OBJETIVOS DEL CONTROL INTERNO Un sistema de control interno consiste en políticas y procedimientos diseñados para proporcionar una seguridad razonable a la administración de que la compañía va a cumplir con sus objetivos y metas. A estas políticas y procedimientos a menudo se les denomina controles, y en conjunto, éstos comprenden el control interno de la entidad. Por lo general, la administración cuenta con tres objetivos amplios para el diseño de un sistema de control interno efectivo:
Confiabilidad de los informes financieros Eficiencia y Eficacia de las operaciones Cumplimiento con las leyes y reglamentos
El objetivo del auditor al enfocarse en los estados financieros y en la auditoría de controles internos son los controles relacionados con la confiabilidad de los informes financieros, además de los controles relacionados con las operaciones y el cumplimiento de las leyes y reglamentos que pueden afectar de manera importante los informes financieros. La administración, y no el auditor, deben establecer y conservar los controles internos de la entidad. Dos conceptos claves son el fundamento del diseño de la administración y la aplicación del control interno, la seguridad razonable y limitaciones inherentes.
Seguridad razonable Una compañía debe desarrollar controles internos que proporcionen una seguridad razonable, pero no absoluta, de que los estados financieros se presentan de manera imparcial.
Seguridad razonable Una compañía debe desarrollar controles internos que proporcionen una seguridad razonable, pero no absoluta, de que los estados financieros se presentan de manera imparcial.
La evaluación que hace la administración del control interno sobre los informes financieros está compuesta por dos componentes clave. Primero, la administración debe evaluar el diseño del control interno sobre el informe financiero. Segundo, la administración debe comprobar la eficacia de la operación de esos controles. Diseño del control interno Cuando se evalúa el diseño del control interno sobre los informes financieros, la administración evalúa si el control está diseñado para impedir o detectar errores de importancia en
los estados financieros. La administración se enfoca en los controles sobre todas las afirmaciones relevantes relacionadas con todas las cuentas y manifestaciones importantes en los estados financieros. Como parte de la evaluación, la administración evalúa la información referente a cómo se inician, autorizan, registran, procesan y reportan las operaciones importantes para identificar los puntos en el flujo de operaciones donde podrían ocurrir errores de importancia debido a equivocaciones o fraudes. Eficacia operativa de los controles Además de evaluar el diseño del control interno para los informes financieros, la administración debe comprobar la eficacia funcional de los controles. El objetivo de las pruebas es determinar si el control está operando según se diseñó y si la persona que realiza el proceso de control posee la autoridad y capacidad necesarias para realizar el control de manera efectiva. Los resultados de la prueba de la administración, que también se deben documentar, forman la base para la afirmación de la administración al final del año fiscal referente a la eficacia operativa de los controles. La administración debe manifestar cualquier punto débil importante en el control interno. COMPONENTES DE LA EVALUACION DE CONTROL INTERNO Según éste el control interno consta de cinco categorías que la administración diseña y aplica para proporcionar una seguridad razonable de que sus objetivos de control se llevarán a cabo. Cada categoría contiene muchos controles, pero los auditores se concentran en aquéllos diseñados para impedir o detectar errores materiales en los estados financieros. Los componentes del control interno del COSO incluyen lo siguiente: 1. 2. 3. 4. 5.
Ambiente de control. Evaluación del riesgo. Actividades de control. Información y comunicación. Monitoreo.
1.- El Ambiente de Control.- El ambiente de control consiste en acciones, políticas y procedimientos que reflejan las actitudes generales de los altos niveles de la administración, directores y propietarios de una entidad en cuanto al control interno y su importancia para la organización. Con el propósito de entender y evaluar el ambiente de control, los auditores deben considerar las partes más importantes de los componentes del control.
Integridad y valores éticos La integridad y los valores éticos son el producto de las normas éticas y de conducta de la entidad,
así como la forma en que éstos se comunican y refuerzan en la práctica.
Compromiso con la competencia La competencia es el conocimiento y las habilidades necesarias para cumplir con las tareas que definen el trabajo de un individuo.
Participación del consejo directivo o el comité de auditoría Un consejo directivo eficaz es independiente de la administración, y sus miembros participan y escrutan las actividades de la administración.
Filosofía y estilo operativo de la administración La administración, a través de sus actividades, proporciona señales claras a sus empleados acerca de la importancia del control interno. Por ejemplo, ¿acaso la administración asume riesgos importantes o tiene aversión al riesgo? ¿Son las ventas y objetivos de ingresos poco realistas, y se estimula a los empleados para que tomen acciones dinámicas para cumplir esos objetivos? ¿Puede describirse a la administración como “gorda y burocrática” o “austera y eficiente”.
Estructura organizativa La estructura organizativa de la entidad define las líneas de responsabilidad y autoridad existentes. Al entender la estructura organizativa del cliente, el auditor aprende los elementos administrativos y funcionales de la empresa y percibe cómo se implementan los controles.
Asignación de autoridad y responsabilidad Además de los aspectos informales de la comunicación que la administración y el consejo directivo realizan como parte de las operaciones cotidianas, también tienen gran importancia los métodos formales de comunicación referentes a la autoridad y responsabilidad y asuntos similares relacionados con el control.
Políticas y prácticas de recursos humanos El aspecto más importante del control interno es el personal. Si los empleados son competentes y dignos de confianza, es posible carecer de algunos controles, y de cualquier manera se tendrán estados financieros confiables. Las personas incompetentes o deshonestas pueden arruinar el sistema, incluso si hay otros muchos controles en orden.
2.- Evaluación del riesgo.- La evaluación del riesgo para los dictámenes financieros es la identificación y análisis de los riesgos
relevantes de la administración para la preparación de los estados financieros de conformidad con los principios contables generalmente aceptados. Todas las entidades, sin importar su tamaño, estructura, naturaleza, o industria, enfrentan una variedad de riesgos provenientes de fuentes externas e internas que se deben de administrar. La identificación y análisis del riesgo es un proceso en curso y un componente crítico del control efectivo interno. La administración se debe enfocar en los riesgos en todos los niveles de la organización e implementar las medidas necesarias para manejarlos. Una vez que la administración identifica un riesgo, estima la importancia de ese riesgo, evalúa la posibilidad de que el riesgo ocurra y desarrolla las acciones. En tanto que la administración evalúa los riesgos como parte del diseño y operación de los controles internos para reducir los errores y fraude, los auditores evalúan los riesgos para determinar cuál es la evidencia necesaria para la auditoría. Si la administración evalúa con eficacia y responde a los riesgos, el auditor acumulará menos evidencia que cuando la administración no es capaz de identificar o responder a riesgos importantes. 3.- Actividades de Control.- Son las políticas y procedimientos, además de las que se incluyeron en los otros cuatro componentes, que ayudan a asegurar que se implementen las acciones necesarias para abordar los riesgos que entraña el cumplimiento de los objetivos de la entidad. Potencialmente existen varias actividades de control en cualquier entidad, incluyendo los controles manuales y automáticos.
Separación adecuada de las responsabilidades. Autorización adecuada de las operaciones y actividades. Documentos y registros adecuados. Control físico sobre activos y registros. Verificaciones independientes referentes al desempeño.
Separación adecuada de las responsabilidades.- Existen cuatro guías generales de gran importancia para los auditores que ayudan a la separación adecuada de las responsabilidades para evitar el fraude y los errores.
Contabilidad separada de la custodia de los activos financieros Se utiliza para proteger a la compañía contra desfalcos. Una persona que tiene la custodia temporal o permanente de un activo no debe ser la responsable de rendir
cuentas relacionadas con dicho activo. Si se permite que una persona realice ambas funciones, aumenta el riesgo de que esa persona disponga del activo para una ganancia personal y ajuste los registros para cubrir el robo.
Custodia de activos relacionados separada de la autorización de operaciones De ser posible, es preferible evitar que las personas que autorizan las operaciones tengan control sobre el activo relacionado, ya que esto ocasiona una posibilidad de desfalco.
Responsabilidad operativa separada de la responsabilidad de registro contable Para asegurar información desprejuiciada, por lo general, se incluye el registro contable en un departamento aparte a cargo del contralor.
Deberes del departamento de tecnologías de información separados de los departamentos de usuarios Conforme aumenta el nivel de complejidad de los sistemas de tecnologías de información, con frecuencia la separación de la autorización, registro contable y custodia se vuelve poco clara. Para compensar estos traslapes potenciales de responsabilidades, es importante que las compañías separen las funciones principales relacionadas con las funciones de tecnologías de información de las de departamentos de usuarios claves.
De manera natural, el grado de separación de las responsabilidades depende en gran parte del tamaño de la organización. En varias compañías pequeñas, no es práctico dividir las responsabilidades al grado sugerido. En estos casos, la evidencia de la auditoría puede requerir una modificación. Autorización adecuada de las operaciones y actividades.- Cada operación debe ser autorizada de manera adecuada si se desea que los controles sean satisfactorios. Si cualquier persona en una empresa pudiera adquirir o ampliar activos a voluntad, el resultado sería un caos total. La autorización puede ser general o específica.
La autorización general, la administración establece políticas que la organización debe seguir, los subordinados reciben instrucciones de llevar a cabo estas autorizaciones generales al aprobar todas las operaciones dentro de los límites que establece la política.
La autorización específica tiene que ver con las operaciones individuales. A menudo la administración no está dispuesta a establecer una política general de autorización para ciertas transacciones. Más bien, prefiere hacer autorizaciones en cada caso.
Documentos y registros adecuados.- Los documentos y registros son los objetos físicos en los que se asientan y resumen las transacciones. Éstos incluyen cuestiones tan diversas como las facturas de ventas, órdenes de compra, los registros subsidiarios, diarios de ventas y tarjetas de asistencia del personal. Varios de estos documentos y registros se mantienen en forma de archivos de computadora hasta que se imprimen para propósitos específicos. Algunos principios relevantes dictan el diseño y uso adecuado de los documentos y registros. Los documentos y registros deben estar:
Pre numerados de manera consecutiva a fin de facilitar el control sobre documentos faltantes y como ayuda para localizar documentos cuando se necesitan en una fecha posterior Preparados en el momento que ocurra una operación o inmediatamente después, según sea posible. Cuando existe un intervalo de tiempo mayor, los registros son menos creíbles y aumenta la posibilidad de errores Lo suficientemente sencillos para asegurar que se entiendan de manera clara. Diseñados para uso múltiple, cuando sea posible, a fin de reducir al mínimo la cantidad de formatos diferentes. Elaborados de manera que fomenten una preparación correcta. Esto se puede hacer al proporcionar un cierto grado de verificación interna en la forma o registro.
Control Físico sobre activos y registros.- Para tener un control interno adecuado es esencial proteger los activos y los registros. Si los activos están desprotegidos, los pueden robar, al igual que a los registros que no se protegen de manera adecuada, los pueden robar, dañar o extraviar. En el caso de que esto ocurra, se puede dañar seriamente el proceso de contabilidad y las operaciones habituales. Cuando una compañía está muy computarizada, es muy importante proteger su equipo de cómputo, sus programas y archivos de datos. El equipo y programas son costosos y esenciales para las operaciones. Los archivos de datos son los registros de la compañía y si se dañan, su reconstrucción puede ser costosa o incluso imposible.
Verificaciones independientes referentes al desempeño.- La necesidad de verificaciones independientes surge porque una estructura de control interno tiende a cambiar con el tiempo a menos que exista un mecanismo para un análisis constante. Es probable que el personal olvide o no siga intencionalmente los procedimientos, o se vuelva descuidado a no ser que alguien observe y evalúe su desempeño. Sin importar la calidad de los controles, el personal puede llevar a cabo acciones fraudulentas y cometer errores no intencionados. 4.- Información y Comunicación.- El propósito del sistema de información y comunicación de contabilidad de la entidad es iniciar, registrar, procesar e informar de las operaciones de la entidad y mantener la responsabilidad por los activos relacionados. Una información contable y sistema de comunicación tiene varios subcomponentes, que, por lo general, están compuestos por diferentes tipos de transacciones como ventas, devoluciones de ventas, entradas de efectivo, adquisiciones, etcétera. Para cada clase de operación, el sistema contable debe satisfacer los seis objetivos de auditoría relacionados con la operación. Por ejemplo, el sistema de contabilidad de ventas debería estar diseñado para asegurar que todos los envíos de productos por parte de una compañía se registren de manera correcta como ventas y se reflejen en los estados financieros del periodo adecuado. 5.- Monitoreo.- Las actividades de monitoreo se refieren a la evaluación continua o periódica de la calidad del desempeño del control interno por parte de la administración, con el fin de determinar qué controles están operando de acuerdo con lo planeado y que se modifiquen según los cambios en las condiciones. Lo más importante que necesita saber el auditor sobre el monitoreo son los principales tipos de actividades de monitoreo que una compañía utiliza y cómo se utilizan estas actividades para modificar controles internos cuando sea necesario. La forma más común para obtener este conocimiento es el análisis junto con la administración. Para muchas compañías, en particular las grandes, un departamento de auditoría interna es esencial para un monitoreo eficaz. Para que la función de la auditoría interna sea eficaz, es esencial que el personal de auditoría interna sea independiente de los departamentos de operación y contabilidad y que reporte directamente al nivel superior de autoridad dentro de la empresa, ya sea a los niveles más altos de la administración o al comité de auditoría del consejo directivo. Además de su función en el monitoreo del control interno de la compañía, el personal de auditoría interna adecuado puede reducir los
costos de la auditoría externa al dar apoyo directo a los auditores externos. OBTENCION Y DOCUMENTACION DEL CONTROL INTERNO La documentación de la administración es una fuente importante de información para ganar este conocimiento. El auditor también debe documentar su conocimiento. Para comprender el control interno, el auditor utiliza procedimientos para obtener un conocimiento, lo cual incluye la reunión de evidencia sobre el diseño de controles internos y si se han puesto en operación, y después utiliza la información como base para la auditoría integrada. Por lo general, son tres métodos los que utilizan los auditores para obtener y documentar su conocimiento del diseño de control interno: las narrativas, los diagramas de flujo y los cuestionarios de control interno. Narrativa Una narrativa es una descripción por escrito de la estructura del control interno del cliente. Una narrativa adecuada de un sistema de contabilidad y los procesos de control relacionados incluye cuatro características:
El origen de cada documento y registro en el sistema. Cómo se lleva a cabo todo el procesamiento. La disposición de cada documento y registro en el sistema. Una indicación de los procedimientos de control pertinentes a la evaluación del riesgo de control. Éstos comúnmente incluyen la separación de responsabilidades
Diagrama de flujo Un diagrama de flujo de control interno es una representación simbólica y en diagrama de los documentos del cliente y su flujo secuencial en la empresa. Un diagrama de flujo adecuado incluye las mismas cuatro características identificadas anteriormente para las narrativas. Los diagramas de flujo representan una ventaja, principalmente porque proporcionan una idea concisa del sistema del cliente, lo cual es útil para el auditor como instrumento analítico en la evaluación. Un diagrama de flujo bien preparado identifica imprecisiones y propicia un conocimiento claro de la forma en que opera el sistema. Cuestionario sobre control interno En un cuestionario de control interno se hace una serie de preguntas referentes a los controles en cada área de la auditoría como medio para indicar al auditor los aspectos de la estructura de control interno que pueden ser inadecuados. En la mayoría de los casos, los cuestionarios requieren una
respuesta como “sí” o “no”, en donde una respuesta con “no” indica deficiencias potenciales de control interno.
