Para ejecutar la auditoría, los auditores internos deben realizar los procedimientos de auditoría, incluyendo las pruebas de control y la identificación de hallazgos.

Conclusiones preliminares sobre los controles

Los auditores internos obtienen una comprensión del diseño de los controles internos del cliente del encargo. Los auditores concluyen entonces si los controles internos están diseñados adecuadamente para lograr los objetivos de control de la dirección.

Estas conclusiones preliminares se utilizan para determinar si el sistema de control interno está tan mal diseñado que su comprobación no serviría de nada, o si los auditores deben comprobar los controles internos para determinar si funcionan según lo previsto.

A continuación, se realizan los procedimientos de auditoría.

Identificación de los resultados

Los procedimientos de evaluación de riesgos se llevan a cabo para obtener una comprensión de la entidad y su entorno, incluido el control interno.

Otros procedimientos de auditoría incluyen pruebas de control y procedimientos sustantivos.

Las pruebas de control miden la eficacia operativa de los controles para prevenir, o detectar y corregir, los casos de incumplimiento, ya sea en forma de errores materiales en los estados financieros, de incumplimiento de una ley o reglamento, o de cualquier otro resultado no deseado.

Son necesarios cuando:

• La evaluación de riesgos del auditor se basa en una expectativa de la eficacia operativa de los controles o

• Los procedimientos sustantivos por sí solos no proporcionan suficientes pruebas adecuadas.

Los procedimientos sustantivos se utilizan para detectar incorrecciones materiales en el nivel de afirmación correspondiente. Incluyen pruebas de detalles y procedimientos analíticos de fondo.

Deben realizarse para todas las afirmaciones relevantes sobre cada clase de transacción material, saldo de cuenta y revelación.

Un especialista en gestión es una persona u organización con experiencia en un campo distinto al de la contabilidad o la auditoría que ayuda a preparar los estados financieros. El cliente puede confiar en un especialista en gestión para preparar la información utilizada como prueba de auditoría. Un ejemplo es la estimación del valor razonable de los valores.

El auditor debe evaluar la competencia, las capacidades y la objetividad de dichos especialistas. Deben obtener una comprensión de su trabajo relevante para la auditoría y evaluar su idoneidad.

Tipos de procedimientos de auditoría

El auditor interno debe utilizar lo siguiente, por separado o en combinación, como procedimientos de evaluación de riesgos, pruebas de controles o procedimientos sustantivos:

• La comprobación rastrea un resultado hasta el evento de origen, garantizando que un importe registrado esté debidamente respaldado.
• El seguimiento de una transacción desde el evento desencadenante hasta el evento resultante, garantizando que la transacción se contabilice correctamente.
• Inspección de registros o documentos en cualquier forma que se encuentren.
• Inspección de activos tangibles. Se trata del examen físico de los activos para comprobar su existencia. Por ejemplo, se combina con la observación de los recuentos de existencias.
• Observa. Se trata de observar un proceso o procedimiento que se está realizando.
• Pregunte por la información financiera a personas conocedoras de la entidad o ajenas a ella.
• Obtenga una confirmación externa. Se trata de obtener pruebas de auditoría como una respuesta directa y por escrito al auditor por parte de un tercero. Por ejemplo, una confirmación de los saldos de las cuentas o las condiciones de los acuerdos.
• Recalcular (comprobar la exactitud matemática)
• Repercusión. Se trata de la ejecución de procedimientos o controles.
• Procedimientos analíticos. Por ejemplo, el escaneo es un procedimiento analítico utilizado para revisar los datos contables con el fin de identificar elementos significativos o inusuales para su comprobación.

Como parte de los procedimientos analíticos, el auditor interno evalúa los resultados o las relaciones inesperadas identificadas. Esta evaluación incluye determinar si la diferencia con respecto a las expectativas podría ser resultado de un fraude, un error o un cambio en las condiciones. El auditor puede preguntar a la dirección sobre las razones de la diferencia y debe corroborar la explicación. Por ejemplo, el auditor puede modificar las expectativas y recalcular la diferencia o aplicar otros procedimientos de auditoría.

Modelos de madurez

Los procedimientos de auditoría pueden requerir que el auditor interno evalúe la madurez de un proceso empresarial (es decir, dónde se encuentra el proceso actualmente en una escala de madurez predefinida) y compare los resultados con las expectativas de la dirección para ese proceso. El auditor interno puede utilizar un modelo de madurez para realizar este procedimiento.

«Los modelos de madurez establecen una base sistemática de medición para describir el estado «tal cual» de un proceso». Así, proporcionan los criterios para evaluar el estado actual de un proceso empresarial.

En general, los modelos de madurez tienen cinco niveles de madurez, que son los siguientes:

• Nivel inicial. Aquí se define el proceso.
• Nivel repetible. Aquí se establece el proceso.
• Nivel definido. En esta etapa se desarrollan las normas que rigen el proceso.
• Nivel de gestión. En este nivel se definen las medidas de rendimiento.
• Nivel de optimización. Se cumplen todas las expectativas y se permite la mejora continua en este nivel.

A continuación se describen los tres pasos para crear un modelo de madurez:

• El primer paso es determinar la finalidad y los componentes del modelo.

Las consideraciones en la determinación incluyen lo que la gerencia quiere evaluar, los procesos de negocios involucrados y cómo el resultado esperado puede ser declarado en términos de una métrica o declaración cualitativa. Los componentes son las categorías de atributos relacionados con el proceso. Por ejemplo, si se utiliza un modelo de madurez para evaluar el programa de ética de una organización, un componente podría incluir el código de ética de la organización.

• El segundo paso para crear el modelo de madurez es la determinación de la escala del modelo (es decir, el número de niveles).

• El último paso es desarrollar las expectativas para cada nivel de componente.

Todos los procedimientos anteriores darían lugar a la acumulación de los resultados de la auditoría.

Reflexiones finales

La comunicación eficaz de los resultados de la auditoría fomenta una relación positiva entre la dirección y la auditoría interna, aumenta el índice de resolución de las observaciones y recomendaciones y mejora la eficiencia del departamento de auditoría interna.

Los informes sirven como una ventana a las operaciones diarias para la dirección, un medio para evaluar el rendimiento operativo, una fuente de información objetiva sobre los controles y las operaciones, y un facilitador para obtener el apoyo de la alta dirección para los asuntos que requieren atención. Los auditores internos utilizan los informes para hacer un seguimiento de las auditorías, enseñar y formar al personal de auditoría, resumir los resultados de la auditoría y apoyar la evaluación del rendimiento del auditor.