Administración Integral de Riesgos de Negocio

Presentación del tema: "Administración Integral de Riesgos de Negocio"— Transcripción de la presentación:

1 Administración Integral de Riesgos de Negocio
Septiembre 2008

2 Actualmente… Es muy difícil predecir el futuro.
El Consejo de Administración debe atender el tema de los riesgos. Para prosperar se tendrán que conocer y administrar los riesgos. La capacidad de dominar el riesgo se ha transformado en una ventaja estratégica básica. Ignorar los riesgos puede significar el fracaso individual o el de la organización.

3 Premisas de administración de riesgos
El riesgo es un hecho de la vida; la vida está constantemente cambiando. La economía está creando grandes oportunidades y retos. El riesgo es la razón de ser de la empresa. Las organizaciones necesitan un nuevo proceso de negocio estratégico. Ese proceso es la Administración Integral de Riesgos de Negocio (AIRN). With these profound changes as a backdrop, the premise supporting EWRM is straightforward. First and foremost, risk is a fact of life, a reality successful companies embrace with enthusiasm. And, in the new economy, life is constantly changing -- whether we like it or not. Second, the rules of wealth creation and preservation are changing in the new economy, generating significant opportunities and challenges. For example, new business models are being built on the strength of customer and supplier relationships, attracting and retaining the best talent, superior performing processes and creative applications of Internet technology. Third, in this evergreen environment, we believe that organizations need a new, strategic business process to master risk as they create value for their stakeholders. Our point of view is that this process is what we call Enterprise-wide Risk Management.

4 Definición de riesgo “El impacto y la probabilidad de que una amenaza pueda afectar adversamente la capacidad de una organización para lograr sus estrategias y objetivos de negocio” As we begin to understand what it means to master risk to create value, it is helpful to understand what risk is. We define risk as the distribution of possible outcomes in a firm’s performance over a given time horizon due to unexpected changes in underlying variables. The greater the dispersion of possible outcomes, the higher the firm’s level of exposure to uncertain returns. These uncertain returns can have either positive or negative values, and hence both positive and negative changes must be viewed as sources of risk.

5 El Riesgo de Negocio provee el contexto para el enfoque de AIRN
Riesgo de Negocio - “La posibilidad de que un evento o acción, interna o externa, afecte adversamente la capacidad de una organización para ejecutar exitosamente sus estrategias y alcanzar sus objetivos”. La AIRN es el proceso de identificación y gestión global de los riesgos clave del negocio con el objeto de mitigar la exposición total de la entidad. Business is full of uncertainty and the uncertainty about future cash flows is at the heart of our view of business risk.

6 Un enfoque para toda la entidad ayuda a ver el riesgo y la oportunidad desde un punto de vista integral La Administración Integral de Riesgos de Negocio: Optimiza oportunidades, riesgos, crecimiento y capital Sistemáticamente evalúa y gestiona riesgos Consolida riesgos y oportunidades para mejorar resultados Es parte integral del proceso de toma de decisiones de la gerencia Enriquece el Gobierno Corporativo a través de una estructura de supervisión Here’s a high level sketch of EWRM: It is a strategic business process designed to optimize opportunities, risk, growth and capital. It is a systematic and disciplined approach to assessing and managing the level of your exposures to business uncertainties -- for all sources of value. Through EWRM, risks and opportunities are aggregated into pools to focus decision-making and improve performance for the organization as a whole. It integrates risk management with the management of the business. It enhances Corporate Governance through an effective organizational oversight structure. To sum it up, EWRM links risk and opportunity and positions business risk management as a source of competitive advantage.

7 Definición de administración integral de riesgos
“La AIR es un enfoque estructurado y disciplinado que coordina estrategias, procesos, recursos humanos, tecnológicos y conocimientos con el fin de evaluar y administrar los riesgos enfrentados” Gente Procesos Estrategia Here we have a definition of EWRM. (Review definition.) “Enterprise-wide” means just that: an elimination of functional, departmental or cultural barriers so that a truly holistic, integrated, forward-looking and process-oriented approach is taken to manage all key business risks and opportunities—not just financial ones—with the intent of maximizing shareholder value for the enterprise as a whole. EWRM is not a “one-size-fits-all” solution. The implementation for one company will differ from another in accordance with its business model and strategies, its organizational structure, its culture and its financial resources. However, there are several essential elements of EWRM which are being implemented consistently by companies who are taking this journey. Tecnología Conocimiento

8 Proceso de administración integral de riesgos
“La AIR está basada en un proceso, lo que implica un enfoque sistemático para desarrollar las capacidades de Administración de Riesgos” Establecer el proceso de AIR Metas y Objetivos Lenguaje común Estructura de supervisión Evaluar los Riesgos del Negocio Identificar Determinar la fuente Medir Desarrollar Estrategias de AR Mejora Continua de las Capacidades de AR Información para la Toma de Decisiones Process owners need a framework, and as process owners, they will appreciate a process-oriented approach. Although the specific process itself may vary somewhat from company to company, our BRMP captures the fundamental elements. The BRMP also provides an excellent context for understanding the essential elements of EWRM. Evitar Retener Reducir Aprovechar Transferir Diseñar / Implementar Capacidades de AR Monitorear Desempeño de AR

9 Estrategias básicas de administración de riesgos
Aceptar Rechazar Si El riesgo es inherente en el modelo de negocio o normal para las operaciones futuras. No Fuera de estrategia Ofrece recompensas no atractivas Retener Reducir Transferir Aprovechar Evitar Dejar el riesgo – fijar nuevo precio, asegurar o planear dependiendo de los niveles de tolerancia Controlar o dispersar el riesgo Requiere una contraparte independiente financieramente capaz que esté de acuerdo en aceptar el riesgo Puede incrementar la exposición y posiblemente conduzca al supuesto de riesgo adicional, mientras que al mismo tiempo se incrementa la ventaja competitiva Incluye cualquier acción necesaria para eliminar completamente todos los elementos de la exposición a un riesgo específico

10 Modelo de riesgos de negocio
Incertidumbres que afectan la viabilidad de nuestro modelo de negocios Riesgos del entorno Incertidumbres que afectan la ejecución de nuestro modelo de negocios Fuentes de Incertidumbre Riesgos de procesos The Business Risk ModelTM encompasses three components of business risk that provide a broad foundation from which more specific categories of risk can be identified and detailed. These components are depicted here. [Talk through visual.] There are 75 specific risk categories that apply to these three components comprising the model. Incertidumbres acerca de la pertinencia y confiabilidad de la información sobre la cual se basan nuestras decisiones Riesgos de información Para la toma de decisiones

11 Modelo para identificar la fuente de riesgos críticos
Riesgos del entorno Competencia, Regulatorio, Industria, Otro Riesgos de procesos Riesgo Operacional Riesgo de Facultades Procesamiento de Información / Riesgo Tecnológico Riesgo Financiero Riesgo de Integridad Proprietary model to provide a helpful framework to: Establish a common risk language Identify and source key business risks Prioritize RM actions Considers process view and useful tool in managing the “white space” Riesgos de informacion para la toma de decisiones Operacional Financiera Estratégica

12 POSIBILIDAD DE OCURRENCIA POSIBILIDAD DE OCURRENCIA
Mapa de riesgo Los mapas de riesgo nos ayudan a colocar todos los riesgos identificados en perspectiva. Es una herramienta indispensable en la etapa de priorización. POSIBILIDAD DE OCURRENCIA Traduciendo el Mapa de Riesgo en acciones concretas…. SIGNIFICANCIA A través de la clasificación de riesgos según la posibilidad de ocurrencia y la significancia del impacto, identificamos los temas más urgentes para usar mejor los recursos escasos. Acciones urgentes son requeridas para aquellos riesgos que tiene tanto una alta posibilidad de ocurrencia y alta significancia, dado que ellos son los que más afectarían al fracaso de la empresa. Los riesgos que son tanto de baja significancia como de baja posibilidad de ocurrencia no requieren ninguna acción, pues representan las ganancias y pérdidas habituales en el normal desenvolvimiento de la operaciones del negocio. Los temas que son o de alta significancia o de alta posibilidad de ocurrencia (pero no ambos), representan pérdidas inesperadas que deben ser absorbidas por las reservas de capital. Evaluar el costo beneficio Acción urgente POSIBILIDAD DE OCURRENCIA Mínima prioridad Evaluar el costo beneficio SIGNIFICANCIA

13 Infraestructura de administración integral de riesgos
La infraestructura debe ser coherente y alineada en sus componentes: Estrategias y Políticas Procesos Estructura Reportes de Gestión Modelos y Metodologías Sistemas e Información Información no esta disponible para análisis Reportes no proveen información relevante Metodologías no tienen información adecuada Procesos no se alinean a estrategias Personas no realizan procesos I have referred to capabilities from time to time during this briefing. There are six components of infrastructure that define a risk management capability. While not necessarily intended as a strictly linear process, the components on the visual are generally designed from left to right. For example, strategies drive the design of processes, processes dictate the organization of people and the skills needed, and so on. The use of this structure helps organize the otherwise complex network of risk management activities into a comprehensive and consistent framework. In particular, it ensures that all key components are appropriately considered. For example, by adequately developing processes and human capabilities first, the common problem of placing undue emphasis on models and systems is avoided. Models and systems, therefore, support processes and people. [Note: This script covers the bottom half of the visual.] One other point: if any one component of infrastructure is deficient, the effectiveness of other components can be significantly diminished. For example, if relevant and reliable data is not available, the value of reports to management is reduced (and may even be misleading). If reports do not provide appropriate information, risk owners cannot execute the processes for which they are accountable. Consequently, related processes fail to achieve the risk management strategy. The effect, therefore, is cumulative.

14 Beneficios aportados por la AIR
Las empresas implementan el enfoque de AIR para mejorar el desempeño e incrementar el valor de mercado: Conocimiento Mejorado del Riesgo Incremento en Confianza Toma de Decisiones Coordinada Mejora en entendimiento de riesgos que afectan utilidades y capital Cuantificación de efectos de estrategias alternativas Prever y comunicar incertidumbres asociadas a metas de desempeño Administración de riesgos a costos más bajos que la competencia Adecuada evaluación de riesgos inherentes en transacciones Mayor certidumbre por procesos sistemáticos de evaluación de riesgos Mejora en la transparencia de riesgos e involucramiento de los accionistas Asumir riesgos que intimidan a la competencia Establecimiento de límites de riesgo Mejora en la asignación de recursos y capital Integración de AR con planeación estratégica Enfoque de portafolios a la AR The key benefit of implementing a world-class RM function at BG is shareholder value enhancement.

15 Poner en marcha la AIR Dirigir desde la alta gerencia
Involucrar a ejecutivos clave Crear una visión de AIR Establecer objetivos realistas Integrar en los procesos de planeación estratégica y de negocios Desarrollar un plan de acción Identificar prioridades para actuar Identificar los riesgos y priorizarlos Pensar en lo impensable, prevenir sorpresas es el corazón de la AR Dominar los riesgos inherentes en el modelo de negocio Aplicar un perspectiva de riesgo a los principales eventos de cambio It all starts at the top. Mobilize by organizing a working group of key executives empowered to act. Present a persuasive business case for change. Create a vision for EWRM. Set realistic goals in defining the journey from where the company is today to where it wants to go. Develop a plan for action to meet those goals Companies also must identify priorities for action. For example: Take stock of your opportunities, then identify your risks. Here we start thinking strategically about risk and opportunity. Think about the unthinkable -- preventing surprises is at the heart of risk management. It leads to specific actions and contingency plans. Master the make-or-break risks inherent in your business model. This is where it starts. These are the risks the organization has elected to take. Apply a risk perspective to major change events, i.e. major mergers and acquisitions, implementation of new systems, reengineering business processes, predatory competitor acts, regulatory and political shifts and other change events. Business risk management is much more than deciding what risks to avoid or hedge. It is also about deciding on the best risks to take to create value in the new economy.

16 En resumen… Los exitosos comprenden los riesgos y crean valor ante la incertidumbre. La AIR es un cambio de actitud que requiere de un enfoque a la medida y un proceso de cambio efectivo guiado desde el más alto nivel de la organización. La AIR es un proceso continuo y no una serie de ejercicios únicos. Hoy se pueden controlar los riesgos, mañana será diferente y hay que anticiparnos. La AIR afecta la forma en que pensamos e implica sobrellevar un cambio cultural y no puede ocurrir de un día para otro. In summary: EWRM is a journey into the future of business management It is a “journey” because those who are on the path recognize that the transition cannot happen overnight EWRM represents a new value proposition for risk management; its achievement requires an effective change process EWRM is not a “product” that will be available on a shelf after a number of visionary ‘role model’ firms demonstrate successful implementations EWRM is a cultural change that must be driven from the top of and be customized to each organization

17 Mejores prácticas en Control Interno. La Ley Sarbanes Oxley.
Septiembre 2008

18 ¿Qué es el Control Interno?
El Control Interno significa diferentes cosas para diferentes personas. Personal Facultado en el tema define el Control Interno* como: el proceso diseñado para proveer una seguridad razonable en relación con el logro de los objetivos de la organización. Los tres objetivos principales que tiene el Control Interno son: Promover eficiencia en las operaciones Asegurar confiabilidad en la información financiera Mantener el cumplimiento con las leyes y regulaciones aplicables. “El control interno ayuda a la entidad a llegar a donde quiere llegar, evitando los peligros y sorpresas que puedan suceder a lo largo del camino” * Marco Integrado - Control Interno, Committee of Sponsoring Organizations (COSO) of the Treadway Commission

19 ¿Por qué el Control Interno es importante?
Financiero Promover la integridad de los datos en la toma de decisiones del negocio. Asistir en la prevención y detección de fraudes a través de la creación de un rastro de evidencia auditable. Operacional Promover eficiencia y eficacia en las operaciones a través de los procesos estandarizados. Asegurar la salvaguarda de los activos a través de las actividades de control De Cumplimiento Ayudar a mantener el cumplimiento con las leyes y regulaciones a través de un monitoreo periódico

20 Eventos Seleccionados en la Evolución del Control Interno
1970 1980 1990 2000 A mediados de los 70s Investigación del “Escándalo Watergate” Inicios -1980s Incrementó el enfoque en Control Interno y cumplimiento 1992 Publicación del Marco Integrado de Control Interno-COSO 2002 Ley Sarbanes-Oxley 1977 Ley de prácticas de corrupción extranjeras (Foreign Corrupt Practices Act- FCPA) 1990s – 2000 Continúa el enfoque en Controles Internos, Riesgos Administrativos y responsabilidades (Blue Ribbon Commission, Competency Framework for Internal Audit) 1985 Comisión Nacional de Informes Financieros Fraudulentos - (Treadway Commission)

21 Como todo inicio... A mediados de los 70s, la SEC y el fiscalista especial del Escándalo Watergate, se enfocaron en el control interno. Ciertas corporaciones realizaron pagos ilícitos, incluyendo sobornos a funcionarios del gobierno. La Ley de Prácticas de Corrupción Extranjeras (Foreign Corrupt Practices Act -FCPA) de 1977 fue resultado de las investigaciones del Escándalo Watergate y de la participación de la SEC. Una de las consideraciones de la Ley respecto al Control Interno es que éste debe ser un elemento adicional para prevenir la realización de pagos ilegales. Al inicio de los 80s, se dió un creciente enfoque dirigido al ambiente de control y a los procesos de control interno. La Comisión Nacional de Informes Financieros Fraudulentos, conocida como Treadway Commission, fue creada en 1985 y pretende: Identificar los factores que causan informes financieros fraudulentos Hacer recomendaciones para reducir incidencias.

22 La Evolución Continúa... La Treadway Commission emitió un reporte sobre Informes Financieros Fraudulentos en el cual: Se enfatizó en el ambiente de control, en los códigos de conducta, y en el involucramiento de Comités de Auditoría Se realizó un llamado a diferentes organizaciones para integrar varios comités y desarrollar un punto de referencia común. El resultado fue el Committee of Sponsoring Organizations (COSO) El modelo COSO incorporó el aprendizaje de otros modelos existentes (ej. CoCo, Cadbury, Turnbull, etc.) COSO desarrolló y publicó, un criterio ampliamente aceptado para establecer evaluaciones efectivas sobre el control interno Definió un criterio común de control y un modelo de ambiente de control – “Control Interno – Marco Integrado”. Establece el medio para monitorear, evaluar e informar respecto al control interno. Resume los roles y responsabilidades de la gerencia.

23 La Evolución Continúa... Blue Ribbon Commission
Enfocado a fortalecer la independencia de los Comites de Auditoría, definiendo la confiabilidad y aprobando la efectividad. Informe emitido en 1999, destacando 10 recomendaciones y requerimientos para los Comites de Auditoría. Reglas aplicadas por la SEC, NASDAQ, NYSE, AICPA. Marco de competencia para Auditoría Interna (CFIA) Emitido por el Instituto de Auditores Internos Define la aportación de “valor agregado” de los departamentos de auditoría interna del futuro. Auditoría Interna deberá proveer aseguramiento acerca de la exposición de la compañía al riesgo y sobre estrategias de control

24 La Evolución Continúa... Ley Sarbanes-Oxley CONCLUSIÓN:
Ley firmada en Julio 2002 Requiere responsabilidad ejecutiva para la infraestructura de control interno. Certificación trimestral de estados financieros y testimonio anual de la efectividad de la infraestructura de controles internos. CONCLUSIÓN: Las organizaciones están siendo continuamente conducidas hacia la aplicación de estándares mas elevados de control interno y administración de riesgos

25 Obligaciones y oportunidades derivadas de los objetivos de la Ley Sarbanes Oxley
Restaurar la confianza del público en el mercado público de valores Mejorar el gobierno corporativo y promover prácticas éticas de negocios Mejorar la transparencia e integridad de los estados financieros y sus revelaciones Asegurar que los ejecutivos de la compañía estén conscientes de la información financiera al emanar de un ambiente bien controlado Hacer responsable a la administración de la compañía de información material que es presentada ante la SEC y liberada a los inversionistas Alcanzar nuevos niveles de excelencia corporativa

26 Principales requerimientos
Implicación en la información 302 Errores en los reportes podrían ocasionar penas legales a los directivos — exactitud Ambigüedad entre ‘oportuna’ y ‘material’----oportunidad Requiere documentación, evaluación y remediación de controles internos duros transparencia y exactitud Requiere que el CEO y el CFO certifiquen los reportes entregados periódicamente a la SEC. 409 Requerimiento de revelar cualquier cambio material de manera oportuna 404 Requerimiento de entregar un reporte sobre el Control Interno 802 Secciones de la Ley Sarbanes-Oxley Retención y protección de documentos y registros de auditoría Digitalización y fácil acceso a registros históricos, incluyendo correspondencia y correos electrónicos — exactitud Otros requerimientos 103 Retención y salvaguarda de documentos de auditoría 201 Monitoreo y pre-aprobación de servicios diferentes a la auditoría 301 Monitoreo de quejas por parte del Comité de Auditoría 306 Monitoreo y prevención de operaciones con información privilegiada 401 Revelación de información financiera 402 Monitoreo y prevención de préstamos a ejecutivos 403 >10% Revelación de tenencia accionaria en dos días hábiles 406 Creación y revelación del Código de Ética 407 Revelación de expertos financieros en el Comité de Auditoría 408 Simplificación de revisiones de la SEC 501 Monitoreo y revelación de analista de valores 806 Comunicación y recepción de denuncias 906 Certificación de la información financiera 1102 Retención y salvaguarda de información Sarbanes–Oxley y sus regulaciones buscan asegurar un mínimo de calidad, exactitud, transparencia y oportunidad en la preparación de información financiera.

27 Comprendiendo los Requerimientos, Sección 404
Resumen de los Requerimientos Requiere que anualmente la Administración: Declare su responsabilidad por establecer y mantener una estructura de control interno adecuada y procedimientos para reporte financiero Conducir una evaluación de la eficacia de los controles internos y procedimientos para reporte financiero de la Compañía Requiere al auditor independiente que: Atestigüe la evaluación de la Administración. El objetivo del auditor en una Auditoría al control interno sobre la información financiera, es expresar una opinión sobre las aseveraciones hechas por la Dirección respecto al control interno sobre la información financiera. Para formarse dicha opinión, el auditor debe planear y ejecutar su Auditoría para obtener una seguridad razonable respecto a si la compañía mantuvo, en todos sus aspectos importantes, control interno efectivo sobre la información financiera a la fecha indicada en el reporte hecho por la gerencia. Sección 404

28 Comprendiendo los Requerimientos, Sección 404
La información necesaria para soportar la afirmación incluye: Información acerca del ambiente de control de la compañía Documentación del proceso para identificar, clasificar y evaluar el riesgo Documentación de los objetivos de control para cubrir riesgos identificados y actividades de control relacionadas Documentación de sistemas de información y procedimientos de comunicación Documentación del proceso de creación, de revelación y actividades de control relacionadas Resultados de la última evaluación de controles de la administración Lista de las deficiencias encontradas y procedimientos propuestos para remediarlas Documentación del proceso de comunicación de deficiencias Documentación de los procedimientos de monitoreo Ausencia de la información mencionada puede resultar en que la administración no tenga la documentación necesaria para soportar su afirmación.

29 Comprendiendo los Requerimientos, Sección 404
COSO En los Estados Unidos, el Committee of Sponsoring Organizations ("COSO") de la Comisión Treadway publicó el Marco Integrado de Control Interno. El cual es conocido como el reporte COSO, y proporciona una marco adecuado para los propósitos de la evaluación por parte de la gerencia.

30 Sistemas de información Validación conjunta con el auditor externo
Comprendiendo los Requerimientos, Sección 404 “Divisiones / Empresas / Ciclos de negocios / Procesos” Partiendo de los estados financieros consolidados se determina el monto sobre el cual se definirá si determinada entidad / ciclo / proceso, en cada una de las divisiones que forman el grupo, será sujeto a diagramación e identificación de objetivos y actividades de control. Estados Financieros consolidados Cuentas materiales en BG y ER Divisiones Entidades Entidades Entidades Ciclos de negocio Sistemas de información Validación conjunta con el auditor externo

31 Cuentas individuales en BG y ER por entidad
Comprendiendo los Requerimientos, Sección 404 “Divisiones / Empresas / Ciclos de negocios / Procesos” A partir de la selección de las entidades con operaciones materiales y riesgos identificados, se lleva a cabo el “mapeo” del Macroproceso relativo al ciclo seleccionado. Una vez mapeado el macroproceso, utilizando ciertos factores clave de decisión, se seleccionan los procesos sobre los cuales se identifican Riesgos, Objetivos y Actividades de control. Dichos procesos se relacionan con cuentas contables específicas. Sobre una plataforma tecnológica uniforme que permita automatizar gran parte de los controles. Divisiones Entidades Entidades Entidades Ciclos de negocio Macroproceso Procesos Cuentas individuales en BG y ER por entidad Sistemas de información

32 Cuentas individuales en BG y ER por entidad
Comprendiendo los Requerimientos, Sección 404 “Divisiones / Empresas / Ciclos de negocios / Procesos” Divisiones Entidades Entidades Entidades Ciclos de negocio Macroproceso Procesos Procesos Cuentas individuales en BG y ER por entidad Procesos Sistemas de información Procesos

33 Comprendiendo los Requerimientos, Sección 404
“Divisiones / Empresas / Ciclos de negocios / Procesos” Empresas X Empresas X Empresas X Empresas X Empresas X Empresas X N/A

34 Comprendiendo los Requerimientos, Sección 404
Matriz de controles

35 Comprendiendo los Requerimientos, Sección 404
Sentido de Urgencia Las compañías deben estar preparadas para soportar sus afirmaciones y proporcionar soporte a los auditores independientes Se debe desarrollar un programa de control interno El nivel de esfuerzo es significativo Diseminar un marco de referencia de control interno Documentar controles Evaluar la eficacia de controles Debido a que la evaluación formal y el reporte de los auditores externos es a la fecha de cierre de la compañía, se requiere tiempo para remediar las deficiencias de control potenciales Algunas deficiencias de control pueden requerir de un lapso significativo de tiempo de los directores para corregirlas Los auditores independientes necesitan suficiente tiempo para planear y ejecutar su trabajo Los auditores independientes serán requeridos a hacer más pruebas de controles

36 Sección 404. Después de la autoevaluación...
Estándar No. 2 En junio de 2003, la “SEC” (Securities and Exchange Commission) reformó sus reglas respecto al “Securities Exchange Act of 1934”. La reforma a la regla requiere que las compañías incluyan en su informe anual un reporte hecho por la dirección respecto a la efectividad del control interno sobre la información financiera, así como un reporte hecho por los auditores externos. En marzo de 2004, el Public Company Accounting Oversight Board (PCAOB) aprobó y emitió el “Standard No. 2” An Audit of Internal Control over Financial Reporting Performed in Conjunction with an Audit of Financial Statements.

37 Sección 404. Después de la autoevaluación...
El objetivo del auditor en una auditoría al control interno sobre la información financiera, es expresar una opinión sobre las aseveraciones hechas por la Dirección respecto al control interno sobre la información financiera. Para formarse dicha opinión, el auditor debe planear y ejecutar su auditoría para obtener una seguridad razonable respecto a si la compañía mantuvo, en todos sus aspectos importantes, control interno efectivo sobre la información financiera a la fecha indicada en el reporte hecho por la gerencia. El auditor, como todos los años, debe auditar la situación financiera de la empresa a una fecha determinada, ya que la información que el auditor obtenga durante su auditoría es relevante en la conclusión respecto a la efectividad del control interno sobre la información financiera. Mantener un control interno efectivo significa que no existen “debilidades materiales”. Por lo tanto, el objetivo de una auditoría de control interno es obtener seguridad razonable de que no existan “debilidades materiales” a la fecha especificada en la aseveración de la Dirección.

38 Sección 404. Después de la autoevaluación... Deficiencias y debilidades
Una de las tareas más complicadas en el análisis del control interno se refiere a la clasificación de deficiencias y/o debilidades. Determinar la definición y/o naturaleza correctamente es vital, por lo que esto debe expandirse a todos los niveles de la empresa. El PCAOB ofrece las siguientes definiciones: Una deficiencia de control existe cuando el diseño o la operación del control no permite a la administración o a los empleados, prevenir o detectar errores en el curso normal de operaciones, de manera oportuna. Una deficiencia en diseño existe cuando: Un control necesario para cumplir el objetivo de control esta ausente o Un control existente no está adecuadamente diseñado, y por la tanto aunque opere según fue diseñado, el objetivo de control no siempre se cumple. Una deficiencia en operación existe cuando un control adecuadamente diseñado no opera según fue diseñado, o cuando la persona responsable del control no cuenta con las atribuciones o la capacidad necesarias para llevar a cabo el control eficientemente.

39 Sección 404. Después de la autoevaluación... Deficiencias y debilidades
Una deficiencia significativa es una deficiencia de control, o una combinación de éstas, que afectan de manera adversa la habilidad de la compañía para iniciar, autorizar, registrar, procesar, o reportar información financiera a terceros de manera confiable y de acuerdo con principios de contabilidad generalmente aceptados, de tal forma que haya una posibilidad más que remota de que un error en la información financiera intermedia o anual de la compañía, que se considere material pueda o no ser prevenido o detectado. Una debilidad material es una deficiencia de control, o una combinación de estas, que resulta en una posibilidad más que remota de que un error en la información financiera intermedia o anual de la compañía, que se considere material pueda o no ser prevenido o detectado.

40 Contacto: Alfonso Gómez 3686-2400 ext. 1217 agomez@dfk.com.mx