Boletín del Comité de Normas del Instituto de Auditores Internos de Argentina Nº 29 – Octubre de 2009
|
Normaria es un boletín electrónico elaborado por
el Comité de Normas del Instituto de Auditores Internos de Argentina, y su objeto
es difundir diferentes aspectos del marco normativo de la auditoría interna,
así como noticias y temas de actualidad relacionados con la normativa y su
aplicación. CONTENIDO Cambios en los Estándares de Evaluación de Riesgos del
AICPA La Opinión del Auditor Interno Medición del Desempeño de la Auditoría Interna Nuevos Consejos para la Práctica El Comité de Normas del Instituto de Auditores Internos de
Argentina tiene como Misión promover el conocimiento y uso de las Normas para
el Ejercicio Profesional de
|
Control Interno Cambios
en los Estándares de Evaluación de Riesgos del AICPA Por Daniel
Chalupowicz En el presente
artículo vamos analizar qué es lo que ha cambiado en la aplicación de
estándares de auditoria del Instituto Americano de Contadores Públicos
(AICPA). Los requerimientos más básicos de los nuevos estándares de riesgo
del AICPA se remontan a los anteriores estándares promulgados por dicha
Institución. En una comparación entre los anteriores estándares y los nuevos,
se identifican tres diferencias esenciales. -
El nivel de detalle y
documentación requeridos para respaldar la comprensión que el auditor obtiene
del negocio del cliente y el ambiente donde dicho negocio opera. -
La aplicación de procedimientos
específicos de evaluación de riesgos. -
Una aplicación más rigurosa del
modelo de riesgo de auditoria. A continuación
se expone en el Cuadro I con los principales cambios en la normativa de
auditoria del AICPA:
Comprensión
del cliente La
necesidad del auditor de conocer y comprender cabalmente el negocio y las
operaciones de su cliente ha estado presente desde mucho tiempo antes. El
estándar de auditoria identificado como el SAS (Statement on Auditing
Standard) 22, Planificación y Supervisión, emitido en el año 1978 dice
“El auditor debe obtener un conocimiento de los asuntos relacionados con la
naturaleza del negocio de la entidad, su organización, y las características
de sus operaciones. El estándar, no obstante, resultaba insuficiente en
cuanto a como proceder para obtener dicha comprensión, citando solamente, que
esta se obtenía a través de la experiencia previa, con la entidad o de la
industria donde esta operaba, o mediante la indagación al personal de la
misma. El
estándar de auditoria SAS 109,
Compresión de la Entidad y su
Ambiente, Evaluando los Procedimientos para Obtener la Comprensión dice que,
a pesar que el auditor no tiene obligación de aplicar procedimientos para
cada información o input que obtiene, todos los procedimientos de evaluación
de riesgos deben ser llevados a cabo con el fin de obtener una comprensión
general del cliente. Los nuevos
estándares, además, asumen que el auditor tiene de hecho experiencia ya
adquirida en anteriores compromisos con el cliente, y por lo tanto utilizará
dicha experiencia en el trabajo de auditoria del presente ejercicio. Una de
las premisas centrales entonces de este estándar es preguntarse, qué es lo
que ha cambiado en el presente ejercicio con relación a anteriores trabajos
realizados en el mismo cliente? Una parte importante de la comprensión que se
obtiene del cliente es la identificación de los controles internos y
evaluación de su diseño e implementación, mas allá de si dichos controles
serán probados en cuanto a la efectividad de su operación o funcionamiento. Para las
cuentas que resultan poco significativas en cuanto a factores cualitativos o
importancia relativa de los saldos, la documentación se limita solamente a la
identificación de los controles existentes. Aquellas
cuentas que reflejan mayor potencial o probabilidad de que sucedan errores
materiales deberían tener un mayor nivel de detalle o nivel de documentación para
respaldar cualquier procedimiento de auditoria seleccionado. La
documentación entonces que elabora el auditor para documentar la comprensión
del cliente debe entonces demostrar que el auditor ha considerado debidamente
la información existente y aplicado los procedimientos de evaluación de
riesgos necesarios en las circunstancias. Por lo
tanto, la documentación que el auditor lleva a cabo sobre la comprensión del
cliente, incluyendo los controles internos se convierte entonces en un input
que resulta crítico en la aplicación del modelo de riesgos para la evaluación
del riesgo de errores materiales y decisión del plan de auditoria.
Ilustraremos más adelante lo expuesto mediante el Cuadro II, a fin de
facilitar el razonamiento detrás del modelo citado. El Modelo
de Riesgo de Auditoria Al igual
que los estándares anteriores, el estándar de auditoria SAS 107, Riesgo de
Auditoria y Materialidad en la Conducción de la Auditoria, describe también
el modelo de riesgo de auditoria y define
al riesgo de error material como la evaluación combinada de de riesgo
inherente y de control. A pesar de que existen modelos matemáticos
desarrollados para medir dichos riesgos, esto no es un requisito ni existe la
obligatoriedad normativa de medir el riesgo en dichos términos. El estándar
se centra en las relaciones contenidas en el modelo. Recordemos
que la formula de riesgo de auditoria se define como: Riesgo de
Auditoria: Riesgo Inherente x Riesgo de Control x Riesgo de Detección Este
modelo también se encuentra en la literatura del AICPA definido como: AR = IR x
CR x AP x TD Donde: AR:
Audit Risk IR:
Inherent Risk CR:
Control Risk AP:
Analytical Procedures TD:
Test of Details El riesgo
de auditoria es entonces la posibilidad de que el auditor no detecte un error
material en los estados financieros, si dichos errores existen. El riesgo
inherente es la susceptibilidad de que una cuenta o afirmación de error
material en los estados financieros, suponiendo que no existen controles
asociados con dicho riesgo o que los controles existentes no resultan
eficaces. El riesgo inherente varía según la cuenta y afirmación en los
estados financieros y su evaluación depende de la comprensión del cliente, la
naturaleza de la cuenta en cuestión y las consideraciones existentes sobre el
fraude. Las condiciones económicas y otros factores pueden afectar el riesgo
inherente de una cuenta en particular y por lo tanto también de los estados
financieros en su conjunto. Algunas
transacciones que se llevan a cabo en forma rutinaria, que no resultan
complejas, y que son sistemáticamente ejecutadas pueden presentar un riesgo
inherente menor. No obstante, el estándar de auditoria SAS 99,
Consideraciones de Fraude en la Auditoria de Estados Financieros menciona que
algunas transacciones, a pesar de ser rutinarias, como las transacciones que
involucran al efectivo y algunos activos altamente líquidos, son más
susceptibles al fraude y por lo tanto presentan un riesgo inherente mayor. El SAS 99
describe algunas transacciones como significativas, y por lo tanto requieren
la aplicación de procedimientos adicionales de auditoria. Por lo general, los
riesgos significativos se asocian a las transacciones no rutinarias. Las
transacciones que requieren intervenciones manuales o intervenciones de la
gerencia, cálculos complejos, o la elaboración de estimaciones, normalmente
están sujetas a un incremento en la evaluación del riesgo inherente. El riesgo
de control es el riesgo de que un error ocurra y no sea detectado o prevenido
por los controles internos de una entidad. El riesgo de detección es el
riesgo de que los procedimientos sustantivos y otros procedimientos aplicados
por el auditor no resulten eficaces para detectar los errores en los estados
financieros. El auditor puede diseñar o planificar entonces más
procedimientos sustantivos a medida que el riesgo de errores materiales se
incrementa. El modelo
de riesgo explicado y utilizado ampliamente en la práctica de auditoria no es
nuevo en los estándares de auditoria. Dicho modelo apareció por primera vez
en el apéndice del estándar de auditoria SAS 39, Muestreo de Auditoria, en el
año 1981. El
estándar de auditoria SAS 47, Riesgo de Auditoria y Materialidad en la
Ejecución de la Auditoria, utilizó el modelo para relacionar materialidad con
riesgos. El modelo se generalizó y creció en su aplicación con el
advenimiento del estándar de auditoria SAS 55 en el año 1988. El SAS 55 les
brindó a los auditores la posibilidad de una estrategia basada en la
aplicación de procedimientos sustantivos, solamente. Dicho estándar no
requería a los auditores una base sobre la cual evaluar los riesgos
inherentes y de control a menos que dichas evaluaciones fueran efectuadas a
valores por debajo del máximo. Por lo
tanto, las auditorias proveen de una estrategia base para lo siguiente: -
Utilización del conocimiento
previo del cliente y aplicación de procedimientos tales como recorridos de los controles para identificar
cómo las transacciones son registradas y cómo se documenta la comprensión de
la estructura del control interno, -
Evaluación de los riesgos
inherentes y de control al nivel máximo, y -
Selección y ejecución de
procedimientos sustantivos, solamente. Uno de los
cambios mas importantes proviene del estándar de auditoria SAS 107, que a
partir de ahora requiere al auditor tener una base apropiada sobre la cual
evaluar el riesgo de errores materiales. Indistintamente del nivel de
evaluación de los riesgos inherentes y de control, la documentación del
auditor debe respaldar su evaluación. Selección
de los procedimientos de auditoria Un
concepto importante dentro del estándar de evaluación de riesgos es el hecho
de que debe existir una relación directa entre el riesgo de error material y
la selección de procedimientos de auditora. El auditor puede realizar una
evaluación inicial de riesgo de error material y aplicar un enfoque de
pruebas de los controles. El resultado de dicha evaluación inicial puede
entonces afectar la naturaleza, alcance y oportunidad de los procedimientos
sustantivos. Si se aplica una combinación de pruebas de controles y
sustantivas, entonces el auditor debe evaluar la efectividad y lo adecuado de
los procedimientos sustantivos aplicados, sobre la base de las pruebas de la
efectividad de los controles. El auditor podría además concluir que es
necesario aplicar procedimientos sustantivos adicionales para reducir el
riesgo de detección a un nivel aceptable para el compromiso de auditoria. Sobre la
base de las evaluaciones iniciales de riesgo de errores materiales, el
auditor puede decidir no obstante que realizar pruebas de los controles no
resultaría eficaz. En dicho caso, el auditor puede aplicar procedimientos
sustantivos, solamente. Un proceso
de auditoria resulta entonces, de alguna manera, interactivo. Esto quiere
decir que la auditoria continua, una vez comenzado el trabajo, refinando la
aplicación de procedimientos hasta que resulte suficiente para obtener el
nivel deseado de riesgo de auditoria, además de efectuar conclusiones sobre
las cuentas individuales y afirmaciones de los estados financieros en su
conjunto. A pesar de
que el estándar de auditoria SAS 107 efectivamente elimina la estrategia que
se aplicaba hasta antes de los cambios en las normas de auditoria y por
‘default’ continúa aceptando la aplicación generalizada de un enfoque
sustantivo como estrategia valida de auditoria. No obstante, son necesarios
más procedimientos y mayor documentación con el nuevo estándar, mas allá de
la estrategia adoptada. La selección
de procedimientos de auditoria se basa entonces en la comprensión del
cliente, el ambiente en que opera, y los factores de riesgo tanto internos
como externos. A
continuación se expone en el Cuadro II el análisis que efectúa el auditor
para decidir el plan de auditoria.
La Opinión del Auditor Interno Por Es de práctica incluir en los informes de auditoría, y particularmente
en los informes finales, una opinión general o conclusión del auditor acerca
del asunto desarrollado. La opinión es una manifestación resumida del punto
de vista del auditor que engloba en forma equilibrada los diferentes aspectos
del trabajo, a veces dispares entre sí. Si bien la opinión del auditor tendrá
inevitablemente un componente subjetivo debido a las diferentes percepciones
que pueden tener distintas personas acerca de un mismo asunto, la opinión ha
de estar fundamentada y sustentada por datos y hechos objetivos. Ya sea que el resultado de una evaluación de auditoría
haya sido favorable o desfavorable, la opinión deberá expresarse en tono constructivo,
destacando los aspectos positivos, o bien alentando y señalando el camino
para superar situaciones adversas. En muchos departamentos de auditoría interna se utilizan
reglas para expresar las conclusiones asignando un calificación general al
tema evaluado según escalas preestablecidas (alto, medio o bajo,
satisfactorio o insatisfactorio, etc.) dependiendo, por ejemplo, del grado de
eficacia de los controles del proceso auditado, del nivel de riesgo residual,
del grado de adhesión a normas, del cumplimiento de objetivos, o algún otro
indicador. De todos modos, el uso de tales reglas de calificación no será
impedimento para que el auditor exprese en una forma menos estructurada su
punto de vista. Puede ocurrir que una limitación al alcance en una
evaluación de auditoría conduzca a emitir una opinión con salvedades. No
obstante, no será habitual que, aún ante severas limitaciones al alcance, el
auditor interno se abstenga de expresar su opinión o conclusión. En el cuadro siguiente se detallan las Normas relacionadas
con la opinión del auditor interno.
Medición
del Desempeño de Numerosos
departamentos de auditoría interna en todo el mundo están aplicando una
variedad de técnicas para la medición del desempeño de la auditoría interna,
como ser encuestas a los auditados, estadísticas sobre el grado de ejecución
del plan de auditoría, tableros de control, etc. Al respecto, el IIA acaba de
publicar un documento elaborado por Si
bien no se puede afirmar que determinada técnica o herramienta sea la mejor
para cierta finalidad, se considera importante que cada gerente de auditoría
interna escoja la metodología de medición de desempeño que mejor se adapte a
las necesidades de su organización. El
informe resume algunos de los puntos clave, recomendaciones y principales
prácticas sobre gestión de desempeño, basado en datos suministrados por
auditores de todo el mundo. Los puntos desarrollados comprenden: -
Gestión del desempeño -
Selección de los indicadores de desempeño correctos -
Consejos para la implementación de un tablero de control para la
gestión del desempeño -
Calidad y mejora como parte de la ejecución de la auditoría -
Principales prácticas para miembros del IIA: Evaluaciones de calidad
internas y externas, y mediciones de desempeño -
Estadísticas sobre métodos de medición utilizados en diferentes tipos
de organizaciones El
documento descripto se encuentra en idioma inglés, y puede encontrarse en la
página web del IIA: http://www.theiia.org/download.cfm?file=23399. Nuevos
Consejos para la Práctica Durante
el año en curso el IIA ha publicado tres nuevos Consejos para la Práctica,
los que por el momento no han sido traducidos al castellano. Son
los siguientes: -
CP 2010-2:
Using the Risk Management Process in Internal Audit Planning -
CP 2120-2:
Managing the Risk of the Internal Audit Activity Los
documentos se encuentran disponibles en la página web del IIA para los
miembros del Instituto.
Normaria es un boletín electrónico editado en Buenos Aires por el Instituto de Auditores Internos de Argentina, de distribución gratuita para los socios del Instituto. Se prohíbe la reproducción total o parcial de los contenidos de Normaria sin la autorización previa del Instituto de Auditores Internos de Argentina. Las opiniones expresadas en Normaria representan los puntos de vista de los autores, y pueden diferir de las políticas y declaraciones oficiales del Instituto de Auditores Internos de Argentina, de sus Comités o de sus autoridades, o de las opiniones autorizadas por los empleadores de los autores. El editor no garantiza que los textos presentados por los autores para su publicación sean originales o inéditos.
|
