Un plan anual de auditoría interna basado en riesgos convierte los objetivos, estrategias y riesgos de una organización en una selección justificada de trabajos de aseguramiento y asesoramiento. Su finalidad no es revisar todos los procesos cada año, sino dirigir los recursos disponibles hacia los asuntos que requieren mayor atención.
El plan no debería consistir en repetir las auditorías del periodo anterior ni en distribuir visitas de manera uniforme entre departamentos. Debe explicar qué riesgos serán cubiertos, por qué se seleccionaron determinados trabajos, qué recursos se necesitan y qué áreas relevantes no podrán revisarse.
Las Normas Globales de Auditoría Interna exigen que el plan se base en una evaluación documentada de las estrategias, objetivos y riesgos de la organización. Esta evaluación debe considerar las aportaciones del Consejo y de la Alta Dirección y realizarse, como mínimo, una vez al año. El plan y sus cambios significativos necesitan la aprobación del Consejo.
Para conocer las demás guías sobre riesgos, controles, evidencia, hallazgos e informes, consulta la sección de auditoría interna y externa.
¿Qué es un plan anual de auditoría interna basado en riesgos?
Es un documento que establece los servicios que la función de auditoría interna prevé realizar durante un periodo determinado, normalmente un año. Cada trabajo seleccionado debe guardar relación con los objetivos de la organización, los riesgos identificados y el mandato de auditoría interna.
Un plan basado en riesgos responde, entre otras, a estas preguntas:
- ¿Cuáles son los objetivos más importantes de la organización?
- ¿Qué situaciones pueden impedir que se alcancen?
- ¿Qué procesos, sistemas, proyectos o unidades están expuestos?
- ¿Qué controles existen y qué tan confiables parecen?
- ¿Qué riesgos ya reciben aseguramiento de otras funciones?
- ¿Dónde existen brechas de cobertura?
- ¿Qué trabajos puede ejecutar auditoría interna con los recursos disponibles?
- ¿Qué riesgos significativos quedarán fuera del plan?
- ¿Qué cambios obligarían a revisar el calendario aprobado?
El término anual no significa que el documento deba permanecer invariable durante doce meses. La evaluación general debe realizarse al menos una vez al año, pero el plan debe actualizarse oportunamente cuando cambien las operaciones, riesgos, sistemas, controles, programas o condiciones de la organización.
Una entidad con un entorno estable podría efectuar una evaluación anual y revisiones periódicas. Una organización expuesta a transformaciones tecnológicas, adquisiciones, nuevos mercados, cambios regulatorios o crisis operativas puede necesitar revisiones trimestrales, mensuales o ante cada cambio significativo.
Requerimientos profesionales que debe cumplir el plan
La Norma 9.4 forma parte del Dominio IV de las Normas Globales de Auditoría Interna. Su propósito es que la función planifique servicios que contribuyan al logro de los objetivos de la organización y a la mejora de sus procesos de gobierno, gestión de riesgos y control. Para profundizar en el marco completo, consulta las Normas Globales de Auditoría Interna.
Los principales requerimientos pueden resumirse así:
| Requerimiento | Implicación práctica |
|---|---|
| Evaluación documentada | La selección debe apoyarse en información y análisis verificables |
| Relación con estrategias y objetivos | Los trabajos no se eligen únicamente por departamentos o ciclos históricos |
| Participación del Consejo y la Alta Dirección | Sus perspectivas deben alimentar la evaluación, sin sustituir el juicio independiente |
| Cobertura de riesgos relevantes | Deben considerarse tecnología, fraude, ética, cumplimiento y otras áreas de riesgo alto |
| Recursos identificados | El plan debe reflejar necesidades humanas, financieras y tecnológicas |
| Carácter dinámico | Debe modificarse cuando cambie el entorno de riesgo |
| Comunicación de limitaciones | Las brechas de cobertura y restricciones deben exponerse oportunamente |
| Aprobación del Consejo | El plan y sus cambios significativos requieren aprobación |
The IIA también requiere comunicar el impacto de las limitaciones de recursos, las razones por las que un área de riesgo alto no recibe un trabajo de aseguramiento, los conflictos entre solicitudes de las partes interesadas y las restricciones de alcance o acceso a información.
Por tanto, un plan profesional no presenta únicamente una lista de auditorías. También documenta la lógica de selección, las capacidades necesarias, las exclusiones relevantes y los criterios para responder a riesgos emergentes.
Diferencias entre estrategia, universo auditable, evaluación de riesgos y plan
Estos conceptos están relacionados, pero no deben utilizarse como sinónimos.
| Elemento | Función |
|---|---|
| Estrategia de auditoría interna | Define la visión, los objetivos y las iniciativas de la función |
| Universo auditable | Organiza las unidades, procesos, sistemas y temas susceptibles de evaluación |
| Evaluación de riesgos | Identifica y valora los riesgos vinculados con los objetivos |
| Plan de auditoría interna | Selecciona y calendariza los servicios que se realizarán |
| Programa de trabajo | Detalla los procedimientos de un trabajo específico |
El universo auditable puede contener cientos de procesos, proyectos o unidades. El plan anual incluirá solamente aquellos trabajos que hayan sido seleccionados después de considerar el riesgo, la cobertura existente, las prioridades, las obligaciones y la capacidad de auditoría.
El programa de trabajo, en cambio, se prepara para una auditoría concreta. Incluye procedimientos, responsables, pruebas y documentación necesaria para cumplir los objetivos de ese trabajo. No es necesario desarrollar todos los programas antes de aprobar el plan anual.
Cómo ayuda COSO a comprender los riesgos del plan
COSO define el control interno como un proceso desarrollado por el Consejo, la dirección y el resto del personal para proporcionar un grado de aseguramiento razonable sobre el logro de objetivos operacionales, de información y de cumplimiento. También aclara que el control interno no consiste únicamente en manuales, políticas o formularios, sino en actividades realizadas por personas en todos los niveles.
El Marco Integrado organiza el control interno en cinco componentes:
- Entorno de control.
- Evaluación de riesgos.
- Actividades de control.
- Información y comunicación.
- Actividades de supervisión.
Para la planificación de auditoría interna, resulta especialmente útil el componente de evaluación de riesgos, que se desarrolla alrededor de cuatro ideas:
- definir objetivos con claridad suficiente;
- identificar y analizar los riesgos relacionados;
- considerar el riesgo de fraude;
- identificar y analizar cambios que puedan afectar el sistema de control interno.
COSO ayuda a comprender qué factores pueden afectar los objetivos y cómo los controles pretenden gestionarlos. Sin embargo, el plan de auditoría interna no debe limitarse a verificar los cinco componentes de manera mecánica. La selección de trabajos corresponde a la función de auditoría interna y debe responder a su mandato, a las Normas Globales y al contexto real de la organización.
Pasos para elaborar el plan anual de auditoría interna
1. Comprender la estrategia, los objetivos y el contexto
La planificación comienza con el conocimiento de la organización. Antes de asignar puntuaciones, auditoría interna necesita comprender qué pretende lograr la entidad, cómo genera valor, qué cambios atraviesa y qué asuntos preocupan a sus órganos de gobierno.
Entre la información que conviene revisar se encuentra:
- plan estratégico;
- presupuesto y proyecciones;
- estructura organizativa;
- indicadores de desempeño;
- proyectos e inversiones;
- planes comerciales y operativos;
- cambios tecnológicos;
- obligaciones legales y contractuales;
- resultados financieros;
- mapas o registros de riesgos;
- incidentes, pérdidas y reclamaciones;
- informes regulatorios;
- resultados de auditorías anteriores;
- planes de acción pendientes.
Las conversaciones con el Consejo y la Alta Dirección permiten conocer sus expectativas, pero el análisis no debe limitarse a reproducir sus respuestas. Auditoría interna necesita comparar esas perspectivas con datos, cambios, resultados anteriores y otras fuentes de evidencia.
Una estrategia puede estar expuesta a riesgos que todavía no aparecen en un registro formal. Por ejemplo, una expansión geográfica puede aumentar riesgos de terceros, cumplimiento, tecnología, fraude, logística y disponibilidad de personal especializado.
2. Definir o actualizar el universo auditable
El universo auditable es una organización estructurada de los asuntos que podrían ser evaluados por auditoría interna. Puede contener unidades de negocio, procesos, sistemas, proyectos, programas, ubicaciones, productos o riesgos transversales.
La delimitación de estas unidades requiere una metodología coherente para evitar omisiones, duplicidades o niveles de detalle incompatibles. La guía sobre cómo elaborar el universo auditable desarrolla sus componentes, campos y criterios e incluye un ejemplo completo.
Una empresa comercial podría incluir:
- compras;
- proveedores;
- inventarios;
- ventas;
- cuentas por cobrar;
- tesorería;
- nómina;
- impuestos;
- cierre financiero;
- sistemas;
- ciberseguridad;
- continuidad;
- cumplimiento;
- proyectos de inversión.
El universo debe relacionarse con la estrategia y la estructura de riesgos. No conviene limitarlo al organigrama, porque algunos riesgos atraviesan varias áreas. La ciberseguridad, el fraude, la protección de datos o las relaciones con terceros pueden afectar múltiples procesos.
The IIA presenta el universo auditable como un enfoque útil para vincular unidades con riesgos clave y facilitar la evaluación y priorización. No exige un formato único ni que todas las organizaciones utilicen la misma clasificación.
3. Recopilar y validar información sobre riesgos
La función puede utilizar la evaluación preparada por la dirección, pero no debería aceptarla sin comprender cómo fue elaborada. Debe considerar si el proceso de gestión de riesgos es suficientemente confiable y si incluye los objetivos, unidades y exposiciones relevantes.
Las fuentes pueden incluir:
- registro corporativo de riesgos;
- entrevistas con responsables;
- sesiones con el Consejo;
- talleres de riesgos;
- resultados de auditorías anteriores;
- incidentes y pérdidas;
- cambios regulatorios;
- indicadores clave;
- reclamaciones de clientes;
- hallazgos de reguladores;
- auditoría externa;
- cumplimiento;
- seguridad de la información;
- control financiero;
- gestión de calidad;
- investigaciones de fraude.
También deben buscarse riesgos emergentes que todavía no hayan producido pérdidas. La ausencia de incidentes históricos no demuestra que una exposición sea baja, especialmente cuando la organización ha cambiado de sistemas, proveedores, productos o mercados.
La función solo debería confiar en la información de la dirección cuando haya concluido que el proceso utilizado para identificar y evaluar riesgos es eficaz.
4. Definir criterios y escalas de evaluación
La evaluación necesita criterios comprensibles y aplicados de manera consistente. No existe una fórmula obligatoria establecida por The IIA. Cada función debe documentar una metodología adecuada a su organización.
Los criterios más habituales incluyen:
- impacto;
- probabilidad;
- eficacia de los controles;
- importancia estratégica;
- velocidad de materialización;
- nivel de cambio;
- riesgo de fraude;
- complejidad;
- exigencia regulatoria;
- tiempo desde la última revisión;
- dependencia tecnológica;
- participación de terceros.
Una escala sencilla puede utilizar valores del 1 al 5:
| Valor | Impacto | Probabilidad | Debilidad de control |
|---|---|---|---|
| 1 | Insignificante | Rara | Controles sólidos |
| 2 | Menor | Poco probable | Debilidades menores |
| 3 | Moderado | Posible | Eficacia incierta |
| 4 | Importante | Probable | Debilidades relevantes |
| 5 | Crítico | Muy probable | Controles ausentes o ineficaces |
Cuando se evalúa la debilidad de control, un valor alto representa mayor exposición. Si la organización utiliza una escala donde una calificación alta significa control fuerte, será necesario invertir o ajustar el cálculo.
5. Evaluar el riesgo y la eficacia conocida de los controles
El riesgo inherente representa la exposición antes de considerar las respuestas o controles establecidos. El riesgo residual es la exposición que permanece después de considerar esos controles.
Para estimar el riesgo residual, auditoría interna puede analizar:
- diseño de los controles;
- evidencia de operación;
- segregación de funciones;
- automatización;
- frecuencia de supervisión;
- incidentes;
- excepciones;
- resultados de pruebas anteriores;
- antigüedad de los sistemas;
- rotación del personal;
- cambios recientes.
No debe atribuirse confianza plena a un control solo porque aparece en un manual. Es necesario conocer si está diseñado para responder al riesgo y si existe evidencia de que se aplica de manera consistente.
Cuando una unidad es seleccionada para revisión, estas relaciones pueden documentarse mediante una matriz de riesgos y controles, vinculando cada objetivo con sus exposiciones, controles clave, responsables, evidencias y pruebas.
Cuando la función no dispone de información suficiente sobre la eficacia de los controles, debe reflejar esa incertidumbre. Una exposición con controles desconocidos puede requerir mayor prioridad que otra con controles evaluados y confiables.
6. Priorizar las unidades y revisar la cobertura existente
La puntuación ayuda a ordenar el universo, pero no debe tomar automáticamente la decisión final. Dos áreas con la misma calificación pueden requerir tratamientos diferentes según su relevancia estratégica, obligación regulatoria, cobertura previa o disponibilidad de especialistas.
Además del resultado cuantitativo, deben considerarse:
- asuntos críticos para la misión;
- auditorías exigidas por ley o regulación;
- riesgos tecnológicos;
- fraude;
- ética y cumplimiento;
- solicitudes del Consejo;
- riesgos nuevos o emergentes;
- tiempo desde la última revisión;
- cambios en sistemas o responsables;
- acciones correctivas pendientes;
- cobertura de otros proveedores;
- posible beneficio del trabajo.
Un riesgo importante puede estar cubierto por auditoría externa, cumplimiento, seguridad informática o una entidad reguladora. Esa cobertura no elimina automáticamente la necesidad de auditoría interna, pero ayuda a identificar duplicidades y brechas.
La priorización debe dejar evidencia de las razones por las que cada área fue seleccionada, aplazada o excluida.
7. Convertir las prioridades en trabajos de auditoría
Después de priorizar los riesgos, se definen los trabajos que podrían responder a ellos. Un mismo trabajo puede cubrir varios riesgos y procesos relacionados.
Cada propuesta debería incluir, al menos:
- título del trabajo;
- riesgo que pretende cubrir;
- objetivo general;
- alcance preliminar;
- tipo de servicio;
- beneficio esperado;
- periodo tentativo;
- horas estimadas;
- competencias necesarias.
Por ejemplo, el riesgo de pagos no autorizados puede abordarse mediante un trabajo sobre tesorería que cubra banca electrónica, autorizaciones, segregación, altas de beneficiarios, conciliaciones y registros.
En esta etapa el alcance es preliminar. La evaluación detallada de riesgos del trabajo y el programa de procedimientos se desarrollarán cuando comience la auditoría específica.
8. Calcular la capacidad real de auditoría interna
El plan debe relacionarse con los recursos humanos, financieros y tecnológicos disponibles. No resulta útil aprobar diez trabajos cuando la capacidad real permite completar seis.
El cálculo comienza con las horas brutas del equipo y deduce el tiempo necesario para:
- vacaciones y ausencias;
- formación;
- administración;
- reuniones;
- seguimiento;
- calidad;
- metodología;
- apoyo al Consejo;
- solicitudes imprevistas;
- iniciativas de mejora.
También se debe considerar si el equipo posee las competencias necesarias. Una función puede tener horas disponibles, pero carecer de conocimientos en ciberseguridad, análisis de datos, regulación o investigación.
Cuando los recursos sean insuficientes, el Director de Auditoría Interna debe comunicar al Consejo el efecto sobre la cobertura y proponer alternativas, como reasignación, contratación, apoyo especializado o uso de tecnología.
9. Coordinarse con otros proveedores de aseguramiento
La coordinación ayuda a evitar duplicidades y detectar riesgos sin cobertura. Entre los proveedores internos pueden encontrarse cumplimiento, control financiero, gestión de riesgos, seguridad, calidad, legal y salud ocupacional.
Una herramienta útil es el mapa de aseguramiento, que relaciona cada riesgo importante con las funciones que lo revisan. Puede mostrar:
- responsable del riesgo;
- controles principales;
- primera línea de gestión;
- función de supervisión;
- auditoría interna;
- auditoría externa;
- regulador;
- nivel de cobertura.
Auditoría interna puede considerar el trabajo de otros proveedores, pero debe evaluar su competencia, objetividad, metodología, alcance y evidencia. La responsabilidad sobre las conclusiones de auditoría interna continúa correspondiendo a la propia función.
La coordinación debe mejorar la cobertura, no convertirse en una aceptación automática de cualquier informe emitido por otra área.
10. Construir el calendario y reservar capacidad
Los trabajos seleccionados deben distribuirse considerando las operaciones, los cierres, las temporadas altas, la disponibilidad del personal y las revisiones externas o regulatorias.
Por ejemplo:
- inventarios puede programarse cerca de un conteo físico;
- impuestos después de un periodo de declaración;
- continuidad antes de una temporada crítica;
- cierre financiero después de emitir estados;
- tecnología después de una implementación relevante.
El plan también debería reservar un porcentaje de capacidad para contingencias y solicitudes ad hoc. The IIA no establece un porcentaje fijo; corresponde al juicio profesional y a la volatilidad de la organización.
Una función que utiliza toda su capacidad en trabajos rígidamente calendarizados tendrá dificultades para responder a un fraude, una interrupción, una adquisición o un cambio regulatorio.
11. Presentar el plan y obtener su aprobación
El Director de Auditoría Interna debe discutir el plan con la Alta Dirección y el Consejo. La presentación debe permitir comprender:
- cómo se realizó la evaluación;
- qué riesgos fueron priorizados;
- qué trabajos se proponen;
- qué cobertura aportan;
- qué recursos se necesitan;
- qué áreas significativas quedan fuera;
- qué limitaciones existen;
- qué cambios requerirán aprobación posterior.
La Alta Dirección puede aportar información operativa y señalar conflictos de calendario. El Consejo debe evaluar si la cobertura y los recursos son coherentes con el mandato y los riesgos de la organización.
La aprobación debe quedar documentada mediante acta, resolución u otra evidencia apropiada. También conviene conservar la evaluación de riesgos, la priorización, las reuniones realizadas y la lista de distribución del plan.
12. Monitorear y actualizar el plan durante el año
La ejecución debe revisarse periódicamente comparando:
- trabajos programados y completados;
- horas presupuestadas y utilizadas;
- cambios de alcance;
- solicitudes adicionales;
- riesgos emergentes;
- recursos disponibles;
- demoras;
- brechas de cobertura;
- resultados significativos.
Una modificación menor de fechas no siempre requiere la misma aprobación que la cancelación de un trabajo relacionado con un riesgo crítico. Por eso, el Director, el Consejo y la Alta Dirección deberían acordar qué se considera un cambio significativo.
Entre los posibles disparadores se encuentran:
- adquisición o venta de operaciones;
- cambio de sistema;
- fraude;
- incumplimiento;
- incidente de ciberseguridad;
- pérdida importante;
- cambio regulatorio;
- reestructuración;
- salida de personal clave;
- nuevo proveedor crítico;
- limitación de acceso;
- reducción del presupuesto.
Los cambios significativos deben discutirse y aprobarse oportunamente. El plan debe conservar su relación con los riesgos actuales, no con la situación que existía cuando fue preparado.
Modelo ilustrativo para calificar los riesgos
La siguiente fórmula es un ejemplo educativo. No representa un método obligatorio de The IIA ni sustituye el juicio profesional.
Se utilizarán tres criterios:
- Impacto (I): efecto potencial sobre los objetivos.
- Probabilidad (P): posibilidad estimada de ocurrencia.
- Debilidad de control (DC): grado de incertidumbre o deficiencia de los controles.
La fórmula será:
Puntaje = (Impacto × 40 %) + (Probabilidad × 25 %) + (Debilidad de control × 35 %)
Los pesos reflejan una decisión metodológica: se otorga mayor importancia al impacto y a la debilidad de control. Otra organización podría incluir velocidad, cumplimiento, estrategia, fraude o cambio tecnológico.
La interpretación utilizada será:
| Puntaje | Nivel |
|---|---|
| 4,00 a 5,00 | Crítico |
| 3,40 a 3,99 | Alto |
| 2,60 a 3,39 | Moderado |
| 1,00 a 2,59 | Bajo |
Una calificación alta no significa que el proceso esté necesariamente mal gestionado. Significa que merece mayor atención dentro del análisis de cobertura.
Tampoco significa que todo riesgo crítico deba convertirse en una auditoría independiente. Puede cubrirse mediante un trabajo transversal, una revisión conjunta o la coordinación con otro proveedor.
Ejemplo de plan anual de auditoría interna basado en riesgos
El siguiente caso es ficticio y utiliza cifras redondeadas con fines educativos.
La empresa Comercial Delta distribuye productos mediante un centro logístico y varias sucursales. Está implementando una nueva plataforma, depende de inventarios de alto valor y procesa pagos mediante banca electrónica.
La función de auditoría interna cuenta con dos auditores.
Evaluación del universo auditable
Después de revisar la estrategia, incidentes, controles, cambios y resultados anteriores, se asignan las siguientes calificaciones:
| Unidad auditable | I | P | DC | Puntaje |
|---|---|---|---|---|
| Tecnología, accesos y ciberseguridad | 5 | 4 | 4 | 4,40 |
| Tesorería y pagos | 5 | 4 | 4 | 4,40 |
| Continuidad del negocio | 5 | 3 | 4 | 4,15 |
| Inventarios | 4 | 4 | 4 | 4,00 |
| Cumplimiento tributario | 5 | 3 | 3 | 3,80 |
| Ventas y cuentas por cobrar | 4 | 4 | 3 | 3,65 |
| Compras y proveedores | 4 | 3 | 3 | 3,40 |
| Nómina | 4 | 3 | 3 | 3,40 |
| Cierre financiero y reportes | 5 | 2 | 2 | 3,20 |
La evaluación muestra cuatro áreas críticas y cuatro de riesgo alto. Sin embargo, la selección final también considera el tiempo desde la última revisión, la cobertura de otros proveedores, los proyectos estratégicos y las solicitudes del Consejo.
El cierre financiero obtiene una puntuación moderada, pero se considera para el plan porque no ha sido revisado recientemente y el Consejo desea mayor aseguramiento sobre la información utilizada para la toma de decisiones.
Cálculo de las horas disponibles
Cada auditor dispone de 1.760 horas brutas durante el periodo.
| Concepto | Horas |
|---|---|
| Capacidad bruta de dos auditores | 3.520 |
| Vacaciones, feriados y ausencias | (480) |
| Formación profesional | (160) |
| Administración y reuniones | (280) |
| Calidad y mejora metodológica | (160) |
| Seguimiento de acciones | (240) |
| Contingencias y solicitudes ad hoc | (352) |
| Horas disponibles para trabajos planificados | 1.848 |
La reserva de 352 horas representa el 10 % de la capacidad bruta. Ese porcentaje corresponde únicamente al ejemplo y debe adaptarse a la volatilidad y experiencia de cada función.
El seguimiento se muestra separado porque consume recursos aunque no se presente como una nueva auditoría. La calidad, la formación y la administración tampoco deben ocultarse dentro de las horas de los trabajos.
Plan anual propuesto
| Trabajo | Tipo | Objetivo general | Periodo | Horas |
|---|---|---|---|---|
| Accesos y ciberseguridad | Aseguramiento | Evaluar accesos, cambios, respaldos y respuesta a incidentes | I trimestre | 340 |
| Tesorería y pagos | Aseguramiento | Evaluar autorizaciones, banca electrónica, beneficiarios y conciliaciones | I-II trimestre | 300 |
| Inventarios | Aseguramiento | Evaluar registros, movimientos, conteos, obsolescencia y accesos | II trimestre | 260 |
| Cumplimiento tributario | Aseguramiento | Evaluar controles sobre obligaciones, cálculos y declaraciones | II-III trimestre | 260 |
| Continuidad del negocio | Aseguramiento | Evaluar planes, dependencias, pruebas y recuperación | III trimestre | 260 |
| Ventas y cuentas por cobrar | Aseguramiento | Evaluar crédito, facturación, cobro, ajustes y estimaciones | IV trimestre | 220 |
| Cierre financiero y reportes | Aseguramiento | Evaluar conciliaciones, ajustes, revisiones y emisión de información | IV trimestre | 208 |
| Total | 1.848 |
Los trabajos sobre compras y nómina quedan como candidatos de reserva. Podrían sustituir una auditoría cancelada o incorporarse si se obtienen recursos adicionales.
La exclusión debe comunicarse porque ambas áreas presentan riesgo alto. El plan puede explicar que compras cuenta parcialmente con revisiones de cumplimiento y que nómina fue auditada recientemente, pero esas circunstancias deben comprobarse y reconsiderarse durante las actualizaciones.
Cómo justificar la selección ante el Consejo
La presentación podría resumir las decisiones así:
- Tecnología se prioriza por la implementación del nuevo sistema y la dependencia de accesos y respaldos.
- Tesorería se prioriza por el impacto potencial y las debilidades detectadas en banca electrónica.
- Inventarios se incluye por su valor, movilidad y diferencias anteriores.
- Cumplimiento tributario se incorpora por el impacto financiero y regulatorio.
- Continuidad se selecciona por la dependencia del centro logístico y de proveedores tecnológicos.
- Ventas y cuentas por cobrar se incluyen por deterioro de la recuperación y crecimiento de ajustes.
- Cierre financiero se incorpora por solicitud del Consejo y por el tiempo transcurrido desde la última revisión.
- Compras y nómina permanecen en reserva por limitación de recursos y cobertura previa.
Esta explicación demuestra que el plan no fue construido únicamente ordenando puntuaciones. La selección combina riesgo, estrategia, cobertura, oportunidad, obligación y capacidad.
Qué debe contener el documento final del plan
Un plan aprobado debería permitir que una persona que no participó en su elaboración comprenda la metodología y las decisiones tomadas.
Puede contener:
- Propósito y periodo. Indica qué pretende lograr el plan y qué fechas cubre.
- Mandato y alcance. Explica los servicios que puede prestar la función.
- Metodología. Describe las fuentes, criterios, escalas y ponderaciones.
- Universo auditable. Presenta las unidades y riesgos considerados.
- Resultados de la evaluación. Resume la priorización y los asuntos significativos.
- Trabajos propuestos. Incluye objetivo, alcance preliminar, tipo, periodo y recursos.
- Cobertura de aseguramiento. Muestra la coordinación con otras funciones.
- Capacidad disponible. Distingue horas brutas, no auditables, contingencias y trabajos.
- Competencias y tecnología. Identifica necesidades especializadas.
- Limitaciones. Expone riesgos o áreas que no podrán cubrirse.
- Trabajos de reserva. Indica qué se ejecutaría con recursos adicionales.
- Protocolo de cambios. Define eventos, responsables y niveles de aprobación.
- Indicadores. Establece cómo se controlará la ejecución.
- Aprobación. Documenta la discusión y decisión del Consejo.
El nivel de detalle debe adaptarse a la organización. Una función pequeña puede utilizar un documento más breve, pero debe conservar la trazabilidad entre los objetivos, riesgos, trabajos y recursos.
Indicadores para monitorear el plan
La medición no debería limitarse al porcentaje de auditorías terminadas. Completar todos los trabajos no demuestra necesariamente que se haya cubierto el riesgo adecuado.
Pueden utilizarse indicadores como:
| Indicador | Qué permite evaluar |
|---|---|
| Ejecución del plan | Trabajos completados frente a aprobados |
| Cobertura de riesgos altos | Riesgos significativos que recibieron aseguramiento |
| Variación de horas | Diferencias entre horas presupuestadas y reales |
| Cambios significativos | Trabajos añadidos, cancelados o aplazados |
| Uso de contingencias | Capacidad consumida por solicitudes emergentes |
| Cobertura coordinada | Riesgos atendidos por otros proveedores |
| Tiempo de ciclo | Duración desde planificación hasta comunicación |
| Implementación de acciones | Progreso de recomendaciones y planes de acción |
Los indicadores deben interpretarse conjuntamente. Una baja ejecución puede deberse a deficiencias de gestión, pero también a un evento crítico que obligó a reasignar recursos de manera justificada.
Errores frecuentes al elaborar el plan anual
- Copiar el plan del año anterior. La continuidad de algunos trabajos puede ser razonable, pero cada selección debe responder al contexto actual.
- Usar únicamente el registro de riesgos de la dirección. Auditoría necesita evaluar su confiabilidad y buscar riesgos omitidos o emergentes.
- Organizar el plan solo por departamentos. Algunos riesgos importantes atraviesan procesos, sistemas y terceros.
- Aplicar una puntuación sin juicio profesional. La fórmula ayuda a ordenar, pero no reemplaza el análisis de estrategia, obligaciones, cobertura y recursos.
- Confundir riesgo inherente con residual. La exposición antes de los controles no es igual a la que permanece después de considerar su eficacia.
- Ignorar tecnología, fraude, ética o cumplimiento. Las Normas requieren que estos asuntos se consideren dentro de la cobertura del plan.
- Asignar el 100 % de las horas a trabajos planificados. Esto impide responder a riesgos emergentes, seguimiento y actividades de calidad.
- No exponer las limitaciones. El Consejo necesita saber qué riesgos significativos quedarán sin cobertura.
- Formular títulos demasiado generales. “Auditoría administrativa” no explica el riesgo, objetivo ni alcance preliminar.
- Confundir el plan con el programa de trabajo. El plan selecciona servicios; el programa detalla pruebas para un trabajo específico.
- Considerar el plan como inmodificable. Mantener una auditoría de bajo valor mientras surge un riesgo crítico contradice el enfoque basado en riesgos.
- Aceptar cualquier solicitud de asesoramiento. Las solicitudes deben evaluarse frente al mandato, la independencia, los riesgos y los trabajos de aseguramiento ya aprobados.
¿Con qué frecuencia debe actualizarse el plan?
La evaluación integral debe realizarse como mínimo una vez al año, pero la frecuencia de actualización depende de la velocidad con la que cambian los riesgos.
Puede ser necesario revisar el plan:
- mensualmente en un entorno altamente dinámico;
- trimestralmente cuando existen proyectos o cambios relevantes;
- semestralmente en una organización de complejidad media;
- cuando ocurre un evento significativo, aunque no corresponda una revisión programada.
El seguimiento continuo puede apoyarse en reuniones con la Alta Dirección, indicadores, incidentes, alertas regulatorias, cambios tecnológicos, auditorías completadas y conversaciones con el Consejo.
La revisión no requiere rehacer toda la evaluación cada vez. Puede concentrarse en los riesgos y unidades afectados, siempre que se documente el análisis y se determine si el cambio modifica la cobertura aprobada.
Conclusión
Un plan anual de auditoría interna basado en riesgos relaciona estrategia, objetivos, riesgos, controles, cobertura y recursos. Su calidad no depende de la cantidad de auditorías propuestas, sino de la capacidad para justificar por qué cada trabajo merece atención.
La evaluación debe estar documentada, considerar la perspectiva del Consejo y de la Alta Dirección y conservar la independencia del juicio de auditoría interna. También debe contemplar riesgos tecnológicos, fraude, ética, cumplimiento, proveedores y otros asuntos relevantes.
El plan aprobado no es un calendario definitivo. Debe mantenerse actualizado, comunicar sus limitaciones y cambiar cuando la evolución del riesgo haga necesario reasignar los recursos.
