Seguridad y Auditoria de Sistemas Ciclo 2009-1 CONTROL INTERNO Seguridad y Auditoria de Sistemas Ciclo 2009-1 Ing. Yolfer Hernández, CIA

Temario - Control Interno Definición del Sistema de Control Interno - Coso Mapa de Procesos - objetivos COSO Modelos de Riesgo – Evaluación COSO Sistemas de control: COSO Ambiente de Control COSO Actividades de control Tipos de Control y caracteristicas Componentes COSO – Información y Comunicación COSO – Monitoreo (Evaluaciones)

Sistema de Control Interno Mapa de Procesos GESTIÓN DEL NEGOCIO Modelo de Riesgos Modelo de Controles Evaluación de Controles

Sistema de Control Interno - Coso COSO: Su Modelo Tridimensional proporciona los criterios para evaluar los controles internos OBJETIVOS Eficacia y eficiencia de la operación Confiabilidad de los Reportes Financieros Cumplimiento con leyes y regulaciones ACTIVIDAD 2 2 ACTIVIDAD 3 ACTIVIDAD 1 UNIDAD B UNIDAD A OPERACIONES REPORTE FINANCIERO CUMPLIMIENTO EVALUACION DERIESGOS ACTIVIDADES DE CONTROL INFORMACION Y COMUNICACION MONITOREO AMBIENTE DE CONTROL COMPONENTES Ambiente de Control Evaluación de Riesgos Actividades de control Información / Comunicación Monitoreo Requiere un enfoque a nivel entidad y a nivel actividad. * COSO (Committee of Sponsoring Organizations) es el documento “Marco Integrado de Control Interno”

Sistema de Control Interno - Coso COSO - Conceptos claves del Control Interno El control interno es un proceso. El control interno es efectuado por personas. No son simplemente manuales y formas de acuerdo a una política, sino personas de todos los niveles de una organización. El control interno puede proporcionar solamente una seguridad razonable, no absoluta. El control interno esta ligado al logro de objetivos de una o más categorías, separadas o traslapadas. Dado que el control Interno es un proceso, su efectividad es una condición del proceso.

Mapa de Procesos Negocio: Servicios al cliente externo Organización: Estructura, Funciones y Responsabilidades Proceso: Ciclo de vida de los productos Conjunto de actividades: - Secuenciales en el tiempo con un inicio y un fin (el Output es de la última actividad). - Eventos Múltiples (el Output es la suma de los outputs de las actividades)

Mapa de Procesos Objetivos CoSO: Procesos de Negocio: Operacionales, Financieros y de Cumplimiento Procesos de Negocio: Relacionados con el cliente externo. Ejm.: Ventas, Producción, Investigación y Desarrollo, Post Venta, etc. Procesos de Soporte: Cumplimiento de obligaciones legales y normas internas, planificación y control y aseguramiento de recursos. Ejm: Finanzas, Contabilidad, Sistemas, RRHH, Legales, Gestión de Riesgos, inmuebles, etc.

Modelo de Riesgos Es la posibilidad de que ocurra un acontecimiento que pudiera afectar el logro de los objetivos de la organización. COSO – Evaluación del Riesgo: Se debe establecer mecanismos para identificar, analizar y gerenciar los riesgos relacionados con su operación y entorno. El riesgo se mide en términos de impacto y probabilidad-> Valoración.

Modelo de Riesgos INTERNO: RIESGOS INTERNO – EXTERNO: Riesgo Operacional (Tecnológicos, RRHH, Fraude Interno, Procesos, Procedimientos, etc.), Riesgo de Crédito RIESGOS INTERNO – EXTERNO: Ambientales, Comerciales, Crecimiento y Etica, Riesgo de Liquidez, Proveedores, Reputacional. RIESGOS EXTERNOS: Normativos, Mercado, Económicos, Fraude externo, Naturales y Socio políticos

COSO – Ambiente de Control Se refiere a la actitud y las acciones del Directorio y la Gerencia con respecto a la importancia del control dentro de la organización. El entorno de control proporciona la disciplina y la estructura para lograr los objetivos principales del sistema de control interno. Incluye los siguientes elementos :  Integridad y valores éticos. Estilo de operación y filosofía de la gerencia. Estructura organizacional Asignación de autoridad y responsabilidades Políticas y prácticas de recursos humanos Compromiso de competencias del personal. Comité de Auditoria

COSO – Actividades de Control “Es el conjunto integrado de estructuras, políticas, procedimientos, procesos y recursos, usados por una organización para lograr sus objetivos y metas, mediante el conocimiento y gestión de los riesgos a los que está expuesta.”

Sistema de Control - Tipos Controles Preventivos. Para evitar hechos no deseados, antes de empezar un proceso, se implementan para incrementar la calidad de los procesos y para eliminar los problemas en origen Controles Correctivos Para corregir hechos no deseados que han ocurrido, y que son difíciles de identificar previamente. Controles Detectivos Identifica desviaciones antes de concluir un proceso, detectando errores difíciles de definir y predecir y cuyas consecuencias no suelen ser muy relevantes Controles Directivos Para provocar o promover que sucedan hechos deseados, esta orientado al seguimiento de indicadores de resultados internos.

Sistema de Control Por la forma como se realizan Por la frecuencia Automáticos, para controlar transacciones muy numerosas, no se requieren elementos de juicio y se se pueden parametrizar las condiciones anticipadamente Manuales, se requiere elementos de juicio (Ejm. valoración y priorización de riesgos), el entorno del riesgo no es estable y se deben tomar en cuenta los cambios en las circunstancias. Por la frecuencia Diaria, Semanal, Mensual,…. Anual. Eventual o por operación

Sistema de Control - Componentes Seguimiento, supervisión de los controles generales o específicos, como: Auditoría Interna Comités de control Generales, afectan de forma generalizada a un grupo de procesos, como: Segregación de Funciones. Delegación de autoridad y responsabilidad. Personal competente y confiable (Selección y Formación). Controles físicos sobre activos y registros. Control de Accesos y Control de Cambios Políticas y procedimientos

Sistema de Control - Componentes Específicos, mecanismos que permiten prevenir, detectar y corregir los riesgos, como: Sistema de autorizaciones. Verificaciones y recálculos Documentos y registros adecuados. Conciliaciones, Chequeos independientes. Comparación de registros con activos

Sistema de Control - Componentes Específicos, mecanismos que permiten prevenir, detectar y corregir los riesgos, como: Sistema de autorizaciones. Verificaciones y recálculos Documentos y registros adecuados. Conciliaciones, Chequeos independientes. Comparación de registros con activos Todo control debe generar evidencia y se valora su efectividad para mitigar el riesgo (deben existir los mínimos necesarios)

COSO – Información y Comunicación “Información estructurada y oportuna para que los gerentes evalúen los resultados de gestión versus los objetivos (desempeño).” Seguridad: Privacidad, Confidencialidad, Disponibilidad e Integridad Clasificación: Definir estándares para adoptar protección adecuada, puede ser Pública, Privada, Confidencial y secreta

COSO – Monitoreo “Todo el proceso debe ser supervisado y actualizado según necesidades, a fin de que el sistema reaccione dinámicamente.” Se deben realizar evaluaciones periódicas o puntuales del funcionamiento de los controles, por los propios responsables, auditoria interna y auditoria externa.