CGR - Anexo 6. Metodología de evaluación de riesgos y controles

CONTRALORIA GENERAL DE LA REPÚBLICA DE COLOMBIA

ANEXO 6 METODOLOGIA DE EVALUACIÓN DE RIESGOS Y

CONTROLESAUDITORÍA DE DESEMPEÑO

ABRIL DE 2017

TABLA DE CONTENIDO Objetivo del documento ............................................................................................................. 3 1 Definición de Riesgos ............................................................................................................ 3 2 Matriz de Evaluación de Riesgos Inherentes, Fraude y Controles ....................... 4 2.1 Procesos y Actividades .................................................................................................... 4 2.2 Factores De Riesgo .......................................................................................................... 6 2.2.1 Consistencia de la Información ..................................................................... 7 2.2.2 Competencia ......................................................................................................... 7 2.2.3 Economía ............................................................................................................... 7 2.2.4 Eficacia .................................................................................................................... 8 2.2.5 Eficiencia ................................................................................................................ 8 2.2.6 Efectividad ............................................................................................................. 8 2.2.7 Equidad ................................................................................................................... 8 2.2.8 Legalidad ................................................................................................................ 8 2.2.9 Oportunidad .......................................................................................................... 8 2.2.10 Valoración De Costos Ambientales .............................................................. 9 2.3 Descripción de los Riesgos ......................................................................................... 9 2.3.1 Componentes de Coso .................................................................................... 10 2.4 Probabilidad – Impacto ............................................................................................... 12 2.5 Riesgo Inherente ........................................................................................................... 13 2.6 Riesgo de fraude ........................................................................................................... 13 2.7 Riesgo Significativo ...................................................................................................... 14 2.8 Calificación Final del Riesgo inherente (RI) ........................................................ 15 2.9 Riesgo de control (RC) ................................................................................................ 15 2.10 Descripción de los Controles. ............................................................................... 15

2.11 Evaluación de controles ......................................................................................... 16 2.11.1 Evaluar el Diseño de los Controles ............................................................ 16 2.12 Riesgo Combinado .................................................................................................... 17 2.13 Proceso y Actividad Significativa ........................................................................ 18 2.14 Efectividad de los Controles ................................................................................. 19 2.15 Diseño y Efectividad del Control ......................................................................... 20 3 Riesgo de detección (RD) .................................................................................................. 21 4 Riesgo de auditoría (RA) .................................................................................................... 23 La Guía de Auditoría de Desempeño, indica que en la fase de Planeación se debe obtener suficiente comprensión de los controles y la importancia que tienen para facilitar el logro de los objetivos de los sujetos de vigilancia y control fiscal a auditar o del asunto a auditar a su cargo. Objetivo del documento Este anexo es un documento detallado para que el auditor lleve a cabo la evaluación de los riesgos y el diseño y la efectividad de los controles, durante el proceso auditor y tiene como fin: .  Revelar áreas de debilidad potencial del asunto de auditoria  Identificar y analizar los riesgos a los que son importantes para llevar a cabo una óptima auditoría.  Examinar la gestión de la(s) entidad(es) manejan el asunto de auditoría frente a los riesgos.  Enfocar la auditoría en las actividades riesgo alto y desarrollar posibles preguntas de auditoría.  Emitir un concepto sobre los mecanismos de control, en concordancia con los resultados finales del proceso auditor. 1 Definición de Riesgos El riesgo se define como un posible incidente o la ocurrencia de un conjunto particular de circunstancias que, si ocurren, podrían afectar

negativamente a la organización o al asunto a auditar, como la exposición a pérdidas financieras, la pérdida de reputación o el fracaso de una política o programa económica, eficiente o eficazmente, equidad y valoración de costos ambiental ( TRIBUNAL

DE CUENTAS EUROPEO, 2013).

En el contexto de una auditoría de desempeño, la evaluación de riesgos puede definirse como la identificación y análisis de los principales riesgos para el logro de los objetivos de economía, eficiencia, efectividad, equidad y valoración de costos ambiental, constituyendo así una base para el desarrollo de potenciales preguntas de auditoría, la determinación del alcance potencial de auditoría ( TRIBUNAL DE CUENTAS EUROPEO, 2013) y la determinación durante el desarrollo del proceso auditor, del grado de confianza que estos puedan depositar en los controles implementados por los sujetos de vigilancia y control fiscal para el tratamiento de sus riesgos, en lo pertinente al asunto a auditar. 2 Matriz de Evaluación de Riesgos Inherentes, Fraude y Controles Se debe tener en cuenta que para diligenciar la matriz, el grupo auditor debió haber ejecutado el paso de profundizar en el conocimiento del asunto o problema que se va a fiscalizar. Una vez se tiene abierta la Matriz de Riesgos Inherentes, Fraude y Controles (Anexo 6.1), lo primero que debe realizar el equipo auditor es completar el encabezado de esta. Cuando se llega a la casilla de Entidad responsable del tema o asunto auditar, se debe escribir el nombre del sujeto donde se va examinar el riesgo y el (los) control(es). 2.1 Procesos y Actividades

El siguiente paso es determinar a qué proceso y actividad pertenece el Riesgo y el (los) control(es) que se evaluará(n); teniendo en cuenta los siguientes cuadros. TABLA 1 PROCEDIMIENTOS Y ACTIVIDADES AUDITORÍAS Procesos Actividad Definición del problema Definición de actores Definición de objetivos Formulación y Cuantificación de recursos Diseño Determinación de beneficiarios Instrumentación Políticas y Reglas de Operación (construcción) Programación Consecución de Recursos Asignación de Recursos Competencia Actores Sistemas de información Implementación Operatividad Publicidad Cuantificación de recursos Indicadores Sistemas de información Evaluación y Monitoreo y seguimiento seguimiento Actores Reportes de información Resultados Obtenidos Satisfacción de necesidades Resultado e impacto Logro de objetivos Monitoreo

Elaborado: CGR.

TABLA 2 PROCEDIMIENTOS Y ACTIVIDADES PARA

AUDITORÍAS SISTEMA GENERAL DE REGALÍAS Procedimientos Actividades Identificación y priorización regional Recepción de iniciativas en Secretarías de Planeación o representantes de comunidades indígenas, las comunidades Negras, Afrocolombianas, Raizales y Palanqueras formuladas en la MGA y soportes Formulación de proyectos Revisión de iniciativas en Secretarías de Planeación o representantes de comunidades indígenas, las comunidades Negras, Afrocolombianas, Raizales y Palanqueras, Devolución al formulador Presentación a Secretaría Técnica Importación de archivos Presentación de Transferencia del proyecto a SUIFP - SGR - BPIN

proyectos Actualización Verificación de requisitos Viabilización de Concepto de oportunidad, conveniencia o solidez técnica, proyectos financiera y ambiental. Viabilidad Registro de Registro en el Banco de programas y proyectos de proyectos inversión Verificación de criterios de priorización Priorización de Priorización de los recursos para proyectos registrados recursos para en el Banco de Programas y Proyectos del SGR hasta por proyectos el monto de la cuota indicativa informada Aprobación de proyectos de inversión Aprobación del proyecto Designación del ejecutor Cumplimiento de requisitos previos generales y sectoriales a la apertura del proceso de selección Cumplimiento de requisitos de ejecución Certificación de requisitos Ejecución Solicitud de recursos Giro de recursos Contratación Implementación Registro de información Monitoreo, seguimiento, control y evaluación Resultados obtenidos Satisfacción de necesidades Terminación y Cierre Logro de objetivos Sostenibilidad Acto administrativo de cierre Fortalecimiento de Incremento de la capacidad organizativa Secretarías de Planeación y Incremento de conocimiento y fortalecimiento de los Secretarías Técnicas recursos físicos y tecnológicos OCAD SGR Fortalecimiento de Adquisición de bienes o servicios de la infraestructura instrumentos de tecnológica apoyo a la gestión y efectividad en el reporte al SMSCE Contratación de recurso humano de apoyo a la gestión SGR

Elaborado: CGR. 2.2 Factores De Riesgo Los factores de Riesgo son situaciones que pueden afectar negativamente la adecuada utilización del recurso público y el cumplimiento de los fines constitucionales y legales del Estado por parte de los entes objeto de control fiscal que ejecutan el asunto a

auditar. El grupo auditor debe seleccionar un factor de riesgo, a continuación, se da una definición de los factores de riesgos que se utilizan en la matriz: 2.2.1 Consistencia de la Información Que los hechos u operaciones financieras, administrativas, económicas y de otra índole, referidas al cumplimiento del objeto del tema o asunto auditar, a cargo de las entidades responsables, no reflejen la realidad de manera fidedigna, no se encuentren incluidas en los sistemas de información o prueben situaciones que no han sucedido en la práctica, induciendo al error a quien toma como insumo los presupuestos, estados financieros, informes, planes, contratos y/o cuentas. 2.2.2 Competencia Que los hechos u operaciones financieras, administrativas, económicas y de otra índole, referidas al cumplimiento del objeto del tema o asunto auditar, a cargo de las entidades responsables, no sean ejecutadas, ordenadas u autorizadas por el funcionario facultado para tal efecto o no cuente con la experiencia y/o conocimientos necesarios. 2.2.3 Economía Que en la ejecución de los hechos u operaciones financieras, administrativas, económicas y de otra índole, referidas al cumplimiento del objeto del tema o asunto auditar, a cargo de las entidades responsables, durante un período determinado, no se haya realizado una adecuada adquisición y asignación de recursos humanos, físicos, técnicos y naturales, en procura de maximizar sus resultados. 2.2.4 Eficacia Que los hechos u operaciones financieras, administrativas, económicas y de otra índole, referidas al cumplimiento del objeto del tema o asunto auditar, a cargo de las entidades responsables,

durante un período determinado, no posibiliten que sus resultados se logren de manera adecuada y en concordancia con sus objetivos y metas. 2.2.5 Eficiencia Que los hechos u operaciones financieras, administrativas, económicas y de otra índole, referidas al cumplimiento del objeto del tema o asunto auditar, a cargo de las entidades responsables, durante un período determinado, no produzcan la máxima cantidad de bienes, servicios o resultados, con una cantidad adecuada de recursos e insumos utilizados. 2.2.6 Efectividad Que en la ejecución de los hechos u operaciones financieras, administrativas, económicas y de otra índole, referidas al cumplimiento de su objeto del tema o asunto auditar, a cargo de las entidades responsables, durante un período determinado, las entidades no demuestren el grado de satisfacción o impacto que produce el bien o servicio a su cargo o bajo su responsabilidad, dentro de una comunidad o población objeto. 2.2.7 Equidad Que en la ejecución de los hechos u operaciones financieras, administrativas, económicas y de otra índole, referidas al cumplimiento de su objeto del tema o asunto auditar, a cargo de las entidades responsables durante un período determinado, las entidades no identifiquen los receptores de la acción económica o realicen una indebida distribución de costos y beneficios entre los diferentes sectores económicos y sociales. 2.2.8 Legalidad Que los hechos u operaciones financieras, administrativas, económicas y de otra índole, referidas al cumplimiento del objeto del tema o asunto auditar, a cargo de las entidades responsables, durante un período determinado no se hayan realizado de

conformidad con las normas constitucionales, legales y reglamentarias que le son aplicables. 2.2.9 Oportunidad Que los hechos u operaciones financieras, administrativas, económicas y de otra índole, referidas al cumplimiento del objeto del tema o asunto auditar, a cargo de las entidades responsables, durante un período determinado, se lleven a cabo por fuera de los términos establecidos para su ejecución, generando perjuicios para los intereses de la entidad y por ende afectando el bienestar de la comunidad o población objeto. 2.2.10 Valoración De Costos Ambientales Que en la ejecución de los hechos u operaciones financieras, administrativas, económicas y de otra índole, referidas al cumplimiento de su objeto del tema o asunto auditar, a cargo de las entidades responsables durante un período determinado, no hayan tomado medidas para mitigar el impacto por el uso o deterioro de los recursos naturales y el medio ambiente y no demuestren gestión en la protección, conservación, uso y aprovechamiento responsable de los mismos. 2.3 Descripción de los Riesgos Para la evaluación de los controles, se debe identificar y describir los riesgos de los procesos y/o actividades del asunto a auditar, y sus respectivos controles. El grupo auditor puede realizar una lista de posibles riesgos, a partir del conocimiento adquirido previamente y paso seguido identificarlos y considerar los siguientes puntos:  Posibles desviaciones de cumplimiento de la gestión del sujeto de control  Efectos, impacto y consecuencias sobre el tema objeto de auditoría.  Cumplimiento en el suministro del bien o servicio.  La adecuada definición y aplicación de medidas de control.

 Errores en las actividades de reporte de información. La lista inicial se puede realizar por medio de lluvias de ideas y agruparse por semejanza por proceso y actividad que fueron descriptos anteriormente y componentes del coso, también se puede clasificar por causa de origen o cualquier otro criterio que el grupo auditor crea necesario para el proceso. Los riesgos identificados se deben confrontar con los establecidos en el sistema de administración de riesgos de la del tema o asunto auditar, a cargo de las entidades responsables. Por último se debe describir el riesgo siempre debemos de tener en cuenta los efectos, impactos y consecuencias. 2.3.1 Componentes de Coso Además para cada uno de los riesgos identificados, se debe relacionar un componente de control, a fin de evaluarlos de forma conjunta con los controles, respecto si existen y si se aplica o no. Los componentes con los que asocia los riesgos son: 2.3.1.1 Ambiente de Control El ambiente o entorno de control es la base de la pirámide de Control Interno, aportando disciplina a la estructura. En él se apoyarán los restantes componentes, por lo que será fundamental para concretar los cimientos de un eficaz y eficiente sistema de Control Interno. Marca la pauta del funcionamiento de la del tema o asunto auditar, a cargo de las entidades responsables e influye en la concientización de sus funcionarios. Los factores a considerar dentro del Entorno de Control serán: La Integridad y los Valores Éticos, la Capacidad de los funcionarios de la del tema o asunto auditar, a cargo de las entidades responsables, el Estilo de Dirección y Gestión, la Asignación de Autoridad y Responsabilidad, la Estructura Organizacional y, las Políticas y

Prácticas de personal utilizadas. 2.3.1.2 Evaluación de Riesgos Cada Entidad responsable del tema o asunto auditar se enfrenta a diversos riesgos internos y externos que deben ser evaluados. Una condición previa a la Evaluación de Riesgo es la identificación de los objetivos a los distintos niveles, los cuales deberán estar vinculados entre sí. La Evaluación de Riesgos consiste en: La identificación y el análisis de los riesgos relevantes para la consecución de los objetivos, y sirve de base para determinar cómo deben ser gestionados. A su vez, dados los cambios permanentes del entorno, será necesario que la Entidad responsable del tema o asunto auditar disponga de mecanismos para identificar y afrontar los riesgos asociados al cambio. En la evaluación se deberá analizar que los Objetivos de Área hayan sido apropiadamente definidos, que los mismos sean consistentes con los objetivos institucionales, que fueran oportunamente comunicados, que fueran detectados y analizados adecuadamente los riesgos y, que se los haya clasificado de acuerdo a la relevancia y probabilidad de ocurrencia. 2.3.1.3 Actividades de Control Las actividades de control son: Las políticas, procedimientos, técnicas, prácticas y mecanismos que permiten a la Dirección administrar (mitigar) los riesgos identificados durante el proceso de Evaluación de Riesgos y asegurar que se llevan a cabo los lineamientos establecidos por ella. Las Actividades de Control se ejecutan en todos los niveles de la entidad responsable del tema o asunto auditar y en cada una de las etapas de la gestión, partiendo de la elaboración de un Mapa de Riesgos, de acuerdo a lo señalado en el punto anterior.

En la evaluación del Sistema de Control Interno no solo debe considerarse si fueron establecidas las actividades relevantes para los riesgos identificados, sino también si las mismas son aplicadas en la realidad y si los resultados obtenidos fueron los esperados. 2.3.1.4 Información y Comunicación Se debe identificar, recopilar y propagar la información pertinente en tiempo y forma que permitan cumplir a cada funcionario con sus responsabilidades a cargo. Debe existir una comunicación eficaz -en un sentido amplioque fluya en todas direcciones a través de todos los ámbitos de la entidad, de forma descendente como ascendente. La Dirección debe comunicar en forma clara las responsabilidades de cada funcionario dentro del Sistema de Control Interno implementado. Los funcionarios tienen que comprender cuál es su papel en el Sistema de Control Interno y, cómo las actividades individuales están relacionadas con el trabajo del resto. 2.3.1.5 Supervisión y Monitoreo Los Sistemas de Control Interno requieren -principalmentede Supervisión, es decir, un proceso que verifique la vigencia del Sistema de Control a lo largo del tiempo. Esto se logra mediante actividades de supervisión continuada, evaluaciones periódicas o una combinación de ambas (WIKIPEDIA, 2017). 2.4 Probabilidad – Impacto Es un instrumento de análisis cualitativo de riesgos que nos permite establecer prioridades en cuanto a los posibles riesgos de un proyecto en función tanto de la probabilidad de que ocurran como de las repercusiones que podrían tener sobre el asunto a auditar en caso de que ocurrieran. (MURADAS, 2016)

TABLA 3 IMPACTO Y PROBABILIDAD PROBABILIDAD BAJO 1 MEDIO 2 ALTO 3

3 ALTO 3 6 9

IMPACTO 2 MEDIO 2 4 6 1 BAJO 1 2 3

Elaborado: CGR.

Un paso más antes de tener la calificación inicial del riesgo inherente es describir de qué parte se origino el riesgo, esto es de la entidad responsable del tema o asunto auditar, Grupo auditor o fue mixta. 2.5 Riesgo Inherente El riesgo inherente está asociado a la naturaleza del sujeto de vigilancia y control fiscal y es intrínseco a las actividades que desarrollan sin tener en cuenta los controles que de este se hagan a su interior; debe ser conocido por el auditor al practicar su examen, lo cual lo lleva a considerar la forma como se opera y las dificultades a las que está expuesto el sujeto. Este riesgo surge de la exposición que tenga el asunto o materia y la actividad en particular, así como la probabilidad de que lo afecten aspectos negativos. El riesgo inherente es propio del trabajo o proceso, que no puede ser eliminado del sistema; es decir, en todo trabajo o proceso se encontraran riesgos para las personas o para la ejecución del asunto o materia y la actividad en sí misma, su resultado inicial está asociado a la calificación del impacto y probabilidad de la siguiente manera:

TABLA 4 RESULTADO DE RIESGO INHERENTE

RESULTADO

ALTO IGUAL O MAYOR A 6

MEDIO MENOR DE 6 MAYOR O IGUAL A 3

BAJO MENOR DE 3

Elaborado: CGR. 2.6 Riesgo de fraude El factor que distingue el fraude del error, es que la acción subyacente que da lugar a la incorrección sea o no intencionada

(NIA-ES 240, 2013, pág. 3)

Aunque “fraude” es un concepto jurídico amplio, a los efectos de las NIA, al auditor le concierne el fraude que da lugar a incorrecciones materiales en los estados financieros. Para el auditor son relevantes dos tipos de equivocaciones intencionadas: las equivocaciones debidas a información financiera fraudulenta y las debidas a una apropiación indebida o malversación de activos (NIA-ES 240, 2013, pág. 3). Si bien los factores de riesgo de fraude no indican necesariamente su existencia, a menudo han estado presentes en circunstancias en las que se han producido fraudes y, por tanto, pueden ser indicativos de riesgos de incorrección material debida a fraude (NIA-ES 240, 2013, pág. 6). Para más información sobre riesgos de fraude el auditor puede consultar las NIA 240 y las ISSAI 1240. Se debe indicar si el riesgo identificado es de fraude o no.

FIGURA 1 TIPOS DE INCORRECIONES INTECIONADAS

(FRAUDE)

TIPOS DE INCORRECIONES INTENCIONADAS (FRAUDE) Información financiera Apropiación indebida o fraudulenta malversación de activos

CONDICIONES CUANDO OCURREN SE PRODUCE

UN FRAUDE

 Incentivos/Presiones  Oportunidad  Actitudes/Racionalización Elaborado: CGR.- (ISSAI 1240 INTOSAI, 2009, pág. 11) 2.7 Riesgo Significativo El riesgo significativo es el riesgo identificado y valorado de incorrección material que, a juicio del auditor, requiere una consideración especial en la auditoría (NIA-ES 315, 2013, pág. 2), se

debe decir si el riesgo identificado es de significativo o no. 2.8 Calificación Final del Riesgo inherente (RI) Esta calificación es la suma de Riesgo Inherente Riesgo de fraude y significativo, según el siguiente cuadro:

TABLA 5 CALIFICACIÓN FINAL DEL RIESGO INHERENTE

SUMANDO RIESGO DE FRAUDE Y SIGNIFICATIVO

FRAUDE SIGNIFICATIVO

INHERENTE TOTAL

1 0,5

CRÍTICO 3 1,1 0 4,1

CRÍTICO 2 1,1 0 3,1

CRÍTICO 1 1,1 0 2,1

ALTO 3 0 0,5 3,5

ALTO 3 0 0 3

ALTO 2 0 0,5 2,5

MEDIO 2 0 0 2

MEDIO 1 0 0,5 1,5

BAJO 1 0 0 1

RESULTADO CRÍTICO Cuando la calificación sea 2, 3 o 4 y existe riesgo de fraude ALTO Cuando la calificación sea 2.5, 3 o 3,5 y no hay riesgo de fraude MEDIO Cuando la calificación sea 1,5 o 2 y no hay riesgo de fraude BAJO Cuando la calificación sea 1.

Elaborado: CGR. 2.9 Riesgo de control (RC) Esta marcado por los controles que tiene implementado el sujeto de vigilancia y control fiscal y las circunstancias en que lleguen a ser insuficientes o inadecuados, en perjuicio de la detección oportuna de irregularidades.

Se debe obtener suficiente comprensión de los controles y la importancia que tienen para facilitar el logro de los objetivos de los

sujetos de vigilancia y control fiscal a auditar, o asunto a auditar a su cargo. 2.10 Descripción de los Controles. Consiste en obtener suficiente comprensión de los controles y la importancia que tienen para facilitar el logro de los objetivos de los sujetos de vigilancia y control fiscal a auditar. Se debe comprender los controles, para:  Establecer en que fase del proyecto o programa esta el control que se va evaluar.  Identificar si los controles detectan oportunamente las desviaciones en los procesos y otorgan seguridad razonable al auditor.  Identificar controles que provean seguridad razonable de que los riesgos significativos son prevenidos o detectados.  Identificar los controles que pueden ser probados.  Determinar si faltan controles que sean necesarios.  Determinar la dependencia de los controles sobre Tecnologías de Información - TI. 2.11 Evaluación de controles Con base en el conocimiento adquirido sobre el tema se realizará la evaluación de controles que servirán de base para identificar aquellos aspectos significativos sobre los cuales se desarrollará la auditoría. En el caso de la auditoría desempeño, se realizarán pruebas de recorrido (Anexo 6.2) y de cumplimiento sobre todos aquellos sistemas de información y procedimientos establecidos o relacionados con el tema o asunto a auditar, desarrollados por la(s) entidad(es) fiscalizada(s) para alcanzar los objetivos propuestos. Cuando los sistemas de información, sean contables o de cualquier otro tipo, el auditor debe determinar si los controles internos funcionan de forma que garanticen la exactitud, fiabilidad e integridad de los datos (ISSAI 3000 INTOSAI, 2004).

La evaluación de controles implica:  Establecer la importancia y el grado del riesgo al que los controles están siendo dirigidos;  Identificar y comprender los controles relevantes;  Determinar lo que ya se conoce sobre la existencia del control;  Evaluar si el diseño de control es adecuado;  Determinar, a través de pruebas, si los controles son efectivos y tienen continuidad (INTOSAI GOV 9100, 2004, pág. 51). 2.11.1 Evaluar el Diseño de los Controles Este procedimiento se ejecutará mediante pruebas de recorrido. Para determinar si el control está bien diseñado, el auditor debe verificar que el control cumpla con los siguientes criterios, registrando si o no:  Apropiado: Que el control identificado previene o mitiga los riesgos de la actividad a controlar.  Responsable de ejecutar el control: Si hay una persona responsable de ejecutar el control, si la persona que aplica los controles se ajusta al cargo que desempeña y si existe segregación de funciones.  Frecuencia del control: La periodicidad de la aplicación del control es correspondiente con la frecuencia de ejecución de las actividades para las cuales se estableció el control.  Documentación del control: El control se encuentra debidamente formalizado (Políticas / Manuales de procedimiento y de funciones) Al final con la aplicación de las pruebas de recorrido, se determinará si el diseño del control es: Adecuado, Parcialmente Adecuado o Inadecuado, esta calificación es el riesgo de controles y se debe tener en cuenta para el riesgo combinado.

TABLA 6 CALIFICACIÓN DEL DISEÑO DE CONTROLES

EVALUACIÓN DEL DISEÑO CRITERIOS PUNTAJE

DE CONTROLES Cumple con todos los Adecuado 1 criterios Cumple con el criterio: apropiado pero Parcialmente Adecuado 2 incumple algún otro de los criterios Incumple con el criterio apropiado o no cumple Inadecuado 3 con ninguno de los criterios

Elaborado: CGR. 2.12 Riesgo Combinado Es la sumatoria entre el riesgo final del inherente (RI) y el de control

(RC). TABLA 7 CALIFICACION DEL RIESGO COMBINADO Adecuado Parcial Inadecuado 1 2 3 Crítico 4,1 4,1 8,2 12,3 Crítico 3,1 3,1 6,2 9,3 Crítico 2,1 2,1 4,2 6,3 Alto 3,5 3,5 7 10,5 Alto 2,5 2,5 5 7,5 Alto 2 2 4 6 Medio 2 2 4 6 Medio 1,5 1,5 3 4,5 Bajo 1 1 2 3 RESULTADO ALTO Cuando la calificación sea mayor o igual que 7 MEDIO Cuando la calificación este entre 4 y 6,3 BAJO Cuando la calificación menor o igual a 4

Elaborado: CGR.

Al final de la columna de la calificación del riesgo combinado de la matriz, se tiene un resultado promedio de los riesgos y del diseño de los controles evaluados.

TABLA 8 CALIFICACIÓN PARA RIESGO DE AUDITORIA DEL

RIESGO COMBINADO

CALIFICACIÓN

RESULTADO PROMEDIO

PARA RIESGO DE

RIESGO COMBINADO

AUDITORÍA

ALTO 3

MEDIO 2

BAJO 1

Elaborado: CGR 2.13 Proceso y Actividad Significativa Antes de iniciar la evaluación de la efectividad de los controles es necesario identificar si a partir de la evaluación de los riesgos y el diseño de los controles, si el proceso y actividad es significativa o aspecto clave para la auditoría.

Los aspectos claves son aquellos procesos, actividades o áreas que componen el tema o asunto a auditar; susceptibles de revisar a fondo en la auditoría por su importancia o nivel de riesgo, entre otros aspectos, identificados en la evaluación de riesgos y controles; y que están asociados a los principios del desempeño (eficiencia, eficacia, economía, etc.). Igualmente el grupo auditor debe dejar una conclusión sobre los procesos y actividad significativos en la casilla - Comentarios para el informe de auditoría sobre la evaluación de controles Auditoria de Desempeño. 2.14 Efectividad de los Controles Para determinar la efectividad del control, el auditor por medio de pruebas debe verificar que estos cumplen con los siguientes criterios: Para determinar la efectividad del control, el auditor debe verificar que cumple con los siguientes criterios, registrando si o no:  Existe evidencia de su uso: Existe evidencia en la muestra examinada, que el control implementado está siendo utilizado.  Mitiga el Riesgo: El control examinado en la muestra, previene o mitiga los riesgos. Para efectos de cuantifi