INNOVANDO EN LOS PROCESOS DE EJECUCIÓN EN AUDITORÍA INTERNA

Presentación del tema: "INNOVANDO EN LOS PROCESOS DE EJECUCIÓN EN AUDITORÍA INTERNA"— Transcripción de la presentación:

1 INNOVANDO EN LOS PROCESOS DE EJECUCIÓN EN AUDITORÍA INTERNA
Julio R. Jolly Moore MBA, MSI, CRMA, CGEIT, CRISC, CFE, ISO, IIA Quality Assessment, COSO Certificate Presidente Instituto de Auditores Internos de Panamá Socio Director de Global Advisory Solutions

2 AGENDA Antecedentes Introducción Definición de auditoría interna
Cualidades de un auditor interno eficiente Tres áreas de interés para auditoría interna Temas en el pulso de la función de auditoría interna Habilidades requeridas para innovar en los procesos de ejecución en auditoría. Principales desafíos y riesgos que enfrenta auditoría interna El riesgo y el MIP Conocer la estrategia del negocio y sus operaciones Consideraciones especiales Consideración de la evaluación de riesgos en el plan de auditoría interna Conclusiones

3 ANTECEDENTES

4 ALGUNOS EVENTOS RECIENTES
Restaurante Wendy's envía mensajes de discriminación judía: Mediante Tweeter, la compañía envío una imagen de Pepe La Rana. Una caricatura de un personaje que se volvió muy popular entre grupos de supremacía blanca y utilizando frecuentemente con mensajes de discriminación contra la comunidad judía.

5 ALGUNOS EVENTOS RECIENTES
El robo y posterior venta de más de 117 millones de contraseñas de la red social LinkedIn. El mayor riesgo es que muchos usuarios suelen reutilizar sus contraseñas en cuentas bancarias, correos electrónicos u otras plataformas donde almacenan información confidencial. Fuente:

6 ALGUNOS EVENTOS RECIENTES
A pesar de haber ocurrido en el 2015, no fue sino hasta el 2016 que el Banco del Austro en Ecuador admitió haber sido víctima de un robo de más de US$12MM a través de un “malware” instalado en los equipos utilizados para transferencias internacionales Swift. El mismo esquema fue utilizado para robarle al Banco Central de Bangladesh una suma de más de US$81MM en febrero 2016, también a través de la red de transferencia Swift y un malware instalado.

7 ALGUNOS EVENTOS RECIENTES
Ataque Global Masivo de Ransomware (Wanna Cry) A tempranas horas de 12 de mayo de 2017, varias empresas, hospitales y entidades públicas de España y el Reino Unido reportaron que gran número de sus computadores y equipos de escritorio habían sido víctimas de ataque masivo de “Ransomware” (software malicioso que secuestra los archivos y el contenido de computador mediante cifrado y que luego solicita el pago de un rescate para recuperarlos). Varias de sus operaciones se vieron parcial o totalmente afectadas, lo cual conllevó a que filiales de varias de estas entidades privadas en Brasil apagasen sus servidores como medida de prevención.

8 ALGUNOS EVENTOS RECIENTES
Luego de las investigaciones realizadas por diferentes expertos y firmas consultoras de ciberseguridad en varios países del mundo, se determinó que este se trataba de un ciber ataque a gran escala (el más grande registrado hasta ahora) perpetrado a través del “Ransomware” identificado como “Wanna Cry” el cual ya ha afectado a más de doscientas mil (200,000) víctimas en más de 150 países alrededor del mundo.

9 ALGUNOS EVENTOS RECIENTES
Ataque Global Masivo de Ransomware (Petya) El 27 de junio de 2017 tuvo lugar el segundo ciberataque global a gran escala, el cual se originó en Europa del Este (específicamente en Rusia y Ucrania) y se propagó rápidamente en la red mediante una variante del Ransomware “Petya”. Comprometió en principio las operaciones de grandes empresas incluyendo trasnacionales en Europa Occidental y Estados Unidos, dentro de los cuales se encuentran varios Bancos en Ucrania, el Aeropuerto de Kiev, el puerto de Bombay, la petrolera rusa Rosneft, la compañía de transporte marítimo Maersk, el grupo alemán Beiersdorf, el laboratorio estadounidense Merck, el grupo francés Saint-Gobain y el publicista británico WPP.

10 ALGUNOS EVENTOS RECIENTES
Este ciberataque logró comprometer rápidamente cientos de miles de computadores alrededor del mundo aprovechando una vulnerabilidad documentada de Windows y para la cual Microsoft ya había liberado su actualización meses antes (al igual que en el caso de WannaCry).

11 INTRODUCCIÓN

12 Introducción El incremento en requerimientos regulatorios a nivel nacional, así como internacional han creado mayor responsabilidad sobre la función de auditoría interna, exigiendo cada día más responsabilidad y desempeño de esta función. Establecer métricas clave de desempeño o “Key Performance Indicators (KPI)” es una herramienta valiosa para saber si la función de auditoría está operando de manera eficiente y efectiva para cumplir sus metas.

13 DEFINICIÓN DE AUDITORÍA INTERNA

14 AUDITORÍA INTERNA Definición
La Junta de Directores del Instituto de Auditores Internos aprobó la siguiente definición de auditoría interna: La Auditoría Interna es una actividad independiente y objetiva de aseguramiento y consulta, concebida para agregar valor y mejorar las operaciones de una organización. Ayuda a una organización a cumplir sus objetivos aportando un enfoque sistemático y disciplinado para evaluar y mejorar la eficacia de los procesos de gestión de riesgos, control y gobierno.

15 AUDITORÍA INTERNA ¿Qué es el MIPP?
El Marco Internacional para la Práctica Profesional o MIPP de Auditoría Interna agrupa las guías para los atributos y desempeño de la función de auditoría interna, y es la base para una revisión de calidad de la función.

16 AUDITORÍA INTERNA Normas del IIA – Secciones Principales
Normas de atributos 1000 – Propósito, Autoridad y Responsabilidad 1100 – Independencia y Objetividad 1200 – Aptitud y cuidado profesional 1300 – Programa de Aseguramiento de Calidad y Mejora Normas de desempeño 2000 – Administración de la Actividad de Auditoría Interna 2100 – Naturaleza del Trabajo 2200 – Planificación del Trabajo 2300 – Desempeño del Trabajo 2400 – Comunicación de Resultados Supervisión del Progreso 2600 – Comunicación de la aceptación de riesgos

17 AUDITORÍA INTERNA Misión de Auditoría Interna
El MIPP contiene la “Misión de Auditoría Interna”. Esta misión describe lo que se aspira dela función de auditoria interna y no es lo mismo que la Definición de Auditoría Interna. “MEJORAR Y PROTEGER EL VALOR DE LA ORGANIZACIÓN PROPORCIONANDO A LAS PARTES INTERESADAS ASEGURAMIENTO, CONSEJO Y VISIÓN OBJETIVOS, CONFIABLES Y BASADOS EN RIESGOS” La definición de auditoria interna indica lo que auditoria interna ES. La misión indica lo que auditoría interna quiere ser basado en el MIPP.

18 AUDITORÍA INTERNA 10 principios fundamentales del MIPP
Adecuadamente posicionado en la organización y tiene recursos apropiados 5 Ser objetivo y libre de influencias 3 Demostrar integridad 1 Alineado con las estrategias, objetivos y riesgos de la organización 4 Demostrar competencia y cuidado profesional 2 Promueve la mejora a nivel organizacional 10 Proporciona aseguramiento basado en riesgos 8 Demuestra calidad y mejora continua 6 Se comunica efectivamente 7 Demuestra visión, pro actividad y orientación hacia el futuro 9 Image by graur razvan ionut at FreeDigitalPhotos.net

19 LOS 10 PRINCIPIOS FUNDAMENTALES
El “IIA GLOBAL “ ha determinado que para que una función de auditoría interna sea efectiva, todos los principios mencionados deben estar presentes es decir que se reconozcan los principios en los estatutos y en la definición de auditoría, manual de auditoría, políticas y procedimientos.

20 ¿POR QUÉ ES IMPORTANTE AGREGAR VALOR?
Pero… Los problemas reales están a este nivel Tradicionalmente… Auditoría se enfoca a está área principalmente

21 CUALIDADES DE UN AUDITOR INTERNO EFICIENTE

22 CUALIDADES DE UN AUDITOR INTERNO EFICIENTE
INTEGRIDAD 7 EFECTIVOS ATRIBUTOS DE AUDITORES CREA RELACIONES ALIADO COMUNICACIÓN TRABAJO EN EQUIPO DIVERSIDAD APRENDIZAJE Image by imagerymajestic at FreeDigitalPhotos.net Preparado por Global Advisory Solutions, S.A. Todos los derechos reservados

23 TRES ÁREAS DE INTERÉS PARA AUDITORÍA INTERNA

24 AUDITORÍA INTERNA Tres áreas de interés para Auditoría Interna
RIESGOS AUDITORÍA INTERNA Tres áreas de interés para Auditoría Interna 1 TECNOLOGÍA REGULACION 2 3

25 AUDITORÍA INTERNA Tres áreas de interés para Auditoría Interna
RIESGOS Aumento en la necesidad de fomentar la cultura y conducta organizacional orientada a riesgos y controles mediante sus informes y recomendaciones. Los riesgos cambian rápidamente y con mayor frecuencia, así que el auditor debe realizar evaluaciones de riesgo con más frecuencia a la anual. 1

26 AUDITORÍA INTERNA Tres áreas de interés para Auditoría Interna
TECNO-LOGÌA Mayor relevancia y aumento en los riesgos asociados a ciberseguridad. Solamente auditar “seguridad” ya no es suficiente. Incremento en los requerimientos y expectativas de auditoría. Utilizar auditoría continua, aseguramiento continuo, “data analitics” y robótica permiten auditar al banco de manera más completa. 2

27 AUDITORÍA INTERNA Tres áreas de interés para Auditoría Interna
REGULA-CIÓN Aumento en los requerimientos regulatorios enfocados a Auditoría Interna, más reportes y expectativas de la orientación a riesgos. Mayor cantidad de reportes que Auditoría Interna debe presentar a los reguladores para rendir cuentas de su gestión. 3

28 TEMAS EN EL PULSO DE LA FUNCIÓN DE AUDITORÍA INTERNA

29 TEMAS EN EL PULSO DE LA FUNCIÓN DE AUDITORÍA INTERNA
CIBERSEGURIDAD Auditoría Interna debe mejorar sus esfuerzos para proporcionar aseguramiento y consultoría de alto nivel en este rubro. Esto requiere construir fuertes relaciones con los Directores de Tecnología y los de Seguridad de la Información, así como acelerar los esfuerzos para crear equipos de conocimientos necesarios para ciberseguridad (por entrenamientos, contrataciones o por “Outsourcing”). El plan debe reflejar la asignación eficiente de recursos y el DEA debe indicar aquellas áreas que le preocupan para reforzar auditoría interna en ese rubro. Fuente: 2019 NORTH AMERICAN PULSE OF INTERNAL AUDIT

30 TEMAS EN EL PULSO DE LA FUNCIÓN DE AUDITORÍA INTERNA
RIESGO DE TERCEROS Las relaciones con terceros son parte del ecosistema de riesgos de cualquier organización, y como tal aquellas que no puedan atender adecuadamente los riesgos de terceros están en peligro. Auditoria Interna debe educar a la Junta y la Gerencia sobre los riesgos de una relación con terceros que tenga controles débiles y deben definir el rol y responsabilidad de auditoría sobre el aseguramiento en esta área. Fuente: 2019 NORTH AMERICAN PULSE OF INTERNAL AUDIT

31 TEMAS EN EL PULSO DE LA FUNCIÓN DE AUDITORÍA INTERNA
RIESGOS EMERGENTES Las amenazas de riesgos emergentes y riesgos atípicos están incrementado en la medida que la tecnología crece y puede conllevar a que éstos riesgos causen un mayor daño a la organización. Auditoría Interna debe hablar cuando la organización depende sólo en aseguramiento de la gerencia para mitigar riesgos emergentes. También debe promover indicadores de riesgos (KRI) más fuertes para monitorear, identificar y mitigar nuevos riesgos. Fuente: 2019 NORTH AMERICAN PULSE OF INTERNAL AUDIT

32 TEMAS EN EL PULSO DE LA FUNCIÓN DE AUDITORÍA INTERNA
ACTIVIDAD DE LA JUNTA Y LA GERENCIA Hoy más que nunca, los reguladores y accionistas colocan presión sobre la Junta Directiva para proporcionar un adecuado monitoreo y gobierno sobre la gerencia. Esto solo lo pueden lograr mediante la información completa y correcta. Es por ello que la función de auditoría debe enfocar sus esfuerzos en proporcionar aseguramiento sobre toda la información que llega a la Junta Directiva y educarlos sobre los beneficios del aseguramiento independiente. Los retos de hoy exigen que A.I. sea ágil, innovadora y tenga un dialogo efectivo con la Junta y la Gerencia. Fuente: 2019 NORTH AMERICAN PULSE OF INTERNAL AUDIT

33 HABILIDADES REQUERIDAS PARA INNOVAR EN LOS PROCESOS DE EJECUCION EN AUDITORÍA INTERNA

34 HABILIDADES REQUERIDAS PARA INNOVAR EN LOS PROCESOS DE EJECUCION EN AUDITORÍA
Conocimiento del negocio, procesos y operaciones de industria. Conocimiento y comprensión de riesgos emergentes y su evaluación frecuente. Reforzamiento de líneas blandas. Razonamiento innovador y analítico. Mayor enfoque en prevención. Valor agregado Habilitador de cambio

35 HABILIDADES REQUERIDAS PARA INNOVAR EN LOS PROCESOS DE EJECUCION EN AUDITORÍA
Auditoría de gestión Ciberseguridad y Redes Sociales Auditoría continua/Aseguramiento continuo

36 HABILIDADES REQUERIDAS PARA INNOVAR EN LOS PROCESOS DE EJECUCION EN AUDITORÍA
Data Analítica

37 HABILIDADES REQUERIDAS PARA EL AUDITOR INTERNO
Inteligencia artificial y robótica.

38 HABILIDADES REQUERIDAS PARA INNOVAR EN LOS PROCESOS DE EJECUCIÓN EN AUDITORÍA
Auditoría Ágil

39 PRINCIPALES DESAFIOS Y RIESGOS QUE ENFRENTA AUDITORÍA INTERNA

40 PRINCIPALES RIESGOS QUE ENFRENTA AUDITORÍA INTERNA
ANÁLISIS DE DATOS Las organizaciones producen más y más datos de sus operaciones, lo cual presenta 2 desafíos clave para auditoría interna. El primero es cómo ayudar a la organización a comprender cómo se están recopilando, gestionando, protegiendo y aprovechando esos datos. El segundo es cómo explotar esos datos desde la perspectiva de auditoría al usar herramientas analíticas en los procesos de auditoría existentes, automatizar auditorías rutinarias y enfocarse en áreas de mayor riesgo. Fuente: PERCEPCIONES Y PERSPECTIVAS GLOBALES – IIA Global Fuente:

41 PRINCIPALES RIESGOS QUE ENFRENTA AUDITORÍA INTERNA
RIESGOS CIBERNÉTICOS Como la 3° línea de defensa, auditoría interna debería trabajar con la organización a medida que desarrollan las estrategias y políticas de seguridad cibernética para mejorar la habilidad que tiene la organización para identificar y mitigar los riesgos de seguridad cibernética; aprovechar las relaciones con el comité de auditoría, asegurándose de que continúen participando; y asegurarse de que el riesgo de seguridad cibernética esté formalmente integrado en el plan de auditoría. Fuente: PERCEPCIONES Y PERSPECTIVAS GLOBALES – IIA Global Fuente:

42 PRINCIPALES RIESGOS QUE ENFRENTA AUDITORÍA INTERNA
GESTIÓN DE TALENTO La gestión de talentos es consistentemente una de las principales preocupaciones de los DEA y de los profesionales de auditoría interna. Durante los últimos años, los DEA se han angustiado por la búsqueda de candidatos con las habilidades necesarias para ocupar nuevos roles y abordar riesgos nuevos y existentes. Con toda claridad, hay una reserva limitada de candidatos con las habilidades para satisfacer las necesidades cambiantes de auditoría interna. Fuente: PERCEPCIONES Y PERSPECTIVAS GLOBALES – IIA Global Fuente:

43 PRINCIPALES RIESGOS QUE ENFRENTA AUDITORÍA INTERNA
NORMAS – Criptomonedas y privacidad de datos El mundo financiero está avanzando y las instituciones están implementando más el uso de tecnologías como cadena de bloque y moneda digital. De igual manera, hoy existen normas y leyes de privacidad de datos a nivel global que pueden afectar el panorama de una organización. Auditoría interna debe estar preparada para ambos casos para responder a las necesidades que el Comité requiera y así mismo analizar riesgos emergentes. Fuente: PERCEPCIONES Y PERSPECTIVAS GLOBALES – IIA Global Fuente:

44 EL RIESGO Y EL MIPP

45 AUDITORÍA INTERNA ¿Por qué es importante enfocarse a riesgos?
Un auditor que se limita a sus tareas tradicionales puede pensar que todo está bien, pero… No se dará cuenta de riesgos latentes en la organización.

46 AUDITORÍA INTERNA Normas de Auditoría Interna (IIA Internacional)
2010 Planificación El director ejecutivo de auditoría debe establecer planes basados en los riesgos, a fin de determinar las prioridades de la actividad de auditoría interna. Dichos planes deberán ser consistentes con las metas de la organización. 2010.A1 - El plan de trabajo de la actividad de auditoría interna debe estar basado en una evaluación de riesgos, realizada al menos anualmente. En este proceso deben tenerse en cuenta los comentarios de la alta dirección y del Consejo.

47 AUDITORÍA INTERNA Normas de Auditoría Interna (IIA Internacional)
2110 Gestión de Riesgos La actividad de auditoría interna debe asistir a la organización mediante la identificación y evaluación de las exposiciones significativas a los riesgos, y la contribución a la mejora de los sistemas de gestión de riesgos 2110.A1 - La actividad de auditoría interna debe supervisar y evaluar la eficacia del sistema de gestión de riesgos de la organización. 2110.A2 - La actividad de auditoría interna debe evaluar las exposiciones al riesgo referidas a gobierno, operaciones y sistemas de información de la organización…

48 AUDITORÍA INTERNA Normas de Auditoría Interna (IIA Internacional)
2110 Gestión de Riesgos (Continuación) 2110.C1 - Durante los trabajos de consultoría, los auditores internos deben considerar el riesgo compatible con los objetivos del trabajo y estar alertas a la existencia de otros riesgos significativos. 2110.C2 - Los auditores internos deben incorporar los conocimientos del riesgo obtenidos de los trabajos de consultoría en el proceso de identificación y evaluación de las exposiciones de riesgo significativas en la organización.

49 CONOCER LA ESTRATEGIA DEL NEGOCIO Y SUS OPERACIONES

50 CONOCER LA ESTRETEGIA DEL NEGOCIO Y SUS OPERACIONES
CONOCER Y ENTENDER LA ESTRATEGIA DEL NEGOCIO Reforzar la comunicación abierta y sincera con la: Alta Dirección (Negocios, Operaciones, Administración, TI, Capital Humano , Legal, etc.). Directiva / Comité de Auditoría. Solicitar, conocer y analizar: (1) Objetivos estratégicos vigentes; (2) Planes de negocios futuros; (3) Bases de ingresos del negocio, considerando inclusive redes sociales, estrategias de mercadeo, nuevos productos o servicios. Conocer y entender como la organización mide el cumplimento del plan. Conocer las áreas clave de ingresos y los estados financieros.

51 CONONOCER LA ESTRATEGIA DEL NEGOCIO Y SUS OPERACIONES
CONOCER LAS OPERACIONES DEL NEGOCIO Las unidades y/o procesos críticos del negocio. Las principales actividades que hacen las unidades de negocios para cumplir como el plan. El entorno de Tecnología de Información que soportan las unidades y/o procesos críticos del negocio. La información pública, regulatoria y/o publicaciones relacionadas.

52 CONSIDERACIONES ESPECIALES

53 CONSIDERACIONES ESPECIALES
POSIBILIDAD DEL FRAUDE 1210.A2 Los auditores internos deben tener conocimientos suficientes para evaluar el riesgo de fraude y la forma en que se gestiona por parte de la organización, pero no es de esperar que tengan conocimientos similares a los de aquellas personas cuya responsabilidad principal es la detección e investigación del fraude.

54 CONSIDERACIONES ESPECIALES
POSIBILIDAD DEL FRAUDE (continuación) 2120.A2 La actividad de auditoría interna debe evaluar la posibilidad de ocurrencia de fraude y cómo la organización maneja gestiona el riesgo de fraude. 2210.A2 - El auditor interno debe considerar la probabilidad de errores, fraude, incumplimientos y otras exposiciones significativas al elaborar los objetivos del trabajo.

55 CONSIDERACIÓN DE LA EVALUACIÓN DE RIESGOS EN EL PLAN DE AUDITORÍA INTERNA

56 CONSIDERACIÓN DE LA EVALUACION DE RIESGOS EN EL DESARROLLO DEL PLAN DE AUDITORÍA INTERNA
DESARROLLAR EL UNIVERSO DE AUDITORÍA INTERNA El universo de AI es un resumen de las entidades (área o proceso) de auditoría de la organización que serán incluidas en el análisis de riesgo y utilizado para desarrollar el Plan de Auditoría Basado en Riesgos. Un entidad auditable es un área de la organización que es lo suficientemente relevante para ser el sujeto de una auditoría interna.

57 CONSIDERACIÓN DE LA EVALUCION DE RIESGOS EN EL DESARROLLO DEL PLAN DE AUDITORÍA INTERNA
PRINCIPALES CONSIDERACIONES PARA HACER EL PLAN DE AUDITORÍA Recomendamos por lo menos considerar lo siguiente: Evaluación de Industria, Estrategia de negocios y documentación de procesos. Resumen del análisis de riesgo Matriz de riesgos inherentes o residuales de áreas de riesgo clave (nivel de detalle depende del tamaño de la organización) Resumen de las auditorías propuestas por unidad de negocio Resumen de proyectos especiales Niveles de recursos

58

59 CONCLUSIONES

60 CONCLUSIONES "Intenta no volverte un auditor de éxito, sino volverte un auditor de valor" hombre – Albert Einstein

61 REFERENCIAS Instituto Global de Auditores Internos
Marco Internacional para la práctica professional MIPP Percepciones y Perspectivas Globales

62 GRACIAS INNOVANDO EN LA FUNCIÓN DE AUDITORÍA INTERNA: Ideas para elevar el desempeño y agregar valor Julio R. Jolly Moore, MBA, MSI, CRMA, CFE, CGEIT, CRISC, ISO, Internal Audit Quality Assessment, COSO CERTIFICATE