Facultad Ciencias Económicas Empresariales Especialización de Revisoría Fiscal Modulo : AUDITORIA DE SISTEMAS Orientador: Fernando Rada Barona Cali, Colombia

Herramientas evaluación sistema de control interno COSO – COBIT-SEGURIDAD

COSO Mejores prácticas de Tecnologías Informáticas

Herramientas evaluación sistema de control interno ISAE 3000 – Elementos de Aseguramiento del Control MODELO DE REFERENCIA COSO 2013 y COSO ERM OBJETIVOS Monitoring Information and Communication Control Activities Risk Response Risk Assessment Event Identification Objective Setting Internal Environment STRATEGIC OPERATIONS REPORTING COMPLIANCE ENTITY - LEVEL DIVISION BUSINESS UNIT SUBSIDIARY NIVELES DE LA ORGANIZACIÓN COMPONENTES

Herramientas evaluación sistema de control interno ISAE 3000 – Elementos de Aseguramiento del Control MODELO DE REFERENCIA COSO EMPRESA Sistema Gestión Control Interno Misión Visión Estrategias Políticas y Lineamientos Factores críticos de éxito Medidas de desempeño Operaciones Terrestres Servicios maritimos RH Facturación Gestión por procesos / riesgos Fortalecimiento de la cultura organizacional Medición y mejoramiento continuo

Herramientas evaluación sistema de control interno ISAE 3000 – Elementos de Aseguramiento del Control ESTRUCTURA DE LOS PRINCIPIOS Y ATRIBUTOS MODELO COSO 2013 1. Demuestra compromiso con la integridad y los valores éticos 2. Ejerce responsabilidad de supervisión 3.Establece estructura, autoridad y responsabilidad 4. Demuestra compromiso para la competencia 5. Fortalece la medición de resultados 6. Especifica objetivos adecuados 7. Identifica y analiza los riesgos 8. Evalúa el riesgo de fraude 9. Identifica y analiza cambios significativos 16. Lleva a cabo evaluaciones permanentes y / 0 separadas 17. Evalúa y comunica las deficiencias16 ENTORNO DE CONTROL GESTION DE RIESGOS ACTIVIDAD DE CONTROL INFORMACION SUPERVISION Y MONITOREO 10. Selecciona y desarrolla actividades de control 11. Selecciona y desarrolla controles generales de tecnología 12. Implementa a través de políticas y procedimientos 13. Utiliza información relevante 14. Comunica internamente 15. Comunica externamente ATRIBUTOS 20 17 16 14 10

Herramientas evaluación sistema de control interno ISAE 3000 – Elementos de Aseguramiento del Control ESTRUCTURA DE LOS PRINCIPIOS Y ATRIBUTOS MODELO COSO 2013 COMPONENTE DESCRIPCION Entorno de control Es el conjunto de estándares, procesos y estructuras que proveen la base para ejecutar el proceso de control interno a través de la organización. Demuestra compromiso con la integridad y los valores éticos Ejerce responsabilidad de supervisión Establece estructura, autoridad y responsabilidad Demuestra compromiso para la competencia Fortalece la medición de resultados Evaluación de Riesgo Una entidad enfrenta riesgos externos e internos; El riesgo es definido como la posibilidad de que un evento que ocurra afecte adversamente el cumplimiento de objetivos. La evaluación de riesgos es un proceso dinámico e interactivo. Especifica objetivos adecuados Identifica y analiza los riesgos Evalúa el riesgo de fraude Identifica y analiza cambios significativos Actividad de control Son las actividades que se establecen a través de políticas y procedimientos para ayudar a la alta gerencia a mitigarlos riesgos que se pueden presentar para el cumplimiento de los objetivos.. Información y comunicaciones La información es necesaria para que la entidad pueda llevar a cabo sus responsabilidades de control interno y soportar el cumplimiento de objetivos. La comunicación es un proceso continuo e iterativo de proveer, compartir y obtener la información necesaria Seguimiento y monitoreo Evaluaciones permanentes, evaluaciones independientes o una combinación de las dos para realizar un aseguramiento de los cinco componentes de control interno, validando que cada uno de los componentes existe y está funcionando efectivamente

Herramientas evaluación sistema de control interno ISAE 3000 – Elementos de Aseguramiento del Control COSO 2017: Gestión de Riesgos Empresariales – integrado con estrategia y desempeño Gestión de Riesgos Empresariales (COSO ERM 2017) Mayor comprensión del valor de la gestión de riesgo para definir y ejecutar la estrategia Alineación entre desempeño y gestión de riesgos Acondiciona de mejor manera las expectativas de gobierno y supervisión Reconoce la globalización de los mercados y las operaciones, así como el incremento de la volatilidad, complejidad y ambigüedad de los negocios Presenta nuevos caminos para ver el riesgo, para alcanzar los objetivos en un contexto de negocios de alta complejidad Mayor transparencia hacia los Stakeholders Interpreta la evolución de la tecnología y la proliferación del análisis de datos que soporta la toma de decisiones. Establece definiciones claves, componentes y principios para todos los niveles de la gestión de riesgos 5 Componentes 20 Principios Puntos de enfoque detallados

Herramientas evaluación sistema de control interno ISAE 3000 – Elementos de Aseguramiento del Control COSO 2017: Gestión de Riesgos Empresariales – integrado con estrategia y desempeño Gestión de Riesgos Empresariales (COSO ERM 2017) El Marco de Gestión de Riesgos Empresariales – integrado con estrategia y desempeño (COSO 2017) aclara la importancia de la gestión de riesgos empresariales en la planeación estratégica y la incorpora a toda la organización, ya que el riesgo influye y están alineados a la estrategia y el desempeño en todas las áreas, departamentos y funciones. COMPONENTE DESCRIPCION Gobierno y Cultura El gobierno establece el tono de la organización, reforzando la importancia de, y estableciendo responsabilidades de supervisión, para la gestión de riesgos empresariales. La cultura se refiere a valores éticos, comportamientos deseados y comprensión del riesgo en la entidad. Estrategia y objetivos Gestión de riesgos empresariales, estrategia y objetivos trabajan juntos en el proceso de planeación estratégica. El apetito al riesgo es definido y alineado con la estrategia; los objetivos de negocio ponen la estrategia en practica mientras sirve para identificar, evaluar y responder a los riesgos. Desempeño Riesgos que pueden afectar el logro de la estrategia y los objetivos de negocio pueden ser identificados y evaluados. Riesgos son priorizados por severidad y en el contexto del apetito al riesgo. La organización selecciona las respuestas al riesgo y toma el riesgo que ha asumido. Revisión Para revisar el desempeño de la entidad, una organización puede considerar qué tan bien funcionan los componentes de gestión de riesgos empresariales a lo largo del tiempo a la luz de cambios sustanciales y qué revisiones se necesitan. Información, comunicación y reporte La gestión de riesgos empresariales requiere un proceso continuo para obtener y compartir información necesaria, de fuentes internas y externas, que fluya en todas las direcciones y a través de toda la organización.

DIAGNOSTICO ESTADO DE MADUREZ SISTEMA DE CONTROL INTERNO Herramientas evaluación sistema de control interno DIAGNOSTICO ESTADO DE MADUREZ SISTEMA DE CONTROL INTERNO ISAE 3000 – Elementos de Aseguramiento del Control ESTRUCTURA DE LOS PRINCIPIOS Y ATRIBUTOS MODELO COSO ERM Gobierno y Cultura Estrategia y definición de objetivos Desempeño Análisis y Revisión Información, comunicación y presentación de informe 1. Ejerce la función de supervisar los riesgos del consejo 2. Establece estructuras operativas 3. Define la cultura deseada 4. Demuestra compromiso con los valores básicos 5. Atrae, desarrolla y retiene al personal capacitado 6. Analiza el contexto de negocios 7. Determina el apetito de riesgo 8. Evalúa estrategias alternativas 9. Formula objetivos de negocios 10. Identifica riesgos 11. Evalúa la severidad de los riesgos 12. Prioriza los riesgos 13. Implementa las respuestas ante los riesgos 14. Desarrolla la visión de la cartera 15. Evalúa cambios importantes 16. Revisa los riesgos y el desempeño 17. Busca mejorar la administración de riesgos empresariales 18. Aprovecha la información y la tecnología 19. Comunica información sobre los riesgos 20. Elabora reportes de riesgos, cultura y desempeño

Herramientas evaluación sistema de control interno ISAE 3000 – Elementos de Aseguramiento del Control ESCALA DE MADURACIÓN MODELO COSO 0-20 NO CONFIABLE: Las actividades de control no están diseñadas o no están implementadas. El ambiente de control es impredecible 21-40 INFORMAL: Las actividades de control están diseñadas e implementadas pero no están documentadas adecuadamente o su aplicación en las áreas y procesos críticos de la entidad son inconsistentes 41-60 ESTANDARIZADO: Actividades de control diseñadas, implementadas y adecuadamente documentadas, pero se aplica en un número reducido de áreas y procesos críticos de la entidad. 61-85 MONITOREADO: Controles estandarizados, se aplica en la mayoría de áreas y procesos críticos de la entidad. Se evalúa periódicamente el diseño y la efectividad operacional y se reporta a la gerencia. >85 OPTIMIZADO: Los controles están integrados, se aplican en todas las áreas y procesos críticos de la entidad. Existe un monitoreo por parte de la gerencia en tiempo real, mejoramiento continuo.

Herramientas evaluación sistema de control interno ISAE 3000 – Elementos de Aseguramiento del Control CONSOLIDADO POR COMPONENTES De acuerdo con los resultados del sistema de autoevaluación de estándares utilizado, se ha determinado que el SCI, tiene la calificación promedio de los componentes del modelo de 69,18 lo cual indica que esta en un nivel MONITOREADO por lo que resulta importante que se propongan acciones pertinentes que permitan superar este estado en el que se encuentra, a fin de instaurar un SCI sólido y confiable, procurando concentrar esfuerzos en aquellos procesos que requieren atención de la Gerencia y los líderes de los procesos. MADUREZ COMPONENTES - COSO Mejor practica

Herramientas evaluación sistema de control interno ISAE 3000 – Elementos de Aseguramiento del Control CONSOLIDADO POR PRINCIPIOS Las ponderaciones de la percepción sobre los controles internos implementados en la organización indican que se debe mejorar sustantivamente en los componentes de evaluación de riesgos, información y comunicaciones y monitoreo donde se denotando que existen oportunidades para consolidar las deficiencias encontradas de acuerdo con las desviaciones del promedio y la mejor práctica. En este consolidado se evaluaron los 17 principios de los 5 componentes. Mejor practica

Herramientas evaluación sistema de control interno ISAE 3000 – Elementos de Aseguramiento del Control EVALUACION ENTORNO DE CONTROL El componente de Entorno de Control acuerdo con la evaluación realizada se encontró que el estado de este componente se encuentra en un promedio de calificación de los encuestados de 72.43 ubicándose en un estado de MONITOREADO, esto indica que aunque se cuenta con un entorno de control definido, se debe fortalecer este componente en algunos temas específicos como El Código de Ética, Principios de un Gobierno Corporativo, la Gestión de Recursos Humanos, La Gestión de la Cultura en donde se plantea la optimización y fortalecimiento organizacional del Control Interno. Mejor practica

Herramientas evaluación sistema de control interno ISAE 3000 – Elementos de Aseguramiento del Control EVALUACION DE RIESGO El componente de Riesgo de acuerdo con la evaluación recibida nos dio una menor calificación 58,56 ubicándose en un estado ESTANDARIZADO, lo que se debe básicamente crear el área para la Gestión del riesgo, con metodología estandarizada para la identificación, evaluar, analizar, calificar y tratar los riesgos. Mejor practica

Herramientas evaluación sistema de control interno ISAE 3000 – Elementos de Aseguramiento del Control ACTIVIDADES DE CONTROL El componente de Actividad de Control según la evaluación realizada se encontró en un estado MONITOREADO, con un promedio de calificación de los encuestados de 80.06 esto indica que cuenta con procedimientos estructurados para la revisión de controles y adicionalmente se ha definido a nivel organizacional los conceptos de control. Con el fortalecimiento del área de gestión de riesgos y de la Gestión de la Cultura se podrá tener un nivel más apropiado para el aseguramiento de los procesos y sus resultados. Mejor practica

Herramientas evaluación sistema de control interno ISAE 3000 – Elementos de Aseguramiento del Control INFORMACIÓN Y COMUNICACIÓN. El componente de Información y Comunicación de acuerdo con la evaluación realizada se encontró que el estado de este componente se encuentra en un promedio de calificación de los encuestados de 65,67 ubicándose en un estado de MONITOREADO debida probablemente a la falta de un proceso o canales apropiados para comunicar la información requerida para permitir a todo el personal comprender y ejecutar sus responsabilidades de Control Interno igual que los públicos de interés. Mejor practica

Herramientas evaluación sistema de control interno ISAE 3000 – Elementos de Aseguramiento del Control SEGUIMIENTO Y MONITOREO El componente de Seguimiento y Monitoreo de acuerdo con la evaluación realizada se encuentra en un promedio de calificación de los encuestados de 66,52 ubicándose en un estado MONITOREAD esto indica que aunque las actividades de monitoreo y seguimiento se encuentran formalizadas y soportadas, no se cuenta con procedimientos o métodos para realizar evaluaciones concurrentes y separadas con personal con suficiente conocimiento para comprender que es lo que se debe evaluar. Mejor practica

Herramientas evaluación sistema de control interno ISAE 3000 – Elementos de Aseguramiento del Control DIAGNOSTICO ESTADO DE MADUREZ SISTEMA DE CONTROL INTERNO

Herramientas evaluación sistema de control interno ISAE 3000 – Elementos de Aseguramiento del Control