SFC - Auditoría interna. Tercerización de la labor Concepto interno del 2 de agosto de 2007 idConcepto

AUDITORÍA INTERNA, TERCERIZACIÓN DE LA LABOR Concepto interno del 2 de agosto de 2007.

Síntesis: Sería viable la tercerización o externalización de la labor de auditoría interna, siempre y cuando dicha contratación cumpla con parámetros como que la administración de la entidad tenga claro que sólo entrega la ejecución de la labor más no la responsabilidad misma de la realización de la auditoria, de la cual es claro que no se libera. «(…) solicita nuestros comentarios sobre la viabilidad legal de que la auditoria interna de una entidad, sea ejercida “por una entidad externa a la compañía”, entre otros fines, para el ejercicio de las funciones de control interno definidas en la Circular Externa 048 de 2006.

En primer lugar hay que señalar que la ley colombiana no prevé en parte alguna el tema de que trata su consulta. Por ello, el análisis que se realiza a continuación parte, de un lado, de la definición y características de la labor de auditoría interna y del otro, de las normas internacionales sobre la materia. Pues bien, en Circular Externa 004 del 18 de diciembre de 1991, la Junta Central de Contadores señaló que: “La Auditoría Interna (…), es una actividad dentro de la Empresa para la evaluación de la organización y el control y para la revisión de las operaciones, en especial de aquellas que tienen repercusión en la información contable y financiera como base para proporcionar un servicio a la dirección; es un órgano dependiente de la administración, que funciona con el propósito de evaluar y vigilar la efectividad de los controles establecidos por la administración; en últimas, es un control de controles. “(…). La función principal de la Auditoría Interna es la de vigilar los controles

establecidos en la empresa mediante la revisión de la información contable y financiera y de la evaluación de la organización, para detectar los problemas de control interno y establecer las medidas de protección de los intereses de la compañía, promoviendo simultáneamente la eficiencia de la operación.”. Por su parte el Instituto de Auditores Internos de los Estados Unidos ha definido la auditoría interna como "(…) una actividad independiente que revisa en forma objetiva y brinda consultoría en orden a agregar valor en la ejecución de las operaciones de la organización. Ayuda a la organización a cumplir sus objetivos con un enfoque sistemático y disciplinado para evaluar y mejorar la eficiencia del sistema de administración de riesgos, control y proceso de gobernabilidad.1 En idéntico sentido, Mauricio León Lefcovich en su monografía sobre auditoria interna2, señala: “(…) la auditoría interna es un control de dirección que tiene por objeto la medida y evaluación de la eficacia de otros controles. “El objetivo principal es ayudar a la dirección en el cumplimiento de sus funciones y responsabilidades, proporcionándole análisis objetivos, evaluaciones, recomendaciones y todo tipo de comentarios pertinentes sobre las operaciones examinadas. Este objetivo se cumple a través de otros más específicos como los siguientes: a. “Verificar la confiabilidad o grado de razonabilidad de la información contable y extracontable, generada en los diferentes niveles de la organización. b. “Vigilar el buen funcionamiento del sistema de control interno (lo cual implica su relevamiento y evaluación), tanto el sistema de control interno contable como el operativo”. Se concluye, entonces, que la auditoria interna es un control que proviene de la dirección de la compañía y depende de ésta.

Ahora bien, en materia de auditoría en general, nuestra legislación ha previsto en primer término que se entienden por actividades relacionadas con la ciencia contable en general, entre otras, la prestación de servicios de auditoría.3 De ahí que la ley también prevea que para desempeñarse como auditor, interno o externo, se debe tener la calidad de contador público.4 Adicionalmente, la ley prevé que la labor del contador debe ajustarse a las normas de auditoría generalmente aceptadas5, las cuales están plasmadas en el artículo 7º de la Ley 43 de 1990, en los siguientes términos: 1 www.theiia.org. 2 3 Artículo 2º de la Ley 43 de 1990 - reglamentaria de la profesión de Contador Público-. 4 El artículo 13 ibídem reza “Además de lo exigido por las leyes anteriores, se requiere tener la calidad de Contador Público en los siguientes casos: 1. Por razones del cargo. a) Para desempeñar las funciones de (…), auditor interno en toda clase de sociedades, para las cuales la ley o el contrato social así lo determinan.(…).”. 5 Numeral 2º del artículo 8º ibídem, “(…) Los Contadores Públicos están obligados a: 1. Observar las normas de ética profesional. 2. Actuar con sujeción a las normas de auditoría generalmente aceptadas. 3. Cumplir las normas legales vigentes (…) 4. Vigilar que el registro e información contable se fundamente en principios de contabilidad generalmente aceptados en Colombia.”. “Artículo 7o. De las normas de auditoría generalmente aceptadas. Las normas de auditoría generalmente aceptadas, se relacionan con las cualidades profesionales del

Contador Público, con el empleo de su buen juicio en la ejecución de su examen y en su informe referente al mismo. “Las normas de auditoría son las siguientes: “1. Normas Personales. “a) El examen debe ser ejecutado por personas que tengan entrenamiento adecuado y estén habilitadas legalmente para ejercer la Contaduría Pública en Colombia. “b) El Contador Público debe tener independencia mental en todo lo relacionado con su trabajo, para garantizar la imparcialidad y objetividad de sus juicios. “c) En la ejecución de su examen y en la preparación de sus informes, debe proceder con diligencia profesional. “2. Normas relativas a la ejecución del trabajo. “a) El trabajo debe ser técnicamente planeado y debe ejercerse una supervisión apropiada sobre los asistentes, si los hubiere. “b) Debe hacerse un apropiado estudio y una evaluación del sistema de control interno existente, de manera que se pueda confiar en él como base para la determinación de la extensión y oportunidad de los procedimientos de auditoría. “c) Debe obtenerse evidencia válida y suficiente por medio del análisis, inspección, observación, interrogación, confirmación y otros procedimientos de auditoría, con el propósito de allegar bases razonables para el otorgamiento de un dictamen sobre los Estado Financieros sujetos a revisión. “3. Normas relativas a la rendición de informes. “a) Siempre que el nombre de un Contador Público sea asociado con estados financieros, deberá expresar de manera clara e inequívoca la naturaleza de su relación con tales estados. Si practicó un examen de ellos, el Contador Público deberá

expresar claramente el carácter de su examen, su alcance y su dictamen profesional sobre lo razonable de la información contenida en dichos estados financieros. “b) El informe debe contener indicación sobre si los estados financieros están presentados de acuerdo con principios de contabilidad generalmente aceptados en Colombia. “c) El informe debe contener indicación sobre si tales principios han sido aplicados de manera uniforme en el período corriente en relación con el período anterior. “d) Cuando el Contador Público considere necesario expresar salvedades sobre algunas de las afirmaciones genéricas de su informe y dictamen, deberá expresarlas de manera clara e inequívoca, indicando a cuál de tales afirmaciones se refiere y los motivos e importancia de la salvedad en relación con los estados financieros tomados en conjunto. “e) Cuando el Contador Público considere no estar en condiciones de expresar un dictamen sobre los estados financieros tomados en conjunto deberá manifestarlo explícita y claramente.”. (subraya fuera del texto original). Es así como la labor de contador público debe estar per se precedida por la independencia, la objetividad y sujetarse a unas normas de auditoría generalmente aceptadas. Este atributo del contador en el ejercicio de la labor de auditoria, se ve enfatizado por lo previsto en la misma normativa al establecer el Código de Ética Profesional del Contador Público. Dispone el artículo 37 lo siguiente: “En consecuencia, el Contador Público debe considerar y estudiar al usuario de sus servicios como ente económico separado que es, relacionarlo con las circunstancias particulares de su actividad, sean éstas internas o externas, con el fin de aplicar, en

cada caso, las técnicas y métodos más adecuados para el tipo de ente económico y la clase de trabajo que se le ha encomendado, observando en todos los casos, los siguientes principios básicos de ética profesional: 1. Integridad. 2. Objetividad. 3. Independencia. 4. Responsabilidad. 5. Confidencialidad. 6. Observaciones de las disposiciones normativas. 7. Competencia y actualización profesional. 8. Difusión y colaboración. 9. Respeto entre colegas. 10. Conducta ética. Los anteriores principios básicos deberán ser aplicados por el Contador Público tanto en el trabajo más sencillo como en el más complejo, sin ninguna excepción. De esta manera, contribuirá al desarrollo de la Contaduría Pública a través de la práctica cotidiana de su profesión. Los principios de ética anteriormente enunciados son aplicables a todo Contador Público por el sólo hecho de serlo, sin importar la índole de su actividad o la especialidad que cultive, tanto en el ejercicio independiente o cuando actúe como funcionario o empleado de instituciones públicas o privadas, en cuanto sea compatible con sus funciones. La explicación de los principios básicos de ética profesional, es la siguiente: Y en relación con la objetividad e independencia indica la norma: “37.2 Objetividad. La objetividad representa ante todo imparcialidad y actuación sin prejuicios en todos los asuntos que correspondan al campo de acción profesional del Contador Público. Lo anterior es especialmente importante cuando se trata de certificar, dictaminar u opinar sobre los estados financieros de cualquier entidad. Esta cualidad va unida generalmente a los principios de integridad e independencia y suele

comentarse conjuntamente con esto. “37.3 Independencia. En el ejercicio profesional, el Contador Público deberá tener y demostrar absoluta independencia mental y de criterio con respecto a cualquier interés que pudiere considerarse incompatible con los principios de integridad y objetividad, con respecto a los cuales la independencia, por las características peculiares de la profesión contable, debe considerarse esencial y concomitante.”. Así, en principio podría concluirse que los requisitos de independencia, objetividad, sujeción a las normas de auditoria generalmente aceptadas, etc. que se predican de la labor de auditoría vienen dados de quien la ejerce con prescindencia de si es un funcionario de la entidad o contratado por la misma. En este sentido, encontramos que a nivel internacional las normas permiten la prestación por parte de una compañía externa de los servicios de auditoría interna (Australia –APRA6 APS 231; Panamá –Superintendencia de Bancos Acuerdo 009 de 2005) y que, incluso, los documentos del Comité de Basilea prevén esta posibilidad, veamos: El 28 de Agosto de 2001 el Comité de Basilea sobre Supervisión Bancaria publicó un documento titulado "Internal audit in banks and the supervisors relationship with auditors". Éste contiene 20 principios en materia de auditoría interna que siguen las políticas formuladas por el Comité en septiembre de 1998, contenidas en el documento titulado "Framework for Internal Control Systems of Banking Organizations" y que aplican a las entidades financieras, incluyendo los grupos bancarios y a las compañías holdings que tienen bancos como subsidiarias. En dicho texto se recomienda tener una auditoría interna independiente y profesionalmente competente y contiene una serie de observaciones acerca de las

relaciones entre los auditores internos, los auditores externos, los supervisores y los Comités de Auditoría, en el mismo se contempla la posibilidad de contratar outsourcing de auditoría interna. Es así como el principio 20 define lo que se entiende por outsourcing de auditoria interna. Resalta que cuando la contratación externa de la auditoria interna se hace sobre aspectos específicos trae ventajas significativas a los bancos como la experticia en los temas y el conocimiento especializado en algunos temas. 6 The Australian Prudential Regulation Authority (APRA). En general, el documento deja claro que contratar externamente la auditoria interna para entidades pequeñas es aceptable pero en entidades de gran tamaño ello embarga algunos riesgos que deben ser mitigados por la entidad. Así, pone de presente que el riesgo implícito en contratar externamente la labor de la auditoria interna es la posible pérdida de control de la administración sobre las actividades de la auditoria interna por lo que, advierte, este riesgo debe ser manejado y monitoreado. De otra parte, para el supervisor la contratación externa de la auditoria interna puede hacer difícil la obtención de información acerca de sus actividades o para requerir cambios en la forma como la auditoria fue realizada. De todas maneras señala el documento que en caso de llegar a contratarse externamente la auditoria interna para realizar la totalidad de las actividades propias de ésta, la entidad financiera debe mantener su dirección en cabeza de un funcionario experimentado y un grupo de sus colaboradores internos. Igualmente, el documento resalta que el contrato debe ser por escrito, preferiblemente con una firma diferente de la que adelanta la auditoria externa, pues el hecho de que sea la misma puede afectar la independencia requerida para el auditor interno.

Asimismo, en el contrato deben constar claramente las responsabilidades de la firma externa que realizará la auditoria interna y el alcance de su tarea, así como la previsión acerca de que quien dirige la labor de auditoria al interior de la entidad aprobará previamente la prioridad de los riesgos a revisar y, en general, la planeación del trabajo que proponga la firma. Adicionalmente, el contrato también debe asegurar la posibilidad de que quien dirige la labor de auditoria al interior de la entidad, la auditoria externa, el supervisor y, obviamente la administración tendrá acceso en todo momento a su plan y a los papeles de trabajo. Finalmente, advierte el documento que en la medida en que contratar externamente la auditoria interna incrementa los riesgos de operación de las entidades, el supervisor espera que la entidad analice el impacto que la contratación puede tener en su perfil general de riesgos y en su sistema de control interno. También señala que la entidad tiene que tener previsto un plan de contingencia en el evento en que el contrato termine anticipadamente y, en todo caso, prever internamente los responsables de analizar, implementar y hacer seguimiento a las recomendaciones de la auditoria. Es claro que las anteriores consideraciones obedecen al hecho de que la labor de auditoria interna es una responsabilidad de la dirección de la entidad, por ello el Internal Audit Paper del Comité de Basilea señala que ”(…) tanto si las labores de auditoria interna las realiza una entidad ajena al banco como si no, el Consejo de Administración (Junta Directiva) y la alta gerencia del banco son los responsables últimos a la hora de garantizar que el sistema de control interno y la auditoria interna resultan adecuados y funcionan de forma eficaz.”

Por lo anterior, no es usual que las entidades sobre todo las grandes asignen a un tercero la realización de las labores de auditoria interna. Sin embargo, de hacerse se entiende que la entidad en ningún caso traslada la responsabilidad sobre la auditoria misma sino tan sólo el trabajo de auditoria. Ahora, la tendencia mundial de la tercerización o externalización de actividades propias de las entidades vigiladas es creciente. De hecho, en épocas recientes ésta misma Superintendencia ha autorizado la contratación externa de actividades propias de las entidades como el llevar la contabilidad, la selección y administración de personal, la infraestructura tecnológica, por ejemplo, bajo la observancia de ciertas condiciones. Todo lo anterior lleva a concluir a este Grupo Legal que sería viable la tercerización o externalización de la labor de auditoría interna, siempre y cuando dicha contratación cumpla con ciertos parámetros, el primero de los cuales debe ser, necesariamente, que la administración de la entidad tenga claro que sólo entrega la ejecución de la labor más no la responsabilidad misma de la realización de la auditoria, de la cual es claro que no se libera. Adicionalmente, tal como atrás se indicó, que haya por parte de la entidad un direccionamiento, administración y seguimiento de la actividad realizada por el tercero; que no se delegue la toma de decisiones como la de a qué riesgos debe ir orientada primordialmente la auditoria ni la adopción del plan de auditoria; el acceso permanente de la administración y del supervisor a la información de la auditoria y a los papeles de trabajo; el establecimiento de un plan de contingencias para que no cese la labor en caso de algún problema en la ejecución del contrato y la independencia entre el auditor externo y el interno, por manera que no se considera

recomendable que ambas tareas sean desarrolladas por la misma firma, entre otros, por la propensión inevitable de que se presenten situaciones generadoras de conflictos de interés. (…).»