SFC - Control interno. Tercerización de la auditoría. Comité de Auditoría Concepto No. 2009074918-001 del 13 de noviembre de 2009 id2009074918

CONTROL INTERNO, TERCERIZACIÓN DE LA AUDITORÍA, COMITÉ DE AUDITORÍA Concepto 2009074918-001 del 13 de noviembre de 2009.

Síntesis: Teniendo en cuenta que es en cabeza de la Junta Directiva y de la administración en quien reposa la responsabilidad por el Sistema de Control Interno de la entidad, se considera que dicho órgano no solo debe conocer y aprobar la tercerización de la auditoría, sino impartir las directrices bajo las cuales se realizará esa tercerización y efectuarle seguimiento, cerciorarse que el tercero cumpla con los atributos requeridos.

Sobre el rol del Comité de Auditoría en este proceso, es menester precisar que como órgano de apoyo de la Junta podrá realizar las tareas de análisis y estudio del proyecto de tercerización de la auditoría y efectuar su presentación y recomendaciones a la Junta. «(…) formula la siguiente consulta: “En punto a los instructivos recientemente impartidos en el título I, capítulo noveno numeral 7, de la Circular Básica Jurídica 07 de 1996, (sic) permito consultar. El comité de auditoría y la junta directiva en atribución de sus funciones otorgada (sic) por el citado instructivo, ¿Deben conocer y aprobar el proyecto de tercerización de la Oficina de Control del Fondo Nacional del Ahorro? “ Sobre el particular, a efectos de atender la inquietud presentada, consideramos procedente efectuar los siguientes comentarios: El numeral 7 del Capítulo Noveno, Título Primero de la Circular Externa 007 de 1996 (Circular Básica Jurídica), modificado por las Circulares Externas 014 y 038 de 2009, establece el Sistema de Control Interno que deben implementar o ajustar las entidades

sometidas a la inspección y vigilancia de la Superintendencia Financiera de Colombia. Ahora bien, dentro del marco de dicho sistema, la Auditoría Interna cobra una especial importancia al interior de la entidad, pues tiene como función la evaluación y contribución a la mejora de los procesos de gestión de riesgos, control y gobierno corporativo de la entidad. Por lo anterior, las citadas Circulares establecen la necesidad de que las entidades vigiladas cuenten con un auditor interno, contralor o funcionario que realice las funciones equivalentes y, en caso de que no exista dependencia dentro de la organización que cumpla con dichas funciones, se indique expresamente tal situación en el informe de gestión que los administradores presentan al cierre de cada ejercicio al máximo órgano social, informando las razones por las cuales no consideran procedente contar con el mencionado departamento. De igual manera, contempla la posibilidad de que las funciones de auditoría interna sean desarrolladas por terceros, caso en el cual se deben observar los parámetros dentro de los cuales se contrata la ejecución de tal actividad, ya que la norma es clara al señalar que en estos eventos no se traslada la responsabilidad sobre la auditoría, sino que ésta continúa en cabeza de la entidad, tal como se indica en la parte final del numeral 7.7.1.4.2.2.7 del Capítulo y Títulos citados de la Circular Externa 007 de 1996, así: “Es de advertir que si bien resulta viable que la administración de las entidades supervisadas contrate externamente la realización de las actividades propias de la auditoría, en ningún caso ello implica el traslado de la responsabilidad sobre la auditoría misma. Es decir, que la administración de la entidad sólo entrega la ejecución de la labor

más no la responsabilidad misma de la realización de la auditoría, la cual conservará siempre. En tal sentido, la administración de la entidad debe realizar el direccionamiento, administración y seguimiento de la actividad realizada por el tercero, sin delegar la toma de decisiones tales como los riesgos en los cuales se debe concentrar primordialmente la auditoría o la adopción del plan de auditoría. Adicionalmente debe garantizarse el acceso permanente de la administración y del supervisor a la información de la auditoría y a los papeles de trabajo, el establecimiento de un plan de contingencias para que no cese la labor en caso de algún problema en la ejecución del contrato y la independencia entre el auditor interno y externo (si existe este último), teniendo en cuenta que las dos funciones mencionadas no pueden ser desarrolladas por la misma firma.” (negrilla fuera de texto). En igual sentido, el artículo 7° de la Ley 87 de 1993 faculta a las entidades públicas para contratar con empresas privadas colombianas de reconocida capacidad y experiencia, el servicio de la organización de Sistemas de Control Interno y el ejercicio de las auditorías internas, con el cumplimiento de los requisitos previstos en dicha norma. Por otra parte, el numeral 7.7.1.4.2.1.2 del capítulo y título varias veces citado, considera como una práctica de buen gobierno corporativo, que el auditor interno o quien haga sus veces “sea nombrado por la junta directiva u órgano equivalente”, a fin de garantizar la imparcialidad y neutralidad de los trabajos que ejecute y buscando evitar los conflictos de intereses. En razón de lo expuesto, y primordialmente teniendo en cuenta que es en cabeza de la Junta

Directiva y de la administración en quien reposa la responsabilidad por el Sistema de Control Interno de la entidad, esta Superintendencia considera que dicho órgano no solo debe conocer y aprobar la tercerización de la auditoría, sino, tal como lo indica la instrucción antes trascrita, impartir las directrices bajo las cuales se realizará esa tercerización y efectuarle seguimiento. En este punto, resulta pertinente anotar que la junta directiva, al momento de impartir la aprobación del referido proyecto, deberá cerciorarse de que el tercero que contrate la entidad para realizar las labores de auditoría interna, cumpla con los atributos requeridos y garantice la observancia de las normas relativas al desempeño de su labor de acuerdo con lo previsto al respecto en el numeral 7.7.1.4 del Capítulo Noveno, Título Primero de la Circular Externa 007 de 1996. Por último, en cuanto al rol del Comité de Auditoría en este proceso, es menester precisar que como órgano de apoyo de la Junta podrá realizar las tareas de análisis y estudio del proyecto de tercerización de la auditoría y efectuar su presentación y recomendaciones a la Junta, siendo de todas maneras esta última la competente para tomar las decisiones del caso respecto de la contratación del tercero para la ejecución de las labores de auditoría interna. (…).»