Armando Villacorta Cavero, CIA, CCSA, CGAP, CFSA

Presentación del tema: "Armando Villacorta Cavero, CIA, CCSA, CGAP, CFSA"— Transcripción de la presentación:

1 Armando Villacorta Cavero, CIA, CCSA, CGAP, CFSA
Implementación del Nuevo Marco Internacional para la Práctica Profesional de la Auditoría Interna Armando Villacorta Cavero, CIA, CCSA, CGAP, CFSA Presidente de la Federación Latinoamericana de Auditores Internos Cartagena, 30 de Mayo de 2011

2 Agenda I. Presentación del MIPP II. Reflexiones 2

3 I. Presentación del MIPP
INTERNATIONAL Enero de 2009 3

4 Importancia de las Normas
Explicitan todos los comportamientos que se espera que sigan los Auditores Internos. Describen todo el proceso de Auditoría. 4

5 Propósito de las Normas
Definir Principios Básicos que representen el Ejercicio de la Auditoría Interna como debería ser (Calidad). Proporcionar un Marco para ejercer y promover un amplio rango de actividades de Auditoría Interna de Valor Agregado. Establecer las bases para Evaluar el Desempeño de Auditoría Interna. Fomentar Mejora de los Procesos y Operaciones de la Organización. 5

6 Cambios en alcance y estructura Guías de Autoridad del IIA
El MPP (PPF) organiza todas las Guías del IIA El MIPP (IPPF) organiza todas las Guías de Autoridad del IIA ELEMENTOS Definición Código de Ética Normas Consejos para la Práctica Ayudas para la Práctica y el Desarrollo ELEMENTOS Definición Código de Ética Normas internacionales Consejos para la Práctica Declaración de posición Guías para la Práctica ELIMINADO AGREGADO

7 Cambios en el contenido
MPP MIPP ELEMENTOS Definición Código de Ética Normas Consejos para la Práctica Ayudas para la Práctica y el Desarrollo ELEMENTOS Sin cambio Definición Sin cambio Código de Ética Algunos cambios Normas internacionales Algunos cambios Consejos para la Práctica Declaración de posición ELIMINADO AGREGADO Guías para la Práctica

8 Guía autorizada del IIA
IPPF (MIPP) Organiza la Guía autorizada del IIA Obligatorio No obligatorio Fuertemente recomendado Autorizada = 8

9 Definición Sin cambio La Auditoria Interna es una actividad Qué somos?
Declaración del propósito fundamental, la naturaleza y el alcance de la auditoría interna. Qué somos? La Auditoria Interna es una actividad independiente y objetiva de aseguramiento y consulta concebida para AGREGAR VALOR y MEJORAR las operaciones de una organización. Ayuda a una organización a cumplir sus objetivos aportando un enfoque sistemático y disciplinado para EVALUAR y MEJORAR la eficacia de los PROCESOS de gobierno, gestión de riesgos y control. Qué hacemos?

10 Código de Ética Sin cambio ¿ QUE ES UN CÓDIGO DE ÉTICA ?
Declaración de principios y expectativas que rigen la conducta de las personas y las organizaciones en la tarea de llevar a cabo la auditoría interna. Descripción de requerimientos mínimos respecto de la conducta. Describe expectativas en cuanto a conducta más que actividades específicas. Integridad La integridad de los auditores internos establece confianza y, consiguientemente, provee la base para confiar en sus juicios. Objetividad Los auditores internos exhiben el más alto nivel de objetividad profesional al reunir, evaluar y comunicar información sobre la actividad o proceso a ser examinado. Los a. i. hacen una evaluación equilibrada de todas las circunstancias relevantes y forman sus juicios sin dejarse influir indebidamente por sus propios intereses o por otras personas. Confidencialidad Los auditores internos respetan el valor y la propiedad de la información que reciben y no divulgan información sin la debida autorización a menos que exista una obligación legal o profesional para hacerlo. Competencia Los auditores internos aplican el conocimiento, aptitudes y experiencia necesarios al desempeñar los servicios de auditoría interna. ¿ QUE ES UN CÓDIGO DE ÉTICA ? Estructura conceptual de comportamiento que ha sido concordada sobre actuaciones y conductas precedentes, y que se traduce en una normativa. Propósito: Servir de modelo de comportamiento a las personas que se adhieren a él. Promover una cultura ética en la profesión. El cumplimiento del Código de Ética es la primera condición para poder cumplir con las Normas

11 Normas Internacionales
Algunos cambios Requerimientos de cumplimiento obligatorio que consisten en lo siguiente: Declaraciones de los requerimientos básicos para la práctica profesional de auditoría interna y para evaluar la eficacia de su desempeño; Son de aplicación internacional a nivel individual y organizacional; Se centran en principios y proporcionan un enfoque para llevar a cabo y promover la auditoría interna. Este incluye Normas sobre atributos, desempeño e implementación. Interpretaciones que aclaran términos o conceptos incluidos en las declaraciones. Considera las Declaraciones e Interpretaciones para comprenderlas y aplicarlas correctamente. 11

12 Normas Internacionales
Algunos cambios Normas Internacionales Atributos: Qué Somos y qué debemos tener (Ser). Desempeño: Qué Hacemos y qué acciones debemos tomar (Hacer). Implantación: Cómo aplicarlas en un caso particular (Aplicar). Atributos Desempeño Implantación 12

13 Normas sobre Atributos
Desempeño Implantación Describe características de las organizaciones y las personas que prestan servicios de Auditoría Interna. Para todo servicio de auditoría, las normas sobre atributos establecen: 1000. Propósito, Autoridad y Responsabilidad. 1100. Independencia y Objetividad. 1200. Aptitud y Debido Cuidado Profesional. 1300. Programa de Aseguramiento y Mejora de la Calidad. 13

14 Describen la Naturaleza de los servicios de Auditoría Interna
Normas sobre Desempeño Atributos Describen la Naturaleza de los servicios de Auditoría Interna Proporcionan criterios de calidad con los cuales puede evaluarse el desempeño de estos servicios. Desempeño Implantación 2000. Administración de la Actividad de Auditoría Interna. 2100. Naturaleza del Trabajo. 2200. Planificación del Trabajo. 2300. Desempeño del Trabajo. 2400. Comunicación de Resultados. 2500. Seguimiento del Progreso. 2600. Decisión de aceptación de los Riesgos por la Dirección. 14

15 Normas sobre Implantación
Atributos Desempeño Implantación Amplían las Normas sobre Atributos y Desempeño (incluídas como apartados dentro de ellas). Proporcionan los requisitos aplicables a las diferentes actividades de Auditoría Interna: Aseguramiento (A) Consultoría (C) 15

16 Normas Semántica o Glosario Nuevas Normas Modificaciones
Algunos cambios Normas Semántica o Glosario Nuevas Normas Modificaciones Interpretaciones Semántica Nuevas Normas Modificaciones Interpretaciones 16

17 de cumplimiento obligatorio.
Normas Semántica Nuevas Normas Modificaciones Debe y Debería En las versiones anteriores de las Normas se utilizó la palabra “debería” (should), que en el Glosario aclaraba que era una indicación de cumplimiento obligatorio. La mayoría de los “debería” han sido reemplazados por “debe” (must). Excepciones: Norma 1010, Norma 2050, Norma 2130.A2, 2130.A3 Norma 2220.A2. Interpretaciones Excepciones: Norma 1010 (Reconocimiento Normas en el Estatuto): El DEA debería tratar la Definición de A.I., el Código de Etica y las Normas con la Alta Dirección y el Consejo. Norma 2050: (Adm. Actividad a.i.: Coordinación): El DEA debería compartir información y coordinar actividades con otros proveedores internos y externos de servicios de aseguramiento y consultoría para asegurar una cobertura adecuada y minimizar la duplicación de esfuerzos. Norma 2130.A2 (Naturaleza del Trabajo: Control) Los a.i. deberían cerciorarse del alcance de los objetivos y metas operativos y de programas que hayan sido establecidos, y de que sean consistents con aquellos de la organización. Norma 2130.A3 (Naturaleza del Trabajo: Control): Los a.i. deberían revisar las operaciones y programas para cerciorarse de que los resultados sean consistentes con los objetivos y metas establecidos, con el fin de determinar si las operaciones y programas estén siendo implantados ó desempeñados tal como fueron planeados. Norma 2220.A2 (Planificación del trabajo: alcance del trabajo): Si durante la realización de un trabajo de aseguramiento surgen oportunidades de realizar trabajos de consultoría significativos, debería lograrse un acuerdo escrito específico en cuanto a los objetivos, alcance, responsabilidades respectivas y otras expectativas. Los resultados del trabajo de consultoría deben ser comunicados de acuerdo con las normas de consultoría. Esto no es un cambio sustancial, simplemente se elimina la confusión del uso de la palabra “debería”, si bien su significado ya se había definido como indicativo de un requerimiento de cumplimiento obligatorio. 17

18 Debe: requerimiento incondicional (obligatorio).
Normas Semántica Nuevas Normas Modificaciones Ahora: Debe: requerimiento incondicional (obligatorio). Debería: se espera cumplimiento, a menos que las circunstancias, basadas en el juicio profesional, justifiquen alguna desviación. Interpretaciones 18

19 Normas Nuevos términos agregados al Glosario
Semántica Normas Nuevas Normas Modificaciones Interpretaciones Nuevos términos agregados al Glosario Controles de Tecnología Informática. Gobierno de Tecnología Informática. Aceptación del Riesgo. Significatividad. Técnicas de Auditoría Basadas en Tecnología. Controles de TI: Soportan la gestión y el gobierno del negocio, y proporcionan controles generales y técnicos sobre las infraestructuras de TI tales como aplicaciones, información, infraestructura y personas. Gobierno de TI: Consiste en el liderazgo, las estructuras de la organización y los procesos que aseguran que la TI de la empresa mantiene y soporta las estrategias y objetivos de la organización Aceptación del riesgo: El nivel de riesgo que una organización está dispuesta a aceptar. Significatividad: La importancia relativa de un asunto dentro de un contexto en el cual está siendo considerado, incluyendo factores cuantitativos y cualitativos, tales como magnitud, naturaleza, efecto, relevancia e impacto. El juicio profesional ayuda a los a.i. cuando evalúan la significatividad de los asuntos dentro del contexto de los objetivos relevantes. Técnicas de auditoría basadas en tecnología: Cualquier herramienta automatizada de auditoría, tal como el software generalizado de auditoría, los generadores de datos de prueba, programas de auditoría computarizados, y elementos de auditoría de especialización. También se conocen como técnicas de auditoría asistidas por computadora (TAAC). 19

20 Normas Semántica Nuevas Normas Modificaciones Interpretaciones 1010: Reconocimiento de la naturaleza obligatoria de la Definición de Auditoría Interna, el Código de Ética y las Normas en el Estatuto de Auditoría Interna. El DEA debería tratarlos con la Alta Dirección y el Consejo. 1111: El DEA debe comunicarse e interactuar directamente con el Consejo de Administración. 2110.A2: La actividad de A. I. debe Evaluar si el Gobierno de TI de la organización sostiene y apoya las estrategias y objetivos de la organización. 2120.A2: La actividad de A. I. debe Evaluar la posibilidad de ocurrencia de fraude y cómo la organización gestiona el Riesgo de Fraude. 20

21 Semántica Normas Nuevas Normas Modificaciones Interpretaciones 2120.C3: Limitación Rol de A.I. mediante el alcance de la Gestión de Riesgos: “Cuando ayudan a la Dirección a establecer o mejorar los procesos de Gestión de Riesgos, los a. i. deben abstenerse de asumir cualquier responsabilidad propia de la Dirección, como es la Gestión de Riesgos” 2430: Uso de “Realizado de conformidad con las Normas Internacionales para el Ejercicio Profesional de la Auditoría Interna”: Pueden informarlo en sus trabajos sólo si los resultados del programa de aseguramiento y mejora de la calidad respaldan dicha afirmación. 21

22 Normas Otras modificaciones mínimas
Semántica Nuevas Normas Modificaciones Otras modificaciones mínimas Redacción mejorada de determinadas normas para optimizar su comprensión, si bien se preserva el original: Hay una gran concentración de atención dedicada a la nueva redacción de las normas de la serie Programa de Aseguramiento y mejora de la calidad. Reordenamiento de la numeración de las series 2110, 2120 y 2130 para reflejar el orden de la Definición de Auditoría Interna: 2110: Gobierno (anteriormente, 2130) 2120: Gestión de Riesgo (anteriormente, 2110) 2130: Control (anteriormente, 2120) Interpretaciones 22

23 Normas Se agregaron hasta la fecha 24 interpretaciones:
Semántica Nuevas Normas Modificaciones Interpretaciones Se agregaron hasta la fecha 24 interpretaciones: 11 en las Normas sobre Atributos. 13 en las Normas sobre Desempeño. La interpretación aclara los conceptos dentro de una declaración en particular. La interpretación es parte de la norma y por tanto lleva también la naturaleza de cumplimiento obligatorio. 23

24 Interpretación de las Normas
2010 Planificación El director ejecutivo de auditoría debe establecer planes basados en los riesgos, a fin de determinar las prioridades de la actividad de auditoría interna. Dichos planes deberán ser consistentes con las metas de la organización. Interpretación: El director ejecutivo de auditoría es responsable de desarrollar un plan basado en riesgos. Para ello, debe tener en cuenta el enfoque de gestión de riesgos de la organización, incluyendo los niveles de aceptación de riesgos establecidos por la dirección para las diferentes actividades o partes de la organización. Si no existe tal enfoque, el director ejecutivo de auditoría utilizará su propio juicio sobre los riesgos después de consultar con la alta dirección y el Consejo. 24

25 Consejos para la Práctica
Tratan sobre temas de enfoque, metodología y consideraciones, pero NO sobre procesos y procedimientos de manera minuciosa. Es una guía concisa y puntual para asistir a los auditores internos en la aplicación del Código de Ética y las Normas, además de promover las buenas prácticas. Incluye prácticas relacionadas con problemas del ámbito internacional, del país o específicos del sector, además de tipos específicos de trabajos, problemas legales y reglamentarios. A la fecha existen 56 Consejos para la práctica emitidos. 25

26 2500 – Seguimiento del progreso
El director ejecutivo de auditoría debe establecer y mantener un sistema para vigilar la disposición de los resultados comunicados a la dirección. Consejo para la practica 1. Para vigilar eficazmente la disposición de los resultados, el director ejecutivo de auditoría (DEA) establece procedimientos que incluyen lo siguiente: (i) El marco de tiempo dentro del cual se requiera la respuesta de la dirección a las observaciones y recomendaciones del trabajo, (ii) La evaluación de la respuesta de la dirección, (iii) La verificación de la respuesta (si corresponde), (iv) La realización de un trabajo de seguimiento (si corresponde), y (v) Un proceso de comunicación a los niveles adecuados de la alta dirección o del consejo de administración, que haga hincapié en las respuestas o acciones insatisfactorias, incluyendo la asunción del riesgo. 2. Si ciertas observaciones y recomendaciones resultan ser tan significativas que requieran acción inmediata por parte de la dirección o del consejo de administración, la actividad de auditoría interna vigila las acciones tomadas hasta que la observación se haya corregido o la recomendación se haya implementado. 3. La actividad de auditoría interna puede hacer un seguimiento eficaz del progreso mediante lo siguiente: Dirigir las observaciones y recomendaciones del trabajo a los niveles adecuados de la dirección que sean responsables de llevar a cabo la acción correctiva. Recibir y evaluar las respuestas de la dirección y el plan de acción propuesto a las observaciones y recomendaciones del trabajo durante la realización del mismo o dentro de un período razonable después de comunicar los resultados del trabajo. Las respuestas son más útiles si incluyen la información suficiente que permita al DEA evaluar la adecuación y oportunidad de las acciones propuestas. Recibir actualizaciones periódicas de parte de la dirección con el fin de evaluar sus esfuerzos para corregir las observaciones e implementar las recomendaciones. Recibir y evaluar información de otras unidades de la organización que tengan asignada responsabilidad en el seguimiento o las acciones correctivas. Informar a la alta dirección o al consejo de administración sobre la situación de las respuestas a las observaciones y recomendaciones del trabajo. 26

27 Declaración de Posición (Position Papers)
Declaración del IIA para ayudar a una amplia gama de partes interesadas, incluso aquéllos que no pertenecen a nuestra profesión, a comprender los problemas significativos relacionados con el gobierno corporativo, el riesgo o el control, y a establecer los roles y las responsabilidades de la A.I. Se agregaron al MIPP 2 declaraciones de posición: El rol de la auditoría interna en relación con la Gestión de Riesgos para toda la empresa. El rol de la auditoría interna en la obtención de recursos para la función de auditoría interna. 27

28 Rol de la auditoria interna en ERM
28

29 Guías para la Práctica Guía detallada para realizar las actividades de auditoría interna. Incluye procesos y procedimientos detallados. Por ejemplo, herramientas y técnicas, programas y enfoques paso a paso, incluidos ejemplos de informes. 29

30 15 Guías de Auditoría de Tecnología Global
Guías para la Práctica 15 Guías de Auditoría de Tecnología Global Guía para la evaluación de riesgos de TI (GAIT). Otras Guías No Tecnológicas 30

31 Listado de GTAGS GTAG-15 Information Security Governance June 2010
Auditing User-developed Applications GTAG-13 Fraud Prevention and Detection in an Automated World Dec. 2009 GTAG-12 Auditing IT Projects Mar. 2009 GTAG-11 Developing the IT Audit Plan Jan. 2009 GTAG-10 Business Continuity Management GTAG-9 Identity and Access Management GTAG-8 Auditing Application Controls GTAG-7 Information Technology Outsourcing GTAG-6 Managing and Auditing IT Vulnerabilities GTAG-5 Managing and Auditing Privacy Risks GTAG-4 Management of IT Auditing GTAG-3 Continuous Auditing: Implications for Assurance,  Monitoring, and Risk Assessment GTAG-2 Change and Patch Management Controls:  Critical for Organizational Success GTAG-1 Information Technology Controls 31

32 ¿Qué es el GTAG? GTAG - Global Technology Audit Guide
Proporcionar una guía fácil de entendimiento de la auditoría de TI para el CAE, Comité de Auditoría y Gerencia Ejecutiva. Proporcionar un mecanismo para manejar rápidamente nuevos asuntos de TI. Producir guías de auditoría técnicas a una escala global. The GTAG series was developed to help Chief Auditing Executives (CAE) and audit management keep pace with the ever changing and sometimes complex world of information technology, by providing resources written for business executives - not IT executives.   Why was GTAG developed? Both management and the Audit Committee have an expectation that internal auditing is providing assurance around all important risks, including those introduced or enabled by the implementation of information technology.  GTAG helps the CAE and audit management become more knowledgeable of the risk, control, and governance issues surrounding technology.  However, we have written these without the typical "geek speak" often found in IT literature.  Our goal is to get internal audit management comfortable enough to carry on a conversation with their Audit Committee and exchange risk and control ideas with the CIO and IT management. 32

33 ¿Cuál es la audiencia objetivo?
Objetivo primario - Chief Audit Executive (CAE) Muchos CAEs enfrentan retos de entender la tecnología, la cual es necesaria para planear y conducir la auditoría interna. Los CAEs no están bien servidos por muchas guías existentes, las cuales como CoBIT, tienden a objetivos técnicos y de Administración de TI. Dado la amplia responsabilidad de los CAEs, las series de GTAC proporcionan un alto nivel panorámico sobre la administración de riesgos y control relativo a IT. El GTAC es prácticamente inmesurable para ejecutivos ocupados, quienes necesitan rápidamente un entendimiento en los ausntos de tecnología y evaluar el impacto en su organización. GTAGs have been developed and packaged in such as way that a CAE can read and understand an important IT-related topic while traveling on an airplane.   While there is a need for guidance in that area, all internal auditors need to have a certain level of IT understanding to be effective.  We understand the challenges of leading an organization with entity-wide responsibilities accountable to the Board of Directors.  We felt CAEs were not being well-served by organizations such as the Information Systems Audit and Control Association (ISACA), which tends to target the needs of technical IT auditors and IT management.  Given the broad responsibility of CAEs, their needs are at a more strategic and enterprise level, and we felt they should be allowed to choose whether they want a broad overview on a hot topic or prefer to drill down into a discussion of risk management and control assessment.  We don't believe there is such as thing as "IT risk"; there is only business risk - - which can be introduced or enabled by the use of technology. So the value of GTAG is practically immeasurable to those busy executives who need to quickly understand the issues and evaluate the impact on their organization.  GTAG also includes more detailed information for internal auditing management and auditors involved in conducting related audits. 33

34 Guía para la Evaluación
de Riesgos de TI (GAIT) Metodología de la GAIT: metodología de determinación del alcance basado en un enfoque de riesgos de arriba hacia abajo GAIT para evaluación de deficiencias de controles generales de TI: ayuda a evaluar las deficiencias de los controles generales de TI identificadas GAIT para riesgos de negocio y de TI: ayuda a identificar los aspectos críticos de los procesos de TI ¿Qué es la GAIT?: proporciona una metodología que tanto la dirección como los auditores pueden utilizar para identificar controles clave, dentro de los controles generales de TI, como parte y continuación de la determinación del alcance basado en un enfoque de riesgos de arriba hacia abajo respecto de controles clave para ICFR. La GAIT es un proceso de razonamiento estructurado que puede ser realizado a la medida del lenguaje interno de las organizaciones, etc. Esos riesgos de los estados contables se llevan a un nivel más alto de optimización utilizando el análisis de la GAIT. Si existe la probabilidad de falla, la metodología identifica los riesgos del proceso de control general de TI en detalle y los objetivos de control general de TI relacionados, y cuando esto se logra con éxito, se mitigan tales riesgos. En enero de 2007, el IIA publicó la guía Metodología de la GAIT, que es la primera guía práctica de la serie Guía para la Evaluación de Riesgos de TI. Este documento proporciona una metodología para ayudar a las organizaciones a identificar los controles generales de TI clave necesarios para un alcance de trabajo eficiente y eficaz para la Sección 404 de la Ley Sarbanes-Oxley de 2002. En marzo de 2008, el IIA publicó dos nuevas guías: La GAIT para evaluación de deficiencias de controles generales de TI, que proporciona un enfoque para evaluar las deficiencias de controles generales de TI identificadas durante la evaluación anual de control interno sobre los informes financieros. La GAIT para riesgos de negocio y de TI, que se centra en identificar los aspectos críticos de los procesos de TI que son esenciales para la dirección y para mitigar los riesgos de negocio. 34

35 OTRAS GUIAS PRACTICAS 35

36 Temas Relevantes del MIPP
INTERNATIONAL Asegurar la Calidad de la Auditoria Interna. Agregar Valor. Lograr Objetivos. Medir Desempeño. Procurar la Mejora Contínua. Enero de 2009 36

37 II. Reflexiones 37

38 Matriz de Acciones frente al MIPP
Incrementar Eliminar El valor agregado del auditor interno La visión de la auditoría interna como una profesión La terminología obsoleta Visión policial del auditor interno Crear Reducir Una nueva Imagen: El auditor interno proactivo y amigo crítico Los problemas interpretativos La complejidad de los términos 38

39 Nuestro Futuro esta en nuestras manos
• No esperar a que alguien cambie • No basta solamente con reaccionar • Pregúntese: Es aquí donde deberíamos estar? • ¿Estamos cubriendo los mayores riesgos? • ¿Reaccionamos ante las circunstancias cambiantes? • ¿Estamos utilizando los mejores procesos, las mejores herramientas, los marcos actuales? • ¡Innovar su enfoque respecto de la auditoría, estar abierto al cambio y tratar de mejorar todos los días! 39

40 Sección de Preguntas y Respuestas
?