La autoevaluación de control es una técnica desarrollada en 1987 que utilizan una variedad de organizaciones, incluidas corporaciones, organizaciones benéficas y departamentos gubernamentales, para evaluar la eficacia de sus procesos de control y gestión de riesgos.
Un "proceso de control" es un control o proceso realizado para reducir o eliminar el riesgo de error. Desde su introducción, la técnica ha sido ampliamente adoptada en los Estados Unidos, la Unión Europea y otros países. Hay varias formas de implementar una autoevaluación de control, pero su característica principal es que, a diferencia de una auditoría tradicional , las pruebas y los controles los realiza el personal cuyas responsabilidades diarias normales están dentro de la unidad de negocios que se está evaluando. [1] Una autoevaluación, al identificar los procesos de mayor riesgo dentro de la organización, permite a los auditores internos planificar su trabajo de manera más efectiva. [2] Varias organizaciones gubernamentales requieren el uso de la autoevaluación de control. En los Estados Unidos, es un requisito de la FFIEC que se realicen autoevaluaciones de control en los sistemas de TI y los procesos operativos de forma regular. [3] Los beneficios que se atribuyen a la autoevaluación de control incluyen la creación de una línea clara de responsabilidad para los controles, la reducción del riesgo de fraude y la creación de una organización con un perfil de riesgo más bajo. [4] [5]
En determinadas circunstancias, la autoevaluación del control no siempre es eficaz. Por ejemplo, puede resultar difícil de implementar en un entorno descentralizado, en organizaciones donde hay una alta rotación de personal, donde la organización sufre cambios frecuentes o donde la alta dirección de la organización no fomenta una cultura de comunicación abierta. [6]
La autoevaluación de control fue desarrollada por Gulf Canada en 1987 cuando el Auditor General de la compañía , Bruce McCuaig, no estaba satisfecho con las técnicas de auditoría estándar que se utilizaban tras el impacto del caso Watergate en la empresa matriz, Gulf Oil Corporation . La decisión de implementar plenamente la autoevaluación de control en Gulf Canada fue impulsada por una serie de factores, entre ellos, la presencia de un decreto de consentimiento que exigía a la compañía informar sobre sus controles internos y las dificultades que enfrentaba para estimar sus reservas de petróleo y gas utilizando medidas de auditoría más tradicionales. [7]
Durante los diez años siguientes, Gulf Canada desarrolló un marco para apoyar el análisis y la evaluación de los procesos de control por parte del personal operativo. Esto incluía la votación anónima para garantizar que no hubiera impedimentos para que el personal expresara sus opiniones. El enfoque se publicó por primera vez en Internal Auditor en diciembre de 1990. [8] Gulf Canada suspendió este enfoque de reuniones facilitadas en 1997, aunque continuó con la autoevaluación del control utilizando técnicas diferentes. [7]
Tras la introducción de la autoevaluación de control en la región del Golfo de Canadá, muchas organizaciones del sector privado implementaron técnicas similares. En los Estados Unidos, varios estados hicieron obligatorias las revisiones basadas en prácticas de autoevaluación de control, al igual que la Corporación Federal de Seguro de Depósitos y la Corporación Canadiense de Seguro de Depósitos . [7]
Inicialmente, los auditores externos ignoraron los beneficios de la autoevaluación del control, aun cuando era eficaz para proporcionar evidencia de auditoría sobre las áreas "blandas" (como la moral del personal) que son críticas para la eficacia de los sistemas de control interno. [9]
Tras una serie de escándalos financieros, en particular el colapso del imperio editorial de Robert Maxwell , el gobierno del Reino Unido encargó a Adrian Cadbury que dirigiera una investigación sobre el gobierno corporativo. El comité publicó su informe The Financial Aspects of Corporate Governance en 1992. En la sección 4, Informes y controles, Cadbury formuló una serie de recomendaciones que llevaron a una mayor adopción de la autoevaluación de control en el Reino Unido. En particular, la sección 4.5 del Código de Prácticas contenido en el informe exigía que los directores de una empresa informaran sobre la eficacia del sistema de control interno de la empresa en cada informe anual . [10]
En marzo de 2000, la Comisión Europea aprobó un libro blanco sobre la reforma que supuso un importante cambio en la forma de gestionar la Comisión. Entre estos cambios se incluían recomendaciones para que cada departamento estableciera un sistema de control interno eficaz. Para apoyar la aplicación de los controles internos, el Servicio Financiero Central de la Dirección General de Presupuesto desarrolló un proceso de autoevaluación de control. Esta primera autoevaluación de control identificó varias áreas de mejora en el control interno en toda la Comisión, en particular la necesidad de aplicar un enfoque más sistemático de la gestión de riesgos. El resultado de esta primera autoevaluación fue la aplicación del requisito de que cada Dirección General realice una autoevaluación de control y riesgo anualmente. [11]
En 2007, Estados Unidos implementó la Ley Sarbanes-Oxley . Para cumplir con la sección 404 de la Ley, la empresa tuvo que realizar una evaluación de riesgos de arriba hacia abajo que requirió la producción de un "informe de control interno" que afirmara "la responsabilidad de la administración de establecer y mantener una estructura y procedimientos de control interno adecuados para la presentación de informes financieros". . Este informe tiene que incluir una evaluación de la efectividad de los controles y procedimientos internos relacionados con la presentación de informes financieros. Para cumplir con este requisito, las organizaciones comenzaron cada vez más a realizar una autoevaluación de control utilizando una metodología estándar reconocida. Los auditores externos de la organización, que deben aprobar el informe de control interno, generalmente se involucraron más profundamente en el proceso de autoevaluación de control, ya que facilitaba su revisión posterior del informe de control interno. [12]
En el Reino Unido, en 2011, la Autoridad de Servicios Financieros reconoció en sus recomendaciones para la mejora de la gestión del riesgo operacional que la evaluación de los riesgos mediante una autoevaluación de los controles puede ser un medio importante para identificar los riesgos. También señaló que, para que la evaluación fuera plenamente eficaz, tenía que estar plenamente integrada en el proceso de gestión de riesgos de la entidad financiera. [13]
El primer paso en la autoevaluación de los controles es documentar los procesos de control de la organización con el objetivo de identificar formas adecuadas de medir o probar cada control. La prueba real de los controles la lleva a cabo el personal cuyo rol diario se encuentra dentro del área de la organización que se está examinando, ya que son quienes tienen el mayor conocimiento de cómo funcionan los procesos. [1] [4] Las dos técnicas comunes para realizar las evaluaciones son:
Ambos enfoques son opuestos a las auditorías formales en las que los auditores , no el personal de la unidad de negocios, realizarán la evaluación. [1]
Al finalizar la evaluación, cada control puede calificarse en función de las respuestas recibidas para determinar la probabilidad de que falle y el impacto en caso de que ocurra. Estas calificaciones pueden representarse mediante mapas para generar un mapa de calor que muestre las posibles áreas de vulnerabilidad.
Se han definido seis metodologías básicas para la autoevaluación del control: [14]
La metodología de autoevaluación de control del Instituto Nacional de Normas y Tecnología se basa en cuestionarios personalizados. Es una metodología centrada en TI adecuada para evaluar los controles basados en sistemas. Proporciona una técnica rentable para determinar el estado de los controles de seguridad de la información, identificar las debilidades y, cuando sea necesario, definir un plan de mejora. [15] La metodología utiliza un cuestionario que contiene objetivos de control específicos y técnicas que se pueden probar y medir contra un sistema o grupo de sistemas. La metodología fue diseñada para agencias federales de los Estados Unidos, pero también puede ser valiosa para organizaciones del sector privado. [15]
La metodología COBIT puede utilizarse para la autoevaluación del control; al igual que la metodología NIST, fue diseñada para evaluaciones centradas en TI. El componente Descripción de procesos de COBIT proporciona un modelo de referencia de los procesos de una organización y su propiedad. Su componente Objetivos de control proporciona un conjunto de requisitos considerados necesarios para el control efectivo de cada proceso de TI con la organización. La evaluación de estos componentes mediante el componente Directrices de gestión proporciona un mecanismo de evaluación que genera un modelo de madurez que indica si la organización está cumpliendo con sus objetivos de control. [14]
El Instituto de Auditores Internos basó su metodología de autoevaluación de control en los enfoques de Gestión de Calidad Total de los años 1990, así como en el marco de COSO . La metodología pasó a formar parte de las Normas Internacionales para la Práctica Profesional de la Auditoría Interna y fue adoptada por un gran número de organizaciones importantes. [16]
Se han publicado varias otras metodologías para estandarizar la autoevaluación del control. [17] [18] El Instituto de Auditores Internos ofrece una certificación en prácticas de autoevaluación del control. [19]
Existen varios paquetes de software disponibles para respaldar el proceso de autoevaluación de control. Por lo general, se trata de versiones modificadas de software desarrollado originalmente para uso interno por empresas de auditoría y contabilidad como Deloitte o por proveedores especializados en herramientas de gestión empresarial o financiera.
La autoevaluación de controles crea una línea clara de responsabilidad para los controles, reduce el riesgo de fraude (al examinar datos que pueden señalar patrones inusuales de transacciones) y da como resultado una organización con un perfil de riesgo más bajo. [4] [5]
Se han alegado otros beneficios indirectos para las organizaciones que realizan una autoevaluación de control, entre ellos, una mejor comprensión de las operaciones comerciales (tanto por parte de la gerencia como del personal operativo), un mayor conocimiento de las prácticas de riesgo, un régimen de gobernanza corporativa reforzado y mejoras en la eficiencia de la auditoría interna. [4] [20]
Algunos investigadores han criticado la autoevaluación del control como un enfoque defectuoso, ya que la forma en que se define y mide el riesgo no es sofisticada. En particular, la autoevaluación del control puede subestimar el riesgo al no identificar el riesgo extremo a la baja. Un riesgo extremo a la baja es un evento altamente improbable que tendría consecuencias catastróficas si ocurriera. Estos riesgos deberían tener una puntuación de riesgo general alta (generalmente calculada como un producto de la probabilidad de que ocurra un riesgo y el impacto si ocurre en una escala de 1 a 5). En consecuencia, las personas que realizan la autoevaluación del control no pueden diferenciar significativamente entre los riesgos, lo que lleva a que los riesgos de probabilidad extremadamente baja se excluyan del análisis o se agrupen junto con otros riesgos más probables (pero aún improbables) que tienen un impacto menos grave. [21]
También se ha criticado el enfoque continuo en la eliminación de riesgos que puede generar una autoevaluación de control. El proceso de evaluación continua de los riesgos y la elaboración de planes para mitigarlos y eliminarlos puede conducir a una cultura corporativa desequilibrada en la que los riesgos se eliminan ignorando la relación riesgo-rendimiento de las diferentes opciones comerciales. [21]