Experiencia animada — Auditoría interna
Una misión de auditoría interna en acción
01 — Definición del alcance de la misión
Definir una misión alineada con los riesgos y los objetivos de la organización, con un mandato claro, un alcance explícito y partes interesadas identificadas.
- Universo de auditoría y plan — Situar la misión dentro del universo de auditoría y el plan anual basado en riesgos.
- Objetivos y alcance — Traducir los objetivos de la organización en objetivos de auditoría y fijar los límites del alcance.
- Carta de misión — Formalizar el mandato, el alcance, el calendario, los interlocutores y las modalidades de presentación de resultados.
- Entregables
- Carta de misión · Objetivos de auditoría · Alcance · Calendario · Lista de partes interesadas
- Interacciones
- Comité de auditoría · Dirección general · Responsables operativos · Gestión de riesgos
- Competencias
- Planificación basada en riesgos · Comprensión del contexto · Definición del alcance · Gobernanza de la misión · Comunicación con la dirección
- Resultados esperados
- Una misión alineada con los riesgos y los objetivos de la organización
02 — Evaluación de riesgos
Concentrar los trabajos en los riesgos que puedan afectar a los objetivos, vinculando cada riesgo con los controles clave y los datos disponibles.
- Mapeo del proceso — Describir etapas, actores, sistemas y datos del proceso auditado.
- Eventos de riesgo — Identificar los escenarios de fallo que puedan comprometer los objetivos.
- Controles clave — Inventariar los controles existentes y evaluar su pertinencia aparente.
- Priorización — Clasificar las áreas a probar según la exposición residual y la utilidad del aseguramiento.
- Entregables
- Evaluación preliminar de riesgos · Mapa del proceso · Matriz de riesgos y controles · Programa de trabajo
- Interacciones
- Responsables operativos · Control interno · Gestión de riesgos · Informática · Finanzas
- Competencias
- Análisis de riesgos · Comprensión de procesos · Identificación de controles clave · Priorización · Juicio profesional
- Resultados esperados
- Un programa de trabajo centrado en los riesgos significativos
03 — Trabajo de campo y pruebas
Fundamentar las conclusiones en evidencia suficiente, fiable, pertinente y útil, documentando cada prueba y cada desviación identificada.
- Entrevistas — Comprender la práctica real y contrastar las descripciones con los hechos observados.
- Selección de muestras — Definir un método de muestreo trazable y justificar su representatividad.
- Pruebas de control — Comparar el resultado esperado con el resultado observado y registrar las desviaciones.
- Análisis de datos — Procesar el conjunto de la población para detectar anomalías y tendencias.
- Entregables
- Papeles de trabajo · Resultados de las pruebas · Análisis de datos · Registro de evidencias · Excepciones identificadas
- Interacciones
- Responsables operativos · Finanzas · Informática · Cumplimiento
- Competencias
- Conducción de entrevistas · Análisis documental · Muestreo · Pruebas de control · Análisis de datos · Pensamiento crítico · Documentación del trabajo
- Resultados esperados
- Un expediente de trabajo completo, trazable y revisado
04 — Hallazgos y causas raíz
Distinguir los síntomas de las causas para proponer mejoras duraderas en lugar de correcciones puntuales.
- Criterio y desviación — Contrastar la situación observada con el criterio aplicable y medir la desviación.
- Causa raíz — Remontar de la desviación a su causa organizativa, técnica o cultural.
- Consecuencia y riesgo — Evaluar el impacto potencial y el riesgo residual para los objetivos.
- Validación contradictoria — Hacer validar los hechos por los responsables antes de cualquier conclusión.
- Entregables
- Ficha de hallazgo · Análisis de causas · Nivel de prioridad · Evaluación del impacto · Validación con la dirección
- Interacciones
- Responsables operativos · Dirección general · Control interno · Cumplimiento
- Competencias
- Análisis causal · Síntesis · Evaluación del impacto · Redacción de hallazgos · Validación contradictoria
- Resultados esperados
- Hallazgos objetivos, validados y vinculados a una causa identificada
05 — Recomendaciones e informe
Transformar los hallazgos en recomendaciones realistas, proporcionadas y creadoras de valor, acompañadas de una respuesta formal de la dirección.
- Opciones de recomendación — Comparar varios tratamientos posibles según el costo, el plazo y el impacto.
- Resumen ejecutivo — Una página orientada a la decisión: problema, riesgo, recomendación, efecto esperado.
- Respuesta de la dirección — Recabar el compromiso, el responsable, el plazo o el riesgo aceptado.
- Entregables
- Informe de auditoría · Resumen ejecutivo · Recomendaciones · Respuesta de la dirección · Plan de acción
- Interacciones
- Comité de auditoría · Consejo de administración · Dirección general · Responsables operativos · Auditoría externa
- Competencias
- Asesoramiento · Redacción ejecutiva · Comunicación · Negociación · Presentación al comité de auditoría · Formulación de acciones medibles
- Resultados esperados
- Un informe claro, orientado a la decisión y con compromisos con fecha
06 — Seguimiento y aseguramiento
Una recomendación solo genera valor cuando se implementa y se verifica: el seguimiento cierra el ciclo de aseguramiento.
- Registro de seguimiento — Seguir acciones abiertas, responsables, plazos y retrasos.
- Evidencia de implementación — Verificar la efectividad de la acción y no solo la declaración de finalización.
- Cierre e informe — Validar el cierre e informar al comité de auditoría sobre las acciones retrasadas.
- Entregables
- Registro de seguimiento · Panel de control · Informe de seguimiento · Validación de cierre · Información al comité de auditoría
- Interacciones
- Comité de auditoría · Dirección general · Responsables operativos · Control interno · Gestión de riesgos
- Competencias
- Seguimiento de la ejecución · Responsabilización · Informes al comité de auditoría · Mejora continua
- Resultados esperados
- Un aseguramiento verificado sobre el control efectivo de los riesgos auditados