Auditoría Interna, su transformación hacia un Modelo de Auditoría Continua y Prevención de Fraudes

Una de las principales necesidades de la Auditoría de TI es minimizar tiempos de respuesta, automatizar procesos, generar informes de manera oportuna y eficiente con la generación de gráficos visuales de forma automática, de esta manera obtener un mejor panorama sobre el plan de auditoría, analizar controles de datos relevantes y atípicos, realizar una comparativa con otras operaciones internas, identificar riesgos potenciales y puntos claves.

El pasado miércoles 30 de junio se llevó a cabo el Webinar gratuito “Auditoría Interna, su transformación hacia un Modelo de Auditoría Continua y Prevención de Fraudes” presentado por Victor Manuel Che , Jefe de Auditoría de Grupo Bepensa.

En esta presentación Victor Che, nos habla sobre el camino que BEPENSA ha recorrido en los últimos años, cómo ha transformado su función de Auditoría Interna, para obtener más y mejores resultados y beneficios para la organización, a través de la optimización del recurso de auditoría y el involucramiento de la tecnología como lo es CaseWare IDEA y ALESSA.

Te compartimos la grabación completa de la sesión.

Auditoría Interna, su transformación hacia un Modelo de Auditoría Continua y Prevención de Fraudes

Si no puedes visualizar el webinar da clic aquí

Consulta las respuestas de Victor Che a las preguntas realizadas por la audiencia

PREGUNTAS

1.- Miguel Cruz.

Si hubiera oportunidad nos compartas algún ejemplo de proceso de negocio y qué tipo de banderas rojas establecieron.

Un proceso de negocio que siempre nos trae resultados es la asignación de precios de nuestros productos. Algunas de las banderas que se buscan son: 

Que los clientes con el mismo volumen de compra se encuentren con:

• B1.- Importes similares en precios 
• B2.- Importes similares en descuentos 

Con respecto al vendedor o ruta que atiende a los clientes: 

• B3.- El porcentaje que el cliente representa (no debe ser mayor a XY% con respecto al total de la ruta) 
• B4.- La tendencia de compra que tiene el cliente con respecto a los demás clientes de la ruta 

En el tiempo: 

• B5.- Cuanto tiempo tiene el o los clientes con el mismo precio 
• B6.- Cual ha sido la tendencia en el tiempo de los clientes (sobre todo ya teniendo identificadas las banderas previas) 

Espero la respuesta te sea de utilidad, esto puede aplicar para otras revisiones como refacciones, servicios, etc. 

2.- Gerardo Cabañas.

¿Cómo diferencías este monitoreo continuo del que hacen las áreas de control interno?.

Diría que hay similitudes, pero también hay diferencias importantes, trataré de señalar algunas de las principales diferencias: 

• 1.- El reporte, el control interno es dentro de la operación, por lo general no llega a la junta directiva y/o alta dirección, tampoco al consejo de auditoría. (Auditoría Interna sí) 
• 2.- El riesgo, es obligación del control interno tratar de asegurar todos los riesgos identificados en su mapa de riesgos y controles, sin embargo, para auditoría interna al ser un recurso más limitado y tener que atender a diversas divisiones tiene que enfocar sus esfuerzos a los riesgos principales de la organización. En un mapa de calor en escala de tres colores serían los rojos y amarillos, lo cual dejaría fuera a los verdes, mismos que deberían ser atendidos por el negocio (control interno o los mismos gerentes del proceso). 
• 3.- Nuestro proceso es independiente y objetivo, nuestro cliente principal es el DEA, el Consejo, lo cual nos lleva a reportar cualquier cosa fuera del apetito de riesgo y escalarlo como sea posible para su solución. 

3.- Jhon Carrizales.

¿Qué opina de la herramienta de ACL y los módulos de la plataforma de HighBond? ¿Es una buena opción para desarrollar proyectos de Auditoría Continua?

Durante mi carrera he tenido la oportunidad de probar diferentes productos, incluso durante un periodo de tiempo una de nuestras divisiones utilizó ACL. En general me parece una buena herramienta, quizá un poco más técnica y menos intuitiva que IDEA, pero con el conocimiento en el uso, se pueden programar diferentes analíticos que si pueden ser usados en procesos de Auditoria Continua.  Mi consejo sería evaluar las soluciones existentes y seleccionar la que mejor se adecúe a la necesidad de cada empresa. 

Con respecto a HighBond (no lo conocía por ese nombre) pero veo que modernizaron Galvanize que es el GRC que probé hace ya algún tiempo, también me parece una buena herramienta para la administración de riesgos y la manera de amarrar los riesgos y los controles me parecía práctica y funcional. Sin embargo, en ese momento consideramos que era una herramienta más para la administración de riesgos que para el área de auditoría (la cual por buena práctica no debe ser la encargada de riesgos) y esta es una de esas veces en donde he utilizado mi propio consejo: no gastes en algo que no tienes la madurez de utilizar e implementar. 

4.- Adriana Cortinas.

Nosotros tenemos Quick Books pero el próximo año nos cambiaremos a 365, el problema es que no están estandarizados los formatos, necesitamos revisar gastos de las oficinas en otros países, esta herramienta sirve para eso aun cuando no está estandarizado y nuestra revisión es básicamente de gastos ya que somos una ONG?

Adriana, entiendo que quieres revisar la información que actualmente tienes en Quick books pero no se encuentra estandarizada por país. Y sí, la herramienta IDEA y/o Monitor te puede ayudar con esto. 

Ahora, si están pensando en una migración a la nube 365 lo primero que habría que ver es que de manera contractual se tengan los permisos, accesos y desarrollos para que IDEA o cualquier herramienta que en un momento dado ustedes decidan usar, tengan cómo conectarla para poder hacer análisis de información, ya que si no cuentan con los suficientes reportes de la aplicación su labor será muy complicada. Así que, paso número uno: a nivel contractual o técnico tendrían que establecer claramente las reglas de ese juego. 

Una vez teniendo eso, muchas herramientas del mercado pueden conectarse a la nube a través del conector adecuado y poder hacer análisis, sin importar que la información no esté estructurada (esto será un problema) pero podría resolverse haciendo auditorías independientes por país, que creo sería lo óptimo debido a las distintas reglamentaciones y particularidades. 

Espero haber resuelto tu duda adecuadamente, de no ser el caso, por favor compárteme un correo y con gusto lo revisamos. 

5.- Alex Perdomo.

¿Qué profesional recomiendas para realizar una extracción y depuración de la data? 

Esta es una muy buena pregunta y difícil de contestar. Más que al profesional yo me iría a las características de la persona: 

• 1.- Tiene que ser una persona muy analítica. 
• 2.- Poder realizar relaciones y análisis en su mente para llegar a soluciones (agilidad de pensamiento). 
• 3.- De preferencia una persona estructurada.  
• 4.- Curiosa, ya que muchas bases de datos no cuentan con documentos como mapas de entidad relación, contenidos, etc., si la persona no es curiosa, investiga, busca y relaciona, tardará mucho tiempo en encontrar las cosas). 
• 5.- Facilidad de comunicación, una comunicación apropiada a todos los niveles y áreas es importante, así como también al momento de redactar informes y/o reportes. 

Como comenté, yo soy contador y en mi equipo hay un ingeniero en sistemas, un actuario y un LATI (administrador de TI), todos hacen una excelente labor y tienen características particulares que al momento de interactuar y apoyarse unos a otros, logran mejores resultados. 

6.- José Luis Rivera.

En caso de que el área de auditoria sea una sola persona ¿Cuáles serían tus recomendaciones? 

• 1.- Identificar los riesgos críticos de las operaciones, los focos rojos e iniciaría elaborando un plan de trabajo autorizado para comenzar con ello. Es importante que esté basado en los objetivos del negocio. 
• 2.- Teniendo en consideración lo anterior y dependiendo el giro del negocio, tamaño, etc., consideraría en adoptar una herramienta para realizar scripts en dado caso de que las tareas sean repetitivas. Esto ayudaría aun siendo una sola persona tener una base de pruebas para poder ir revisando si los riesgos o atipicidades encontradas van disminuyendo con el tiempo. 
• 3.- Antes de empezar cualquier revisión, determinar bien las reglas del proceso a revisar con la operación, el objetivo de la revisión es identificar cómo se podría mejorar el control y/o el proceso para dar aportaciones que generen valor.  

7.- Jesús Ramírez.

Mencionaron sobre análisis de riesgo, pregunta ¿utilizaron Margerit y COSO III?

Para mantener la independencia del departamento de auditoría, la determinación y análisis de riesgos, se llevó a cabo por la operación y un despacho interno, nosotros como auditoría tuvimos una participación de acompañamiento y escucha, pero si, puedo decir que se utilizaron las buenas prácticas de margerit y coso.  

Y actualmente, el negocio hace su análisis de riesgos con su metodología, la cual poco a poco van madurado y nosotros como auditoría tomamos esos riesgos proporcionados por el negocio y hacemos una calibración basados en distintas fuentes de información y experiencia, mismas que se justifican y sirven para nuestro plan de auditoría. 

Conoce al ponente de este webinar

Te invitamos a leer “Automatización Robótica de Procesos RPA en Auditoría”.