El universo auditable es una organización estructurada de los procesos, unidades, sistemas, programas, proyectos y demás asuntos que podrían ser examinados por la función de auditoría interna.
Su finalidad es proporcionar una visión completa de aquello que puede generar riesgos para los objetivos de la organización y servir como base para decidir qué debe auditarse, con qué prioridad y mediante qué tipo de trabajo.
Un universo correctamente elaborado no se limita a copiar el organigrama ni a enumerar departamentos. Debe reflejar cómo funciona realmente la organización, dónde se toman decisiones, qué actividades generan valor, qué sistemas sostienen las operaciones y qué riesgos atraviesan varias áreas.
Para conocer otras guías sobre planificación, control, evidencia, hallazgos e informes, consulta la sección de auditoría interna y externa.
¿Qué es un universo auditable?
El universo auditable es el conjunto organizado de unidades potencialmente auditables que la función de auditoría interna utiliza para comprender la organización, identificar riesgos y evaluar la cobertura de aseguramiento.
Una unidad auditable es, en términos prácticos, una parte de la organización que puede delimitarse y examinarse mediante objetivos, alcance, criterios y procedimientos propios.
Puede tratarse de:
- una unidad de negocio;
- un proceso;
- un sistema;
- un programa;
- un proyecto;
- una ubicación;
- una entidad legal;
- una función de apoyo;
- un riesgo transversal;
- una relación con terceros;
- una obligación relevante;
- una iniciativa estratégica.
Las Normas Globales indican que las unidades auditables pueden incluir unidades de negocio, procesos, programas y sistemas. También explican que vincularlas con los riesgos clave facilita la evaluación integral y la identificación de la cobertura de aseguramiento.
El universo no representa necesariamente una lista de auditorías que deberán realizarse. Contiene todas las posibilidades razonables de evaluación, mientras el plan anual selecciona únicamente los trabajos que pueden y deben ejecutarse durante un periodo determinado.
¿Es obligatorio tener un universo auditable?
Las Normas Globales de Auditoría Interna no imponen una plantilla única denominada “universo auditable”. Lo presentan como un posible enfoque para organizar las unidades susceptibles de auditoría y facilitar la identificación y evaluación de riesgos.
Por tanto, una función podría utilizar otra estructura siempre que sea capaz de:
- comprender los objetivos y estrategias de la organización;
- identificar riesgos significativos;
- evaluar la cobertura existente;
- justificar la selección de los trabajos;
- reconocer brechas de aseguramiento;
- mantener actualizado el plan.
Sin embargo, el universo auditable resulta especialmente útil cuando la organización posee numerosos procesos, ubicaciones, sistemas, proyectos o entidades y necesita una estructura que permita visualizar cómo se relacionan.
Para comprender el requerimiento profesional del que forma parte este enfoque, consulta las Normas Globales de Auditoría Interna.
¿Para qué sirve el universo auditable?
El universo auditable ayuda a evitar que la planificación dependa únicamente de la memoria, de solicitudes aisladas o del calendario utilizado en años anteriores.
Entre sus funciones principales se encuentran las siguientes:
- Dar visibilidad a la organización. Permite observar procesos, sistemas, proyectos y riesgos que podrían quedar ocultos si solo se revisa el organigrama.
- Relacionar objetivos con riesgos. Cada unidad puede vincularse con los objetivos estratégicos, operativos, de información y de cumplimiento que contribuye a alcanzar.
- Apoyar la evaluación de riesgos. Proporciona una base ordenada para identificar exposición, controles, cambios y riesgos residuales.
- Facilitar la priorización. Ayuda a comparar unidades y determinar cuáles requieren mayor atención.
- Identificar cobertura de aseguramiento. Permite conocer qué riesgos ya son revisados por auditoría interna, auditoría externa, cumplimiento, seguridad, gestión de riesgos u otros proveedores.
- Detectar brechas y duplicidades. Muestra riesgos importantes sin revisión y áreas examinadas repetidamente por distintas funciones.
- Justificar el plan anual. Conserva evidencia sobre la población de unidades considerada antes de seleccionar los trabajos.
- Responder a cambios. Facilita incorporar un nuevo sistema, proveedor, proyecto, regulación o unidad adquirida.
El universo debe facilitar decisiones. Si se convierte en un inventario extenso que nadie actualiza ni utiliza, pierde su utilidad como herramienta de planificación.
Qué puede considerarse una unidad auditable
La selección depende de la estructura, complejidad, objetivos y riesgos de cada organización. No existe una clasificación universal válida para todas.
| Tipo de unidad | Ejemplos |
|---|---|
| Unidad organizativa | Sucursal, división, filial, departamento |
| Proceso | Compras, ventas, nómina, cierre financiero |
| Sistema | ERP, facturación, banca electrónica, nómina |
| Programa | Cumplimiento, prevención de fraude, seguridad |
| Proyecto | Implementación de software, construcción, expansión |
| Ubicación | Planta, bodega, oficina regional, centro de distribución |
| Producto o servicio | Crédito, seguros, transporte, comercio electrónico |
| Entidad legal | Subsidiaria, fundación, empresa relacionada |
| Relación externa | Proveedor crítico, operador logístico, nube |
| Riesgo transversal | Ciberseguridad, fraude, continuidad, protección de datos |
| Iniciativa estratégica | Transformación digital, adquisición, apertura de mercado |
La unidad debe ser lo suficientemente clara como para identificar:
- qué objetivos apoya;
- quién es responsable de administrarla;
- qué actividades incluye;
- qué sistemas utiliza;
- qué riesgos enfrenta;
- qué controles principales existen;
- qué proveedores de aseguramiento la revisan.
Por ejemplo, “Tecnología” podría ser demasiado amplio si incluye infraestructura, accesos, desarrollo, ciberseguridad y continuidad. En una organización compleja sería más útil dividirlo en varias unidades auditables.
En una empresa pequeña, en cambio, crear una unidad separada para cada aplicación o actividad podría producir un universo innecesariamente fragmentado.
Diferencias entre universo auditable y otros documentos
El universo se relaciona con varias herramientas de gestión, pero no las sustituye.
| Documento | Pregunta que responde |
|---|---|
| Organigrama | ¿Cómo se distribuyen las responsabilidades? |
| Mapa de procesos | ¿Cómo fluye el trabajo y se genera valor? |
| Registro de riesgos | ¿Qué eventos pueden afectar los objetivos? |
| Inventario de sistemas | ¿Qué aplicaciones y tecnologías utiliza la organización? |
| Mapa de aseguramiento | ¿Quién revisa cada riesgo o proceso? |
| Universo auditable | ¿Qué asuntos podrían ser objeto de auditoría? |
| Plan anual | ¿Qué trabajos se realizarán durante el periodo? |
| Programa de trabajo | ¿Qué procedimientos se aplicarán en una auditoría específica? |
Un organigrama puede mostrar “Finanzas”, pero el universo podría dividir esta área en tesorería, cuentas por pagar, cierre financiero, impuestos y presupuesto.
Del mismo modo, un riesgo de fraude puede aparecer en el registro corporativo, pero no constituye necesariamente una unidad aislada. Puede relacionarse con ventas, compras, tesorería, nómina y proveedores.
Principios para construir un universo útil
Antes de comenzar, conviene aplicar varios criterios.
- Partir de los objetivos. Las unidades deben relacionarse con aquello que la organización pretende alcanzar.
- Reflejar la operación real. No basta con copiar manuales u organigramas desactualizados.
- Mantener una granularidad coherente. Las unidades deben tener niveles comparables o explicar por qué algunas necesitan mayor detalle.
- Incluir riesgos transversales. Tecnología, fraude, ética, cumplimiento y terceros pueden afectar múltiples unidades.
- Evitar duplicidades. Una actividad no debería aparecer varias veces sin definir cómo se diferencian sus alcances.
- Asignar responsables. Cada unidad necesita un propietario o responsable de gestión identificable.
- Registrar cambios. Las nuevas operaciones, sistemas y proyectos deben incorporarse oportunamente.
- Conservar trazabilidad. Debe ser posible explicar de dónde proviene cada unidad y con qué objetivos y riesgos se relaciona.
- Mantener flexibilidad. El universo debe adaptarse cuando cambia la organización.
- Diseñar para decidir. Cada campo incluido debe aportar información útil para evaluar riesgos, cobertura o prioridad.
Cómo elaborar un universo auditable paso a paso
1. Comprender la estrategia y los objetivos
El punto de partida no es el listado de departamentos, sino la comprensión de la organización.
Auditoría interna necesita conocer:
- misión y propósito;
- objetivos estratégicos;
- modelo de negocio;
- productos y servicios;
- fuentes de ingresos;
- principales costos;
- obligaciones;
- proyectos;
- sistemas esenciales;
- partes interesadas;
- riesgos significativos.
Los objetivos ayudan a determinar qué actividades merecen aparecer en el universo. Si una empresa tiene como prioridad expandir las ventas digitales, el comercio electrónico, la gestión de accesos, la disponibilidad de la plataforma y los medios de pago adquieren mayor relevancia.
COSO agrupa los objetivos del control interno en tres categorías: operaciones, información y cumplimiento. Esta clasificación puede servir como referencia para comprobar que el universo no se concentre únicamente en asuntos financieros.
2. Definir el alcance organizacional
Debe determinarse qué partes de la organización estarán comprendidas.
El alcance puede incluir:
- empresa matriz;
- filiales;
- sucursales;
- plantas;
- centros de distribución;
- operaciones en otros países;
- empresas conjuntas;
- unidades externalizadas;
- proyectos administrados por terceros.
También deben documentarse las exclusiones y su justificación.
Por ejemplo, una subsidiaria podría quedar fuera porque posee una función de auditoría independiente. No obstante, puede seguir siendo necesario considerar los riesgos que genera para la organización consolidada.
3. Recopilar los inventarios y documentos existentes
La elaboración no debe comenzar desde una hoja vacía si ya existen fuentes que describen la organización.
Pueden revisarse:
- organigrama;
- mapa de procesos;
- manuales;
- catálogo de sistemas;
- estructura legal;
- registro de riesgos;
- contratos relevantes;
- proyectos;
- presupuesto;
- centros de costos;
- catálogo de productos;
- listado de proveedores críticos;
- informes anteriores;
- evaluaciones regulatorias;
- plan de continuidad;
- matriz de cumplimiento.
Estas fuentes pueden estar desactualizadas o utilizar clasificaciones diferentes. Por eso, la función debe compararlas y validar la información con los responsables.
Una actividad que no aparece en los documentos formales puede seguir siendo relevante. Por ejemplo, un proceso ejecutado mediante hojas de cálculo y acuerdos informales puede generar riesgos significativos aunque no figure en un manual.
4. Elegir una estructura de clasificación
La clasificación ayuda a ordenar el universo y facilita su lectura.
Una estructura posible podría ser:
- Gobierno y estrategia.
- Procesos comerciales.
- Operaciones y cadena de suministro.
- Finanzas y contabilidad.
- Personas.
- Cumplimiento.
- Tecnología.
- Proyectos.
- Terceros.
- Ubicaciones.
Otra organización podría agruparlo por unidades de negocio, regiones, productos o entidades legales.
La clasificación debe responder a la forma en que se administran los riesgos. No conviene imponer una estructura funcional a una empresa que trabaja por proyectos o por líneas de producto.
5. Determinar el nivel de detalle adecuado
La granularidad indica cuánto se divide cada área.
Una unidad es demasiado amplia cuando:
- contiene actividades muy diferentes;
- tiene varios responsables;
- reúne riesgos sin relación;
- requeriría alcances completamente distintos;
- no permite asignar una valoración significativa.
Una unidad es demasiado pequeña cuando:
- solo representa una tarea puntual;
- no puede evaluarse de forma independiente;
- comparte responsable, riesgos y controles con otras;
- genera un número excesivo de elementos;
- no aporta utilidad a la planificación.
Por ejemplo, “Cuentas por pagar” puede ser una unidad adecuada. Dividirla en recepción de facturas, validación, contabilización, autorización y archivo podría ser innecesario para el plan general, aunque esas actividades se examinen por separado durante un trabajo.
6. Describir cada unidad auditable
Cada unidad necesita una descripción breve que evite ambigüedades.
La ficha debería señalar:
- nombre;
- código;
- tipo;
- propósito;
- alcance;
- responsable;
- procesos incluidos;
- sistemas utilizados;
- ubicaciones;
- terceros relacionados;
- objetivos vinculados;
- riesgos principales.
Por ejemplo:
Unidad: Tesorería y pagos.
Alcance: administración de cuentas bancarias, banca electrónica, programación de pagos, beneficiarios, autorizaciones, conciliaciones y custodia de credenciales.
Esta descripción evita que “Tesorería” se interprete de manera distinta por cada usuario del documento.
7. Relacionar las unidades con los objetivos
Una unidad no debe existir únicamente porque aparece en el organigrama. Es necesario identificar qué objetivos ayuda a alcanzar.
La relación puede ser:
- directa, cuando ejecuta una actividad central;
- de apoyo, cuando proporciona recursos o información;
- de supervisión, cuando monitorea el desempeño;
- de cumplimiento, cuando gestiona obligaciones.
Por ejemplo:
| Unidad | Objetivo relacionado |
|---|---|
| Inventarios | Mantener disponibilidad y reducir pérdidas |
| Cuentas por cobrar | Convertir ventas en efectivo oportunamente |
| Cierre financiero | Emitir información confiable |
| Ciberseguridad | Proteger sistemas y datos |
| Cumplimiento tributario | Cumplir obligaciones y evitar sanciones |
Esta relación facilita evaluar qué tan importante sería una falla para la estrategia.
8. Vincular los riesgos clave
Después de identificar los objetivos, se relacionan los riesgos que pueden impedir su logro.
La función puede utilizar:
- registro corporativo;
- entrevistas;
- incidentes;
- auditorías anteriores;
- resultados financieros;
- cambios regulatorios;
- análisis propios;
- información del sector.
No debe asumirse que cada unidad posee un único riesgo. Tampoco que cada riesgo corresponde a una sola unidad.
Por ejemplo, el riesgo de fraude puede afectar compras, proveedores, inventarios, ventas, tesorería y nómina. La ciberseguridad puede afectar sistemas, operaciones, ventas, información financiera y terceros.
Las Normas indican que la evaluación debe considerar riesgos transversales relacionados con ética, fraude, tecnología, terceros e incumplimiento legal, aunque estén vinculados con más de una unidad.
9. Considerar controles y riesgo residual
El universo puede registrar información preliminar sobre los controles conocidos y la exposición residual.
No es necesario probar todos los controles durante esta etapa. Sin embargo, conviene conocer:
- si existen políticas;
- si hay segregación de funciones;
- si los controles están automatizados;
- si se producen conciliaciones;
- si existen supervisiones;
- si se han identificado deficiencias;
- si ocurrieron incidentes;
- si los controles fueron examinados recientemente.
Cuando la eficacia es desconocida, debe indicarse. No resulta apropiado asignar una confianza elevada únicamente porque existe documentación.
La incertidumbre sobre los controles puede aumentar la necesidad de evaluar una unidad con mayor profundidad.
El análisis detallado puede desarrollarse mediante una matriz de riesgos y controles que relacione los objetivos de la unidad con sus exposiciones, respuestas, evidencias y procedimientos de evaluación.
10. Identificar cobertura de aseguramiento
El universo debe mostrar quién examina los riesgos asociados.
Los proveedores pueden incluir:
- auditoría interna;
- auditoría externa;
- cumplimiento;
- gestión de riesgos;
- seguridad de la información;
- control financiero;
- calidad;
- legal;
- reguladores;
- especialistas externos.
La existencia de otra revisión no significa que auditoría interna pueda confiar automáticamente en ella. Debe considerar la competencia, objetividad, alcance, metodología y evidencia del proveedor.
Las Normas requieren coordinarse con proveedores internos y externos para reducir duplicidades e identificar brechas, pero auditoría interna continúa siendo responsable de sus propias conclusiones cuando confía en otros trabajos.
11. Validar el universo con las partes responsables
El borrador debe revisarse con personas que conozcan las operaciones.
Pueden participar:
- Alta Dirección;
- responsables de procesos;
- gestión de riesgos;
- cumplimiento;
- tecnología;
- finanzas;
- recursos humanos;
- responsables de proyectos;
- auditoría externa.
La validación permite detectar:
- actividades omitidas;
- unidades duplicadas;
- responsables incorrectos;
- proyectos nuevos;
- sistemas críticos;
- servicios externalizados;
- cambios de estructura;
- relaciones entre procesos.
Validar no significa que la dirección decida qué puede auditarse. La función conserva su independencia y su responsabilidad sobre la metodología.
12. Documentar, aprobar y controlar las versiones
El universo debe tener un responsable de mantenimiento y una fecha de revisión.
Conviene registrar:
- versión;
- fecha;
- fuente de los cambios;
- unidades añadidas;
- unidades eliminadas;
- unidades fusionadas;
- cambios de responsable;
- cambios de riesgos;
- modificaciones de sistemas;
- revisión realizada.
Las versiones anteriores permiten explicar cómo evolucionó la organización y por qué cambiaron las prioridades del plan.
La aprobación del universo puede integrarse en la aprobación de la metodología o del plan. Lo importante es que exista evidencia de su revisión y discusión con las partes apropiadas.
Campos recomendados para una matriz de universo auditable
Una matriz puede contener los siguientes campos:
| Campo | Finalidad |
|---|---|
| Código | Identificar la unidad sin ambigüedad |
| Nombre | Denominación comprensible |
| Categoría | Agrupar unidades relacionadas |
| Tipo | Proceso, sistema, proyecto, ubicación u otro |
| Descripción | Definir qué incluye |
| Responsable | Identificar al propietario de gestión |
| Objetivos | Relacionar la unidad con la estrategia |
| Riesgos | Registrar exposiciones principales |
| Controles conocidos | Describir respuestas relevantes |
| Sistemas | Identificar dependencia tecnológica |
| Terceros | Reconocer servicios externalizados |
| Cobertura | Mostrar proveedores de aseguramiento |
| Última auditoría | Conocer la antigüedad de la revisión |
| Cambios recientes | Identificar transformación o inestabilidad |
| Nivel de riesgo | Facilitar priorización |
| Próxima revisión | Mantener actualizado el universo |
No todos los campos deben utilizarse desde el inicio. Una función pequeña puede comenzar con una estructura sencilla y ampliarla cuando la información aporte valor real.
Ejemplo de universo auditable
El siguiente caso corresponde a una empresa ficticia denominada Comercial Delta, dedicada a distribuir productos mediante sucursales, un centro de distribución y un canal de comercio electrónico.
La empresa utiliza un ERP, procesa pagos mediante banca electrónica y contrata a un operador logístico para parte de sus entregas.
Sus objetivos principales son:
- aumentar las ventas;
- mantener disponibilidad de inventarios;
- proteger el efectivo;
- emitir información confiable;
- cumplir obligaciones;
- garantizar continuidad operativa.
Estructura inicial del universo
Después de revisar los procesos, sistemas, proyectos y riesgos, la función propone las siguientes unidades:
| Código | Unidad auditable | Tipo | Riesgo principal |
|---|---|---|---|
| UA-01 | Gobierno y planificación estratégica | Gobierno | Decisiones sin información suficiente |
| UA-02 | Ética, cumplimiento y denuncias | Programa | Conductas indebidas no detectadas |
| UA-03 | Ventas y precios | Proceso | Ventas no autorizadas o márgenes reducidos |
| UA-04 | Crédito y cuentas por cobrar | Proceso | Incobrabilidad y registros incorrectos |
| UA-05 | Compras y proveedores | Proceso | Conflictos, sobreprecios o proveedores inadecuados |
| UA-06 | Inventarios y almacén | Proceso | Pérdidas, diferencias y obsolescencia |
| UA-07 | Logística externalizada | Tercero | Entregas fallidas o dependencia del proveedor |
| UA-08 | Tesorería y pagos electrónicos | Proceso | Pagos no autorizados o fraude |
| UA-09 | Cierre financiero y reportes | Proceso | Información inexacta o tardía |
| UA-10 | Cumplimiento tributario | Cumplimiento | Declaraciones incorrectas o sanciones |
| UA-11 | Nómina | Proceso | Pagos indebidos o accesos incompatibles |
| UA-12 | ERP, usuarios y cambios | Sistema | Accesos excesivos o modificaciones incorrectas |
| UA-13 | Ciberseguridad | Riesgo transversal | Acceso no autorizado o pérdida de datos |
| UA-14 | Continuidad y respaldos | Programa | Interrupción prolongada |
| UA-15 | Implementación del nuevo módulo de ventas | Proyecto | Fallas de configuración o migración |
| UA-16 | Operación de sucursales | Ubicación/proceso | Aplicación inconsistente de controles |
La lista contiene procesos, sistemas, programas, terceros, proyectos y ubicaciones. Esto permite representar mejor la organización que un inventario basado únicamente en departamentos.
Desarrollo de una unidad auditable
La unidad UA-06 podría documentarse así:
Nombre: Inventarios y almacén.
Propósito: recibir, almacenar, proteger y despachar productos manteniendo registros confiables.
Alcance: recepción, ubicación, movimientos, ajustes, despachos, conteos, obsolescencia y devoluciones.
Responsable: gerente de operaciones.
Objetivos relacionados:
- mantener disponibilidad;
- reducir pérdidas;
- entregar pedidos oportunamente;
- conservar registros correctos.
Riesgos principales:
- sustracción;
- movimientos no registrados;
- ajustes sin autorización;
- productos vencidos;
- diferencias físicas;
- errores de valoración;
- accesos incompatibles.
Sistemas: ERP y lectores de códigos.
Terceros: operador logístico y proveedor de almacenamiento externo.
Cobertura existente: conteos de operaciones, revisión contable y auditoría externa sobre determinadas existencias.
Última auditoría interna: hace dos años.
Cambios recientes: aumento del volumen, nuevo almacén y modificación del ERP.
Esta ficha aporta información suficiente para evaluar la exposición y decidir si la unidad debe considerarse en el plan.
Riesgos que atraviesan varias unidades
El análisis también identifica relaciones transversales:
- Fraude: ventas, compras, inventarios, tesorería y nómina.
- Tecnología: ventas digitales, inventarios, cierre financiero y pagos.
- Terceros: compras, logística, tecnología y continuidad.
- Cumplimiento: impuestos, nómina, proveedores y protección de información.
- Continuidad: centro de distribución, ERP, comercio electrónico y logística.
Estos riesgos no deben desaparecer por no pertenecer a un único departamento. Pueden evaluarse mediante trabajos transversales o incluirse dentro de varios alcances.
Resultado para la planificación
Después de construir el universo, la función puede:
- valorar el riesgo de cada unidad;
- analizar la eficacia conocida de sus controles;
- identificar revisiones realizadas por otros proveedores;
- considerar cambios y tiempo desde la última auditoría;
- estimar el beneficio potencial de cada trabajo;
- comparar las prioridades con los recursos disponibles.
El universo no decide automáticamente qué se auditará. Proporciona la población organizada sobre la cual se aplica el juicio profesional.
La guía sobre el plan anual de auditoría interna basado en riesgos explica cómo convertir esta información en trabajos, horas, calendario y cobertura aprobada.
Cómo comprobar que el universo está completo
Ningún universo puede considerarse completo solo porque contiene muchas filas.
Para revisarlo, conviene comprobar si incluye:
- objetivos estratégicos;
- procesos que generan ingresos;
- procesos que administran efectivo;
- información financiera;
- activos relevantes;
- obligaciones legales;
- sistemas críticos;
- proyectos importantes;
- terceros esenciales;
- riesgos de fraude;
- ética;
- ciberseguridad;
- continuidad;
- ubicaciones;
- nuevas operaciones;
- adquisiciones;
- actividades externalizadas.
También debe verificarse si todos los riesgos clave pueden vincularse con una o varias unidades. Si un riesgo importante no encuentra ningún lugar dentro del universo, puede existir una omisión o una clasificación inadecuada.
La revisión inversa también es útil: cada unidad debería relacionarse con al menos un objetivo o riesgo relevante. Una fila que no aporta ninguna relación puede ser demasiado específica o innecesaria.
Errores frecuentes al elaborar el universo auditable
- Copiar el organigrama. Los departamentos no reflejan todos los procesos, sistemas, proyectos y riesgos transversales.
- Crear unidades demasiado generales. Nombres como “Administración” o “Tecnología” pueden ocultar actividades con riesgos distintos.
- Fragmentar cada tarea. Un universo excesivamente detallado dificulta la priorización y el mantenimiento.
- Confundir unidad con auditoría. Una misma unidad puede ser examinada mediante diferentes trabajos y un trabajo puede cubrir varias unidades.
- Excluir terceros. Las operaciones externalizadas continúan generando riesgos para la organización.
- Ignorar proyectos temporales. Una implementación puede ser más riesgosa que un proceso estable.
- Registrar solo riesgos financieros. También deben considerarse operaciones, información, cumplimiento, tecnología, fraude y ética.
- Confiar automáticamente en el registro de riesgos. Auditoría debe evaluar la calidad del proceso utilizado por la dirección.
- No definir responsables. Una unidad sin propietario dificulta validar información y asignar planes de acción.
- No registrar la cobertura. Esto puede producir duplicidades y dejar riesgos importantes sin revisión.
- Mantener unidades obsoletas. Procesos eliminados, sistemas sustituidos o proyectos terminados deben revisarse.
- Utilizar puntuaciones sin descripción. Una calificación no sustituye la comprensión del objetivo, alcance y riesgo de la unidad.
Universo auditable en organizaciones pequeñas
Una organización pequeña también puede utilizar este enfoque, aunque no necesite una matriz extensa.
Puede agrupar sus unidades en procesos principales, por ejemplo:
- ventas y cobros;
- compras y pagos;
- inventarios;
- nómina;
- contabilidad e impuestos;
- tecnología;
- cumplimiento;
- continuidad.
La simplicidad no significa omitir riesgos relevantes. Una empresa pequeña puede depender de una sola persona, un sistema, un proveedor o una cuenta bancaria, creando concentraciones que requieren atención.
En funciones de auditoría con recursos limitados, el universo puede ayudar a demostrar por qué no es posible examinar todas las unidades cada año y qué riesgos quedan pendientes de cobertura.
Cuándo debe actualizarse el universo auditable
El universo no debe revisarse únicamente cuando se prepara el plan anual.
Debe actualizarse cuando ocurran cambios como:
- nueva línea de negocio;
- adquisición o venta;
- apertura o cierre de una ubicación;
- implementación de un sistema;
- externalización;
- cambio regulatorio;
- proyecto importante;
- reorganización;
- aparición de un riesgo;
- cambio de responsables;
- incidente relevante;
- finalización de un programa.
COSO destaca que los cambios en el entorno, el modelo de negocio, la tecnología, las operaciones y el personal pueden afectar significativamente los riesgos y el control interno.
Las Normas también indican que la evaluación y el plan deben actualizarse según la dinámica de la organización, que puede requerir revisiones anuales, semestrales, trimestrales o más frecuentes.
La frecuencia debe responder al nivel de cambio, no únicamente a una fecha fija.
Conclusión
El universo auditable organiza los asuntos que podrían ser evaluados por auditoría interna y permite relacionarlos con objetivos, riesgos, controles y cobertura de aseguramiento.
Su utilidad depende de que represente la operación real, incluya riesgos transversales, mantenga una granularidad coherente y se actualice cuando cambia la organización.
No es una simple lista de departamentos ni determina automáticamente el plan anual. Es la base que permite comprender qué puede auditarse antes de decidir qué trabajos merecen prioridad.
Un universo bien documentado ayuda a justificar las decisiones, identificar brechas de cobertura y concentrar los recursos de auditoría interna en los asuntos que más pueden afectar los objetivos de la organización.
