La gestión de riesgos es una parte esencial de las operaciones de cualquier empresa, la mayoría de las empresas tienen ahora muchos sistemas complejos, lo que también aumenta sus riesgos, por lo tanto, las empresas deben contar con un sólido proceso de gestión de riesgos para mitigarlos.
Un área asociada a la gestión de riesgos es la de los controles internos, estos controles pueden ser significativamente eficaces, sin embargo, también pueden fallar a veces debido a las deficiencias, para los auditores, es crucial evaluar las deficiencias de control de una empresa.
¿Qué son las deficiencias de control interno?
Los controles internos representan las políticas y procedimientos que las empresas emplean para mitigar cualquier riesgo, del mismo modo, estos controles existen para mejorar la eficiencia operativa de una empresa, sin embargo, pueden existir deficiencias de control interno en estos procedimientos, las deficiencias existen cuando el diseño o el funcionamiento del control no logra prevenir o detectar a tiempo una incorrección material.
Las deficiencias de control interno se producen por dos motivos.
- En primer lugar, pueden producirse cuando una empresa no dispone de controles internos para prevenir o detectar incorrecciones materiales.
- También puede ocurrir cuando los controles existentes no detectan ni previenen las incorrecciones materiales.
¿Cómo evaluar las deficiencias de control de una empresa?
Las deficiencias de control están estrechamente relacionadas con los controles internos adecuados, por lo tanto, los auditores deben evaluar los controles internos de una empresa para identificar las deficiencias, con respecto a esta problemática, el sistema COSO para la evaluación de las deficiencias de control interno proporciona orientación suficiente.
El sistema COSO proporciona cinco áreas fundamentales para los controles internos:
Evaluar el entorno de control
El primer requisito de un sistema de control interno es un entorno de control, un entorno de control marca la pauta de los procedimientos generales de control interno de una empresa, este entorno puede proporcionar una visión de la estructura general de control interno de la empresa.
Si los auditores consideran que el entorno de control es satisfactorio, tendrá un impacto positivo en las evaluaciones posteriores, sin embargo, si este entorno no cumple las normas requeridas, los auditores se mostrarán más escépticos con las investigaciones posteriores.
Evaluar el riesgo
Este proceso también sirve de base para los sistemas de control interno que aplican las empresas, basándose en la evaluación de riesgos, las empresas utilizan controles internos, si este proceso no es satisfactorio, es probable que la empresa emplee controles internos inadecuados.
Investigar las actividades de control
El proceso de evaluación de riesgos se aplica a la empresa en su conjunto, las actividades de control, por contrario, son más específicas, se trata de controles internos que las empresas han empleado en áreas específicas.
La investigación de las actividades de control es un proceso detallado, los auditores tendrán que utilizar un enfoque práctico en este paso para evaluar los controles internos de una empresa e identificar las deficiencias, los auditores deben evaluar las principales actividades de control interno, como la segregación de funciones, las revisiones del rendimiento, la autorización, etc.
Examinar los sistemas de información y comunicación
Los sistemas de información y comunicación desempeñan un papel de apoyo en los controles internos de una empresa, uno de ellos son los sistemas de información financiera que se relacionan con los estados financieros de una empresa.
Analizar las actividades de control
Una vez que las empresas emplean sistemas de control interno, necesitan supervisarlos, este proceso ayuda a identificar cualquier deficiencia dentro de cualquiera de los procesos anteriores, además, también permite a las empresas evaluar los riesgos y adaptarse a cualquier cambio.
