El papel de la auditoría interna en la gestión de riesgos en toda la empresa

...

La Figura 1 presenta una serie de actividades de ERM e indica qué funciones debe desempeñar una actividad de auditoría interna profesional eficaz y, lo que es igualmente importante, no debe emprender. Los factores clave a tener en cuenta al determinar el rol de la auditoría interna son si la actividad plantea cualquier amenaza a la independencia y objetividad de la actividad de auditoría interna y si es probable que mejore los procesos de administración, control y gobernanza de la organización.

Las actividades a la izquierda de la Figura 1 son todas actividades de aseguramiento. Forman parte del objetivo más amplio de garantizar la gestión de riesgos. Una actividad de auditoría interna que cumpla con las Normas Internacionales para la Práctica Profesional de Auditoría Interna puede y debe realizar por lo menos algunas de estas actividades.

La auditoría interna puede proporcionar servicios de consultoría que mejoren los procesos de gobierno, gestión de riesgos y control de una organización. El alcance de la consultoría interna del auditor en ERM dependerá de los otros recursos, internos y externos, disponibles para el consejo y en la madurez de riesgo2 de la organización y es probable que varíe con el tiempo. La experiencia del auditor interno en la consideración de los riesgos, en la comprensión de las conexiones entre los riesgos y la gobernabilidad y en la facilitación significa que la actividad de auditoría interna está bien calificada para actuar como promotora e incluso gerente de proyecto para ERM, especialmente en las primeras etapas de su introducción. A medida que aumenta la madurez del riesgo de la organización y la gestión del riesgo se vuelve más intrínseca en las operaciones del negocio, la función de auditoría interna en la defensa de ERM puede reducir. Del mismo modo, si una organización emplea los servicios de un especialista o función de gestión de riesgos, es más probable que la auditoría interna dé valor concentrándose en su función de aseguramiento que mediante la realización de las actividades de consultoría más. Sin embargo, si la auditoría interna aún no ha adoptado el enfoque basado en el riesgo representado por las actividades de aseguramiento a la izquierda de la Figura 1, es poco probable que esté equipado para llevar a cabo las actividades de consultoría en el centro.

Funciones de consultoría

El centro de la Figura 1 muestra las funciones de consultoría que la auditoría interna puede realizar en relación con el MRE. En general, cuanto más a la derecha de la esfera que las empresas de auditoría interna, mayores son las salvaguardas que se requieren para asegurar que su independencia y objetividad se mantienen. Algunas de las funciones de consultoría que la actividad de auditoría interna puede realizar son:

• Poner a disposición las herramientas y técnicas de gestión utilizadas por la auditoría interna para analizar los riesgos y los controles;

• Ser un campeón de la introducción de ERM en la organización, aprovechando su experiencia en gestión y control de riesgos y su conocimiento general de la organización;

• Prestar asesoramiento, facilitar talleres, entrenar a la organización en materia de riesgo y control y promover el desarrollo de un lenguaje, un marco y una comprensión comunes;

• Actuar como punto central para coordinar, monitorear e informar sobre los riesgos; Y Apoyar a los gerentes a medida que trabajan para identificar la mejor manera de mitigar un riesgo.

El factor clave para decidir si los servicios de consultoría son compatibles con la función de aseguramiento es determinar si el auditor interno asume alguna responsabilidad de gestión. En el caso del MRE, la auditoría interna puede prestar servicios de consultoría siempre y cuando no desempeñe ningún papel en la gestión de los riesgos -es decir, la responsabilidad de la administración- y mientras la alta dirección respalde activamente.

Conclusión

La gestión de riesgos es un elemento fundamental del gobierno corporativo. La administración es responsable de establecer y operar el marco de administración de riesgo en nombre del directorio. La gestión del riesgo en toda la empresa trae muchos beneficios como resultado de su enfoque estructurado, consistente y coordinado. La función central del auditor interno en relación con la gestión de riesgos debería ser proporcionar garantías a la dirección y al consejo sobre la eficacia de la gestión de riesgos. Cuando la auditoría interna extiende sus actividades más allá de este papel central, debería aplicar ciertas salvaguardias, incluyendo tratar los compromisos como servicios de consultoría y, por lo tanto, aplicar todas las normas pertinentes. De esta manera, la auditoría interna protegerá su independencia y la objetividad de sus servicios de aseguramiento. Dentro de estas limitaciones, ERM puede ayudar a elevar el perfil y aumentar la eficacia de la auditoría interna.

Definición de términos

Servicios de Aseguramiento: Un examen objetivo de la evidencia con el propósito de proveer una evaluación independiente sobre los procesos de gobierno, gestión del riesgo y control para la organización. Los ejemplos pueden incluir compromisos financieros, de desempeño, cumplimiento, seguridad del sistema y debida diligencia.

Consejo de Administración: Un consejo de administración es un órgano de gobierno de una organización, tal como un consejo de administración, un consejo de supervisión, un jefe de una agencia o un órgano legislativo, un consejo de gobernadores o fideicomisarios de una organización sin fines de lucro o cualquier otro organismo designado de la organización, Comité de auditoría a quien el director ejecutivo de auditoría pueda reportar funcionalmente.

Campeón: Alguien que apoya y defiende a una persona o causa. Por lo tanto, un promotor de la gestión del riesgo promoverá sus beneficios, educará a la administración y el personal de una organización en las acciones que deben tomar para implementarla y los alentará y los apoyará en la toma de esas acciones.

Servicios de consultoría: Las actividades de consultoría y servicios relacionados con el cliente, cuya naturaleza y alcance se acuerdan con el cliente, tienen el propósito de agregar valor y mejorar los procesos de gobierno, gestión de riesgos y control de una organización sin que el auditor interno asuma la responsabilidad de la administración. Los ejemplos incluyen asesoramiento, asesoramiento, facilitación y capacitación.

Control: Cualquier