Planes anuales de auditoría interna: definición, proceso y compromisos

El plan anual de auditoría interna

Definir simplemente el plan anual de auditoría interna es fácil. El plan anual de auditoría interna (o simplemente el «plan de auditoría») es la lista de trabajos de auditoría que se realizarán el próximo año. Pero comprender la importancia del plan de auditoría requiere que observemos cómo se desarrolla el plan de auditoría.

Cada año, el Director Ejecutivo de Auditoría, con la ayuda de su equipo de liderazgo, entrevista a los gerentes senior, empleados clave en toda la organización y miembros del comité de auditoría , que es el subcomité de la Junta Directiva que supervisa la función de auditoría interna.

El propósito de estas entrevistas es identificar las áreas donde estos gerentes sienten que la organización enfrenta el mayor riesgo. Por ejemplo, tal vez haya nuevas regulaciones y los gerentes estén pensando en el riesgo de cumplimiento. O tal vez a los gerentes les preocupa que la organización no esté adecuadamente protegida contra las amenazas de ciberseguridad.

Después de estas entrevistas, el equipo de liderazgo de auditoría se reunirá y analizará los resultados de sus entrevistas. Antes de seleccionar cuáles de los riesgos identificados terminarán en su plan de auditoría anual como compromisos, harán su propia evaluación. Esto puede incluir mirar datos para obtener más información sobre algunas de las áreas de riesgo, realizar investigaciones para ver cómo otras organizaciones están administrando el riesgo y comunicarse con colegas para obtener su opinión sobre los riesgos. Las entrevistas y la investigación del equipo de auditoría son importantes a la hora de generar la evaluación de riesgos de toda la empresa .

Clasificación de las prioridades de riesgo

Una vez que el equipo de liderazgo de auditoría ha evaluado los riesgos identificados, debe clasificarlos. Por lo general, no es necesario clasificar los riesgos en orden numérico; el objetivo final de la evaluación de riesgos será una lista de riesgos para auditar en el próximo año, por lo que solo necesitan clasificar los riesgos como ‘en el plan de auditoría’, «auditoría de respaldo» y «no este año».

La forma más común de clasificar los riesgos es utilizando una matriz de 2×2, a menudo denominada matriz de riesgo . Un lado de esta matriz es ‘probabilidad’ y el otro lado es ‘impacto’. Cada riesgo se considera bajo o alto en cada una de estas categorías y luego se marca en el cuadrante correspondiente. En términos generales, los riesgos que tienen una alta probabilidad de ocurrencia y un alto impacto son los primeros en incluirse en el plan de auditoría anual.

Ejemplo de matriz de riesgos

Tipos de encargos de auditoría

Hay dos tipos de auditorías: auditorías de aseguramiento y auditorías de asesoramiento. Cuando la mayoría de la gente piensa en auditorías internas, probablemente piense en auditorías de aseguramiento , que tienen el objetivo de asegurar a la administración y al Directorio que se están siguiendo las políticas, que los estados financieros son precisos y que la organización cumple con las regulaciones aplicables. Las auditorías de aseguramiento incluyen, por ejemplo, auditorías de estados financieros o actividad de tarjetas de compra.

Las auditorías de asesoramiento , a veces llamadas auditorías de desempeño, se parecen más a los servicios de consultoría de gestión. En lugar de realizar un trabajo de prueba para ver si la organización está siguiendo las regulaciones y políticas, o ver si los estados financieros son precisos, una auditoría de asesoría implica analizar procesos y organizaciones para ver si puede haber oportunidades para ser más efectivos o mejorar las operaciones.

No existe una regla general que indique qué parte de un plan de auditoría debe ser auditorías de asesoramiento y cuánto deben ser auditorías de aseguramiento. Idealmente, las auditorías de aseguramiento también tendrán un componente de asesoramiento. Las auditorías consultivas pueden informar el plan de auditoría al exponer los riesgos que no se mencionaron durante la evaluación de riesgos, o pueden revelar cosas que mitigan los riesgos identificados, lo que los hace menos preocupantes.

Calcular las necesidades de recursos

La razón por la que no todo lo identificado en la evaluación de riesgos termina en el plan de auditoría es porque, como todas las organizaciones y departamentos, la auditoría interna tiene recursos limitados. Hay tantas horas en un día, y solo un número limitado de auditores, que se pueden utilizar para trabajar. Esto nos lleva a la última parte del desarrollo del plan de auditoría anual: calcular la disponibilidad de recursos.

Un empleado de tiempo completo que trabaje una semana laboral de 40 horas trabajará 2.080 horas en un año. Calcular los recursos departamentales puede parecer tan simple como multiplicar el número de auditores por 2080 horas. Sin embargo, hay algunas otras cosas a considerar. Primero, la gente se va de vacaciones. En segundo lugar, se enferman. En tercer lugar, los auditores no pueden auditar el 100% del tiempo; necesitan participar en el desarrollo profesional, ayudar en el departamento con tareas administrativas y, a veces, servir en comités o grupos de trabajo en la organización.

Una buena regla general es planificar que un auditor a tiempo completo pueda trabajar en compromisos de auditoría el 70% del tiempo, o 1,456 horas por año. Con esa información, puede calcular cuántas horas de auditoría se pueden utilizar para cumplir con el plan de auditoría. A partir de ahí, es un proceso simple (con suerte) de asignar auditores a las auditorías.

Una vez desarrollado el plan de auditoría, es importante que el Director Ejecutivo de Auditoría presente el plan como una propuesta al comité de auditoría. A lo largo del año y durante los trabajos, si los gerentes o empleadores cuestionan lo que están haciendo los auditores, es importante que puedan volver al estatuto de auditoría interna y al plan de auditoría aprobado para demostrar que la autoridad de la Junta es la razón por la que se realizan las auditorías. teniendo lugar.

Resumen de la lección

En esta lección, analizamos cómo desarrollar un plan de auditoría anual . Primero, el equipo de liderazgo de auditoría lleva a cabo una evaluación de riesgos de toda la empresa visitando a los gerentes, el comité de auditoría y otras partes interesadas para identificar los riesgos que enfrenta la organización, y luego investiga esos riesgos. Luego, utilizando una matriz de riesgos , el equipo de auditoría evalúa los resultados de las evaluaciones de riesgos y decide cuáles deben convertirse en compromisos de auditoría en el plan de auditoría.

Algunas de las auditorías pueden ser auditorías de aseguramiento mientras que otras son trabajos de asesoría ; ambos son importantes para garantizar la seguridad y eficiencia de la empresa. El plan de auditoría debe ser aprobado por el comité de auditoría. Una vez que se aprueba y los auditores se asignan a los compromisos, ¡es hora de ponerse a trabajar!

Rodrigo Ricardo Editor y fundador