las modificaciones realizadas en la base de datos de personal, para comprobar que únicamente se ha introducido los cambios por él autorizados.
CF
CD04: Tanto recursos humanos a nivel global, como los controllers de cada departamento, revisan en cada cierre el número de efectivos y el movimiento de contrataciones y bajas que han tenido.
CF
CP07: El sistema realiza la contabilización automáticamente. La nómina contabilizada no coincide con la autorizada por fraude o error.
CD05: El director de recursos humanos envía a contabilidad un detalle con los totales por concepto del resumen de nómina aprobado. El contable revisa que el asiento realizado por el sistema cuadra con la nómina autorizada. CD06: Tanto recursos humanos a nivel global, como los controllers a nivel de cada departamento, revisan en cada cierre que el gasto de personal esté en línea con el presupuesto, y analizan las variaciones.
Cuando no se dispone de un sistema de gestión integrado Actualmente casi todas las empresas cuentan con programas que preparan la nómina, aunque no sean integrados, pero en los casos que la preparación automática no sea factible, la revisión de la nómina confeccionada por el director de recursos humanos así como el resto de controles detectivos deberán ser si cabe más profundos.
En el caso de que la contabilización no sea automática, una persona diferente al contable que realiza el asiento deberá comprobar que lo contabilizado se corresponde con la nómina aprobada en recursos humanos. Riesgos y controles subproceso: Pago de la nómina Riesgos
Controles
Afirm.
Malversación de fondos.
CP08: Segregación de funciones entre las personas del departamento de tesorería y el departamento de personal.
CF
CP09: Se establece un sistema de autorización de pagos, preferiblemente con firma mancomunada, y con la intervención de diferentes personas en función del importe. En caso de existir banca y firma electrónica, ésta debe tener el mismo sistema de firma mancomunada que la firma física.
CF
CP10: El sistema al mismo tiempo que genera el resumen de nómina que revisa el director de recursos humanos, genera un fichero con el líquido a percibir por cada empleado y sus datos bancarios. Dicho fichero no se debe poder modificar.
CF
CP11: Tesorería remitirá el fichero al banco con las firmas pertinentes, una vez comprobado que el fichero se corresponde con la nómina autorizada.
CF
Cuando no se dispone de un sistema de gestión integrado Actualmente, aunque no sean integrados, casi todas las empresas cuentan con programas que preparan la nómina y el fichero de transferencias a remitir al banco. En el caso contrario, habría que establecer los controles manuales suficientes para comprobar que las transferencias ordenadas se corresponden con las nóminas aprobadas.
Capítulo 7 Cómo se adaptan los sistemas de control interno a los diferentes tipos de empresa Los sistemas de control interno son diferentes en cada organización y no se pueden ceñir a un diseño estándar. Las diferentes necesidades y los recursos disponibles de cada entidad determinarán la forma en la que se establecen los controles necesarios para evitar los riesgos identificados. A continuación se presenta los rasgos principales que presentan los sistemas de control interno en diferentes tipologías de empresa. Gran empresa En relación al control interno el hecho de ser una gran empresa conlleva unas ventajas y unos inconvenientes. La ventaja principal es que habitualmente se dispone de: – Sistemas de información integrados, que permiten automatizar un gran número de controles y generar información de mucha utilidad para realizar un eficaz control de gestión. – Un número de empleados suficiente como para poder establecer una adecuada segregación de funciones. – Departamentos de control de gestión, controllers, auditoría interna… Los inconvenientes son que su mayor tamaño conlleva por lo general: – Una mayor complejidad que impide al gestor tener el control de todos los aspectos del negocio. – Diversificación en diferentes actividades o productos con procesos de negocio diferentes. – El desconocimiento por los empleados de las funciones que realiza el resto de personas que participan en un proceso. Por tanto, para asegurar que el control interno cumple su función en este tipo de compañías, la estrategia a seguir debe ser: – Asegurar que la seguridad en los sistemas de información es la adecuada. Los controles deben evitar los accesos por personal no autorizado, y la realización de acciones impropias por el personal autorizado. Estos controles se deben revisar periódicamente dado que son procesos vivos y suelen deteriorarse con el tiempo. – Diseñar una adecuada segregación de funciones en todos los procesos de negocio. Este
punto va íntimamente relacionado con el anterior, dado que será en los sistemas informáticos donde se establece quién puede hacer qué. – Establecer una adecuada delegación de autoridad, de manera que no se acumule excesivo poder en algunas personas de la organización. – Implantar departamentos de control de gestión que generen, analicen y compartan la información de negocio disponible, como herramienta no sólo de gestión sino de detección de cualquier posible anomalía. – Revisar periódicamente los procedimientos de control establecidos para comprobar que siguen funcionando como se diseñaron, función que puede desempeñar un departamento de auditoría interna o de control de gestión. Pequeña y mediana empresa La pequeña y mediana empresa suele tener varias restricciones que no le permiten disponer de los sistemas de control interno de la gran empresa: – Sistemas de información más sencillos y generalmente no integrados en la gestión del negocio. – Un menor número de empleados, que impide establecer la segregación de funciones ideal para evitar riesgos. En la mediana y, sobretodo, pequeña empresa es habitual no contar con un sistema informático de gestión integrado. En estos casos, los procedimientos y controles suelen ser manuales y no automáticos, y por tanto, la probabilidad de error o de no detección del error aumenta por el mero hecho de que el ser humano se equivoca. Como se ha visto en las tablas del capítulo sexto, en ausencia de procesos automáticos la solución suele ser ejercer con mayor nivel de detalle los controles detectivos a posteriori. Por consiguiente, ante un conjunto de procedimientos manuales es necesario un mayor nivel de supervisión que pueda detectar, aunque sea con posterioridad, los errores que se han producido. El nivel de detalle al que deben llegar los controles detectivos dependerá de cada caso, pero debe ser suficiente como para poder detectar errores significativos en los estados financieros. Para poder ser efectivos los controles detectivos deben ser llevados a cabo por personas ajenas al proceso, o que no participen activamente en el mismo, por ejemplo, el director del departamento. Conllevan por tanto un plus de segregación de funciones. Los controles detectivos, además de ayudar en la detección de errores, sirven al mismo tiempo de medida disuasoria para evitar conductas inapropiadas, pues la persona que participa en el proceso y tiene la oportunidad para cometer un fraude tendrá una barrera más que saltar. Adicionalmente al no contar con sistemas de gestión integrados, en la pequeña y mediana empresa existe otra gran dificultad, que es la imposibilidad de establecer una adecuada segregación de funciones debido al escaso número de empleados con el que cuentan. No se puede negar que es una dificultad, pero no es motivo suficiente para afirmar que eso impide que exista un adecuado control interno, por varias razones:
– Los controles detectivos y de supervisión conllevan un plus de segregación de funciones al añadir la revisión por un tercero. Por tanto, la falta de segregación de funciones se compensa en cierta manera. La reducción del riesgo por falta de segregación de funciones se consigue cuando los controles detectivos se realizan con la periodicidad y el nivel de detalle necesarios como para detectar en un corto período de tiempo los errores que se puedan producir. – La complejidad de las operaciones en la pequeña y mediana empresa suele ser menor que en la gran empresa, por lo que conocer el negocio, el producto, el cliente, etc., a priori es más fácil. Por tanto, la detección de errores por cualquier persona de la organización es más probable que en una gran empresa, en la que el conocimiento del negocio es menor y la comunicación entre personas de diferentes departamentos menos frecuente. En conclusión, el hecho de ser una pequeña o mediana empresa no es un escollo insalvable para implantar un control interno efectivo. El establecimiento de controles detectivos lo suficientemente potentes como para detectar y corregir los errores en un margen de tiempo razonable, pueden ser la solución en estos casos. Documentación En este punto, aquel lector que se dedique a la auditoría estará pensando que, aunque en sus clientes existieran los controles detectivos a los que se hacen referencia en los puntos anteriores, es imposible comprobarlo dado que en muchas ocasiones no queda constancia alguna de su realización. Es cierto, pero aunque el auditor no pueda obtener una evidencia directa de la realización del control por parte de la dirección, puede obtenerla de manera indirecta por otras vías, como por ejemplo: – Si la dirección revisa el balance de antigüedad de saldos, se puede solicitar la correspondencia que se cruza entre la dirección y el personal del departamento, para verificar que se piden explicaciones. – Si la dirección revisa o no la cuenta de resultados mensualmente, se puede comprobar porque le será fácil contestar a las preguntas que le surgen al auditor cuando realiza su revisión analítica. Por ejemplo, si la dirección es capaz de explicar y justificar numéricamente las causas de la variación del margen de explotación es indicativo de que realmente se revisa la cuenta de resultados. Si por el contrario desconoce totalmente el orígen de las desviaciones, entonces no se puede considerar que el control existe. El obtener evidencia de manera indirecta obligará al auditor a hacer un mayor esfuerzo a la hora de documentar su trabajo. Deberá explicar muy bien en su papel de trabajo en que se basa para concluir que ese control funciona y es base para su conclusión sobre la bonanza del control interno de la entidad auditada.
Grupo multinacional Los grupos multinacionales también presentan su propia problemática: – La dispersión geográfica de las filiales hace más difícil el control de los diferentes negocios por la dirección del grupo. – Las filiales tienen diferentes tamaños por lo que es difícil homogeneizar maneras de funcionar, unas pueden funcionar como una gran empresa y otras como pequeña. – La legislación, la cultura y el entorno es diferente en cada país y puede afectar a la forma de proceder. – La autoridad está distribuida en un mayor número de personas. Por tanto, para asegurar que el control interno cumple su función en este tipo de compañías, adicionalmente a lo comentado para la pequeña y para la gran empresa, se debe: – Homogeneizar y estandarizar procedimientos en la medida de lo posible. Para ello se deberá redactar manuales de procedimientos e implantar, en cada una de las filiales, la forma de trabajar del grupo por personal con experiencia en otras filiales. – Diseñar una política de delegación de autoridad prudente, para evitar que los directores de filiales tengan poderes excesivos y que se puedan producir situaciones indeseadas. – Establecer revisiones periódicas de las filiales, para verificar que los procedimientos de control establecidos siguen funcionando adecuadamente y/o que las transacciones del período han sido correctamente registradas. El departamento de auditoría interna sería el responsable de desplazarse a realizar estas comprobaciones. – Establecer sistemas de información y reporting que permitan al departamento de control de gestión del grupo disponer de la información necesaria para revisar los resultados de cada una de las diferentes filiales, y al mismo tiempo detectar cualquier posible desviación que pueda ser indicativa de problemas de control. Por lo que respecta a la filial, el hecho de que el grupo al que pertenece establezca este tipo de controles es también para ésta una mejora de su entorno de control. Como conclusión, los sistemas de control interno están determinados por el tamaño y tipo de entidad, y se debe entender la situación particular de cada caso para adaptarlos y conseguir que sean eficaces en la consecución de sus objetivos.
Capítulo 8 ¿Qué hacer cuando se encuentra una debilidad en el control interno?
1. Desde el punto de vista del gestor Si como resultado de un buen trabajo de análisis y prueba de los sistemas de control interno se ha detectado un fallo en los mismos, los pasos que debería seguir un gestor serían los siguientes: 1. Poner solución lo antes posible a esa laguna de control que podría tener consecuencias en forma de errores o fraude. Se puede optar por una solución temporal, (por ejemplo, una revisión manual de las operaciones) hasta que se consigue diseñar la mejor opción en términos de seguridad y eficiencia (por ejemplo, un control informático). 2. Comprobar que a raíz de esa debilidad en los controles, no se ha producido ningún error en los estados financieros ni perjuicio económico para la entidad. El período de tiempo a revisar será equivalente al tiempo que los controles no han funcionado. 3. En el caso de que empleados hayan obtenido beneficio personal a costa de la debilidad de control detectada, se debe depurar las responsabilidades correspondientes.
2. Desde el punto de vista del auditor Si como resultado de las pruebas sobre los sistemas de control interno desarrolladas durante la auditoría se ha detectado un fallo en los mismos, los pasos que debería seguir un auditor serían los siguientes: 1. Comprobar que a raíz de esa debilidad en los controles, no se ha producido ningún error en los estados financieros. A diferencia del gestor, cuantificar el perjuicio económico para la entidad puede no ser necesario para el auditor, siempre que no implique un error en los estados financieros. Al auditor le afecta en mayor medida los fallos en el control interno “contable”, es decir, aquellos que pueden acarrear que la información financiera no refleje fielmente las transacciones realizadas, que los fallos en controles de gestión. Por ejemplo, si se detecta que ha habido un comprador asociado con un proveedor para aplicar precios más altos a cambio de comisiones, si las facturas han sido contabilizadas en los estados financieros no hay ningún error que
deba resaltar el auditor en su opinión. En cualquier caso, si como resultado de su trabajo el auditor detecta debilidades como ésta tiene la obligación de comunicarlo a su cliente. Respecto al período de tiempo a revisar dependerá del caso, pero en general el auditor revisará el año que está siendo auditado, salvo que errores de años anteriores pudieran todavía estar presentes en el balance de situación del ejercicio auditado. 2. Definir el impacto en la opinión de auditoría: a. Si se ha podido cuantificar los errores en los estados financieros fruto de la debilidad encontrada, se evaluará la importancia de estos para la inclusión o no de una salvedad por incumplimiento de principio contable. b. Si no se ha podido cuantificar, se evaluará la inclusión de una salvedad por la limitación al alcance que supone el no poder confiar en el control interno y no poder cuantificar como puede afectar esto en los estados financieros auditados. 3. Comunicación: el auditor comunicará a su cliente las debilidades significativas de control interno encontradas en el desarrollo de su trabajo. Es un punto de servicio al cliente, pero también una obligación de acuerdo con normas técnicas de auditoría.
Capítulo 9 Limitaciones del control interno Aunque se dedique todos los esfuerzos y recursos para implantar un buen sistema de control interno, se debe tener en cuenta que ningún sistema de control interno es infalible y que, como cualquier otra medida de control, estos sistemas tienen sus limitaciones. Entre las limitaciones del control interno podríamos citar las siguientes: – Posibilidad de que al ejecutar los controles se produzcan errores por una mala comprensión de las instrucciones, errores de juicio, falta de atención, fallo humano, etc. Si una empresa tiene 50 mozos de almacén, sólo con que cada uno de ellos se equivocara una vez al día, tendría 50 errores diarios en el inventario. – Posibilidad de que la colusión entre diferentes empleados implicados en el proceso invalide la eficacia de la segregación de funciones como medida de control. La segregación de funciones es esencial, pero si dos personas se ponen de acuerdo con la finalidad de hacer beneficio a costa de la entidad en la que trabajan, se esfuma toda la potencia del procedimiento diseñado. Por ejemplo, si el director de recursos humanos se asociara con la persona que prepara la nómina, podrían subirse el sueldo mutuamente, y no se detectaría si no existen controles detectivos que aprecien el incremento del gasto. – Posibilidad de que las decisiones de la dirección se tomen de forma errónea o fraudulenta. Aunque los procedimientos sean correctos, en muchas ocasiones la decisión última la toma una sola persona, es decir, el director de cada departamento, y por tanto en la honradez de esa persona recae en parte el buen funcionamiento del proceso. Por ejemplo, aunque el departamento de compras participe en la selección de un proveedor, si el director del departamento que solicita la contratación exigiera unos requisitos técnicos determinados podría “obligar” a comprar a un proveedor concreto. Como ya se ha comentado, uno de los aspectos importantes del entorno de control es la filosofía de la dirección, si ésta no es la esperada entonces el control interno tiene muchas limitaciones. En conclusión, un buen sistema de control interno es indispensable en cualquier organización y se debe invertir todos los esfuerzos necesarios para conseguir diseñarlo de manera que sea lo más eficaz posible. Pero por otro lado, se debe recordar que, como hemos visto, el control interno tiene sus limitaciones y no se le puede considerar una garantía absoluta de ausencia de errores, sino la mejor manera de minimizar la probabilidad de ocurrencia e impacto de éstos.
Para concluir Agradezco sinceramente el esfuerzo a aquel lector que haya sido capaz de llegar hasta aquí, y le pido disculpas si no he sido capaz de hacer este texto más ameno. A lo largo de este manual se ha proporcionado al lector: – Las regulaciones más significativas sobre control interno que han surgido a nivel nacional e internacional. – Las razones por las que el control interno debe ser un punto importante en la agenda de cualquier gestor, y como no, de cualquier auditor. – Una definición actual de los elementos que forman un sistema de control interno. – Una visión general de los elementos de riesgo que comportan los sistemas informáticos, y medidas para mitigar dichos riesgos. – Una descripción profunda de lo que se engloba dentro del llamado entorno de control, con ejemplos prácticos de lo que se debe incluir dentro de este concepto tan etéreo. – Ejemplos prácticos de los riesgos y controles que se pueden encontrar en los principales procesos administrativos de una compañía, ejemplos que pueden llegar a ser una herramienta muy útil a la hora de evaluar o implantar un sistema de control interno. – Algunas reflexiones sobre como adaptar los sistemas de control a las diferentes tipologías de empresa, para no renunciar a la posibilidad de conseguir un control interno adecuado en cualquiera de ellas. – Una pequeña guía sobre qué hacer cuando encontramos una laguna de control, tanto desde el punto de vista del gestor como del auditor. – Las limitaciones del control interno, que aunque no le restan importancia, se debe ser consciente de su existencia. Con toda esta información el lector dispone de un buen punto de partida, tanto a nivel teórico como práctico, para enfrentarse a cualquier sistema de control interno. Estoy seguro de que esta base le servirá en las tareas de preguntar, indagar, entender y probar los sistemas de control interno que tenga que evaluar. Llegado el final, y con la esperanza de que este modesto manual le sirva de ayuda en alguna ocasión, me gustaría desear mucha suerte al lector en sus futuras experiencias en el mundo del control interno. Miguel Barquero.
Glosario de términos – Actividades de control: son los procedimientos que se encuentran a lo largo de un proceso de negocio y que han sido diseñados por la dirección para mitigar los riesgos identificados en ese proceso. – Actividades de seguimiento: procedimientos realizados para evaluar si en un proceso de negocio concreto el control interno y cada uno de sus cinco componentes está funcionando correctamente. – Afirmaciones: Assertions, objetivos de la información financiera o de la contabilidad. Se pueden resumir en: Existencia, Integridad, Exactitud, Valoración, Propiedad y Presentación. – Aplicaciones: son la herramienta que utiliza el usuario para entrar datos y transacciones, gestionar y obtener información de un sistema informático. – Base de datos: donde los sistemas informáticos vuelcan la información de todas las transacciones realizadas y, por otro lado, obtienen datos para utilizar en el proceso de transacciones, por ejemplo: el maestro de clientes o de proveedores. – Colusión: cuando dos o más empleados se ponen de acuerdo para llevar a cabo acciones fraudulentas. – Conciliación: comparación de dos datos/listados que deberían coincidir, y relacionar las diferencias entre ambos. – Consejeros dominicales: aquellos consejeros externos (no ejecutivos) que acceden al Consejo de administración de una compañía por ser titulares o representar a los titulares de paquetes accionariales que por su volumen tienen capacidad de influir por sí solos, o por acuerdos con otros, en el control de la Sociedad. – Consejeros ejecutivos: aquellos consejeros que pertenecen al equipo de gestión de la empresa y ejercen funciones ejecutivas. – Consejeros externos: aquellos consejeros cuyo nombramiento se produce entre personas que no pertenecen al equipo de gestión de la empresa; es decir, que no son ejecutivos de la misma. – Consejeros independientes: aquellos consejeros externos (no ejecutivos) cuyo nombramiento se realiza en razón de su alta cualificación profesional y no por ser accionista. – Controles de supervisión: procedimientos para comprobar que otras actividades de control (verificaciones, conciliaciones, autorizaciones…) están funcionando correctamente. – Controles detectivos: procedimientos diseñados para detectar errores que no han sido detectados por los controles preventivos. Se ejercen con posterioridad al registro de la transacción. – Controles preventivos: procedimientos diseñados para evitar que se produzca el error en el momento en que se está gestionando la transacción. Se ejercen durante la
transacción. – Delegación de autoridad: estructura de poderes otorgados a los diferentes actores de una empresa y que pueden comprometer económicamente a la misma. – Entorno de control: procedimientos o formas de actuar que no son específicas de un proceso de negocio concreto sino que influyen en todas las actividades de la entidad. Dentro de entorno de control se puede incluir conceptos como la integridad, valores éticos y filosofía de la dirección, la estructura organizacional diseñada, la delegación de autoridad, las diferentes prácticas de recursos humanos, las formas de remuneración, etc. – Entreprise Resource Planning, ERP: son sistemas de información integrados que permiten gestionar las diferentes actividades de un negocio (compras, ventas, recursos humanos, finanzas…) de forma coordinada. – Evaluación de riesgos: procedimientos para identificar, documentar y evaluar los riesgos a los que se enfrenta una entidad o negocio. – Exception reports: informes que contienen las modificaciones introducidas en una base de datos como puede ser el maestro de clientes o proveedores, y que son enviados al gestor responsable del área para que revise que los cambios introducidos coinciden con los autorizados por él. – Firma mancomunada: es necesaria la firma de dos o más personas para autorizar una transacción. Por oposición a solidaria, que sólo requiere la firma de uno de los apoderados. – Foreign registrants: empresas cotizadas en bolsa cuya sede se encuentra en un país diferente al de la bolsa en que cotizan. – Fraude: el concepto fraude se suele separar en dos vertientes: la malversación de los activos de la compañía para beneficio propio y las acciones para falsear la información financiera o no financiera. – Gestión de cambios: controles para verificar que las modificaciones en el sistema informático son las autorizadas y probadas previamente por los usuarios. – High risk transactions: nombre que se suele dar a las transacciones (comandos) que no deben coincidir en la misma persona para asegurar una adecuada segregación de funciones. – Información y comunicación: procedimientos realizados para obtener, tratar y analizar la información disponible, y que ésta llegue a los diferentes actores de una empresa para la toma de decisiones. – Instituto de Contabilidad y Auditoría de Cuentas (ICAC), organismo autónomo dependiente del Ministerio de Economía y Hacienda, que ejerce el control y disciplina del ejercicio de la actividad de auditoría de cuentas, además de ser el organismo encargado de la emisión de la normativa contable en España. – Interfaz: software por el que va la información de una aplicación a otra que se deben comunicar porque cada una hace una parte de un proceso. – Internal Control Integrated Framework: manual de control interno publicado por el
Committee of Sponsoring Organizations of the Treadway Commission (COSO), que se ha convertido en la referencia a nivel internacional. – International Standards on Auditing (ISA): son las normas técnicas de auditoría internacionales, emitidas por el International Ferderation of Accountants (IFAC) a través del International Auditing and Assurance Standards Board, (IAASB). – Inventario rotativo: forma de realizar inventario de manera que cada día/semana se recuenta una referencia o pasillo, de manera que al final del ejercicio todo el almacén ha sido contado dos o más veces. – Log: identificación de un usuario cuando entra en un sistema informático o hace uso de una de sus funciones. – Maestro: base de datos fijos que se utilizan en el proceso de transacciones, como puede ser el maestro de clientes. Incluyen datos como la dirección, cuenta corriente, etc. – Parametrización: configuración de las variables que pueden tomar uno u otro valor en una aplicación informática. – Perfil de usuario: Configuración del acceso a menús o comandos que se otorga a un usuario. Pueden ser estándar o específicos para un usuario. – Proceso: conjunto de procedimientos que se realizan en una determinada actividad de la empresa, para que ésta se realice de acuerdo con las directrices de la dirección y los resultados de dicha actividad se registren adecuadamente en la contabilidad. – Producción: en relación a los sistemas informáticos, cuando una aplicación está en funcionamiento y gestiona transacciones reales. Por oposición a entorno de pruebas o de desarrollo en el que se gestionan transacciones ficticias. – Pruebas de cumplimiento: Pruebas de verificación de la efectividad de los controles que componen el sistema de control de una compañía para obtener evidencia de auditoría sobre la razonabilidad de su información financiera. – Pruebas sustantivas: pruebas de verificación de las transacciones que componen un saldo, generalmente mediante la obtención de documentación soporte, para obtener evidencia de auditoría sobre su razonabilidad. – Revisión analítica: revisión de la razonabilidad de un dato mediante la comparación con otros datos y la utilización de hipótesis sobre cual debería ser el resultado de la comparación. – Salvaguarda de activos: procedimientos cuyo objetivo es velar por la seguridad de los activos de la entidad, es decir, por el efectivo, inmovilizado, existencias, saldos a cobrar, etc. – Segregación de funciones: la distribución de las funciones de un proceso de negocio en diferentes personas, de manera que no coincidan en la misma persona actividades que le permitan realizar acciones fraudulentas en beneficio propio. – Sistemas de control interno sobre la información financiera: controles cuyo fin es que la información financiera refleje con exactitud las operaciones de la entidad. No incluyen otro tipo de controles cuya finalidad sea la gestión del negocio o el cumplimiento de normativa. Es equivalente al Internal control over financial
reporting, que define el standard 5 del PCAOB. – Sistemas operativos: son los sistemas encargados de distribuir el almacenamiento, gestionar el hardware instalado, controlar la ejecución de otros programas, etc. Son la pantalla que vemos cuando no hay otro software funcionando. – Special purpose entities: sociedades creadas para un propósito concreto, que en ocasiones, ha sido el no consolidar en un grupo ciertas operaciones. – Stakeholders: actores económicos con intereses en una entidad como pueden ser accionistas, bancos acreedores, empleados, etc. – Whistleblowers: teléfono o dirección de correo donde denunciar conductas inapropiadas en una organización sin riesgo de represalia. – 3-way matching: controles que ejerce un sistema informático integrado para que coincidan pedido-albaran-factura.
Bibliografía – THE COMMITTEE OF SPONSORING ORGANIZATIONS OF THE TREADWAY COMMISSION: Internal Control-Integrated Framework, 1992, AICPA. – THE COMMITTEE OF SPONSORING ORGANIZATIONS OF THE TREADWAY COMMISSION: (Draft) Updated Internal Control-Integrated Framework and Related Supporting Documents, 2012, AICPA. – PUBLIC COMPANY ACCOUNTING OVERSIGHT BOARD: PCAOB Standards and related rules, 2011, AICPA. – INSTITUTO DE CONTABILIDAD Y AUDITORÍA DE CUENTAS: Resolución de 19 de enero de 1991, por la que se publican las Normas Técnicas de Auditoría. – INSTITUTO DE CONTABILIDAD Y AUDITORÍA DE CUENTAS: Resolución de 1 de septiembre de 1994, por la que se publica la Norma Técnica de Auditoría sobre la obligación de comunicar las debilidades significativas de control interno. – INSTITUTO DE CONTABILIDAD Y AUDITORÍA DE CUENTAS: Resolución de 15 de junio de 2000, por la que se publica la Norma Técnica de Auditoría sobre Errores e Irregularidades. – INTERNATIONAL AUDITING AND ASSURANCE STANDARD BOARD (IAASB): Handbook of International Quality Control, Auditing, Review, Other Assurance, and Related Services Pronouncements, 2012, IFAC. – COMISIÓN “ALDAMA”: Informe de la comisión especial para el fomento de la transparencia y seguridad en los mercados y en las sociedades cotizadas, 2003, CNMV. – CNMV: Código unificado de buen gobierno de la sociedades cotizadas, 2006, CNMV. – CNMV: Proyecto de Circular de la Comisión Nacional del Mercado de Valores, por la que se modifica el modelo de informe anual de gobierno corporativo de las sociedades anónimas cotizadas, de las Cajas de Ahorro y del resto de entidades que emiten valores que se negocien en mercados oficiales de valores, regulados en las Circulares 4/2007 de 27 de diciembre, 1/2004, de 17 de marzo y Circular 2/2005, de 21 de abril, CNMV. – CNMV: Control interno sobre la información financiera en las entidades cotizadas, 2010, CNMV. – DIRECTIVA 2006/46/CE DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 14 de junio de 2006 por la que se modifican las Directivas del Consejo 78/660/CEE relativa a las cuentas anuales de determinadas formas de sociedad, 83/349/CEE relativa a las cuentas consolidadas, 86/635/CEE relativa a las cuentas anuales y a las cuentas consolidadas de los bancos y otras entidades financieras y 91/674/CEE relativa a las cuentas anuales y a las cuentas consolidadas de las empresas de seguros. – Ley 44/2002 de 22 de noviembre, de reforma del sistema financiero, BOE 281 de 23 de noviembre de 2002. – Ley 2/2011 de 4 de marzo, de Economía Sostenible, BOE 55 de 5 de marzo de 2011.
– Sarbanes-Oxley Act of 2002, Public Law 107–204 de 30 de Julio de 2002. – MARÍA ANTONIA GARCÍA BENAU / ANTONIO VICO MARTÍNEZ: Los escándalos financieros y la auditoría: pérdida y recuperación de la confianza en una profesión en crisis, Revista Valenciana de Economía y Hacienda, 7 I/2003. – MERCEDES GARCÍA QUINTAS, Una culpa in vigilando penal para las personas jurídicas, Actualidad Jurídica Aranzadi num. 807/2010 – ANTONIO MINGUILLÓN: La auditoría de sistemas de información integrada en la auditoría financiera. La perspectiva del sector público, 2010, Sindicatura de Comptes de la Comunitat Valenciana. – RAMON POCH I TORRES / ANNA MARIA GIL I LAFUENTE: Gestió del control intern de riscos en l’empresa postmoderna: àmbits econòmic i jurídic, 2010, Reial acadèmia de doctors. – RAMON POCH I TORRES / Ma DOLORES POCH VILAPLANA / RAMÓN POCH VILAPLANA: El control interno como instrumento del circuito informativo de la contabilidad: de las teorías clásicas a los paradigmas instalados en el caos y la incertidumbre, Instituto de Contabilidad y Auditoría de Cuentas. – FUNDACIÓN ORANGE: Informe anual sobre el desarrollo de la sociedad de la información en España, 2011, Fundación Orange.
