Por: Isabel Casares San José-Marti. Colaboradora de www.auditool.org
El 14 de mayo de 2013, el Comité de Organizaciones Patrocinadoras de la Comisión Treadway (COSO) publicó una versión actualizada de su Marco Integrado de Control Interno (Marco 2013) que proporciona unas mejoras a las entidades que utilicen el Marco de 1992, COSO Control Interno – Marco Integrado (el «Marco de 1992») para cumplir con la Sección 404 de la Ley Sarbanes-Oxley de 2002 (SOX), y la información sobre cómo hacer la transición del Marco 1992 al Marco 2013.
El Marco 2013 crea una estructura más formal para el diseño y la evaluación de la efectividad del control interno a través de 17 principios para describir los componentes del control interno relevantes para todas las entidades, desarrolla los conceptos de evaluación de riesgos, riesgo inherente, tolerancia al riesgo, tratamiento de los riesgos y la vinculación entre riesgos en las actividades de evaluación y control.
Asimismo, a diferencia del Marco 1992, incluye explícitamente el concepto de riesgo de fraude al evaluar los riesgos para el logro de los objetivos de la organización, teniendo en cuenta:
- Sesgo de la administración.
- Nivel de juicios y estimaciones en informes externos.
- Fraudes y situaciones comunes a los sectores y mercados en los que opera la entidad.
- Las regiones geográficas en las que opera la entidad.
- Los incentivos que pueden motivar un comportamiento fraudulento.
- La naturaleza de la tecnología y la capacidad de la administración para manejar la información.
- Transacciones inusuales o complejas sujetas a la influencia significativa en su gestión.
- La vulnerabilidad de la administración y los posibles esquemas para eludir las actividades de control existentes.
Además, se añaden consideraciones respecto al uso de los proveedores de servicios externalizados y una mayor relevancia de la tecnología de la información.
Se anima a las empresas a la transición de sus aplicaciones y la documentación relacionada con la actualización al Marco 2013 tan pronto como sea posible, dependiendo de las circunstancias particulares de las entidades. Durante el período de transición, establecido del 14 de mayo de 2013 al 15 de diciembre de 2014, se recomienda indicar la versión utilizada en los informes externos que se elaboren.
El Marco ERM y el Marco 2013 tienen diferentes enfoques pero los dos marcos se complementan entre sí para el diseño, implementación, realización y evaluación de la gestión de riesgos empresariales.
Las empresas que utilizan COSO para informar sobre el control interno en la presentación de reportes financieros externos podrían considerar:
- Identificación de nuevos conceptos y cambios en la norma.
- La evaluación de su formación y las necesidades de capacitación.
El Marco 2013 afecta al diseño y evaluación del informe elaborado por las entidades debiendo establecer:
- Evaluación de la cobertura de los principios de los procesos existentes y los controles relacionados.
- Evaluación de los procesos actuales, actividades, y documentación disponible relacionada con la aplicación de los principios.
- Identificación de las deficiencias existentes en el marco anterior.
- Identificación de las medidas a tomar en la transición.
- Formulación de un plan para la transición al 15 de diciembre de 2014 para las empresas obligadas a ella.
- Confirmación de la divulgación del marco utilizado en cada momento.
- Coordinación y comunicación interna con todos los grupos que son responsables de la implementación, seguimiento y presentación de informes de la organización.
- Discutir y coordinar las actividades con la auditoría interna y externa.
El Control Interno es un proceso llevado a cabo por el Consejo de Administración, la Gerencia y el resto del personal de la organización, diseñado para proporcionar una garantía razonable para lograr de objetivos relacionados con operaciones, reportes y cumplimiento.
En un sistema efectivo de control interno bajo el Marco 2013, cada uno de los cinco componentes y principios están obligados a estar presentes y en funcionamiento.
- Presente definido como «la determinación de que existen componentes y principios pertinentes en el diseño e implementación del sistema de control interno para lograr los objetivos especificados.»
- Funcionamiento definido como «la determinación de que los componentes y los principios pertinentes siguen existiendo en la realización del sistema de control interno para lograr los objetivos especificados.»
Se requieren los cinco componentes para operar juntos de una manera integrada, de tal forma que la organización de cumplir con los 17 principios:
Entorno de Control
1.- Debe demostrar su compromiso con la integridad y los valores éticos.
2.- El Consejo de Administración debe demostrar independencia en la gestión y ejercer la supervisión del desarrollo y ejecución del control interno.
3.- La alta dirección debe establecer, con la supervisión del Consejo de Administración, la estructura, líneas de reporting, autoridad y responsabilidad en la consecución de objetivos.
4.- Debe demostrar su compromiso para atraer, desarrollar y retener personas competentes.
5.- En la consecución de los objetivos, debe disponer de personas responsables para atender sus responsabilidades de Control Interno.
Evaluación de Riesgos
6.- Debe especificar los objetivos para permitir la identificación y evaluación de los riesgos relacionados.
7.- Debe identificar y evaluar sus riesgos.
8.- Debe gestionar el riesgo de fraude.
9.- Debe identificar y evaluar los cambios que podrían impactar en el sistema de control interno.
Actividades de Control
10.- Debe seleccionar y desarrollar actividades de control que contribuyan a la mitigación de los riesgos para el logro de sus objetivos.
11.- Debe seleccionar y desarrollar controles generales sobre Tecnología de la Información.
12.- Debe implementar sus actividades de control a través de políticas y procedimientos adecuados.
Información y Comunicación
13.- Debe generar la información relevante para respaldar el funcionamiento de los otros componentes de Control Interno.
14.- Debe compartir internamente la información, incluyendo los objetivos y responsabilidades para el control interno, necesaria para respaldar el funcionamiento de los otros componentes de Control Interno.
15.- Debe comunicar externamente las materias que afecten al funcionamiento de los otros componentes de Control Interno.
Actividades de Monitorización
16.- Debe llevar a cabo evaluaciones continuas e individuales, con el fin de comprobar si los componentes del control interno están presentes y funcionando.
17.- Debe evaluar y comunicar las deficiencias de control interno.
Los principios introducen ciertos cambios en los componentes del Control Interno, destacando laevaluación de los riesgos que, a partir que ahora, ha de incluir los conceptos de velocidad y persistencia de los riesgos como criterios para evaluar la criticidad de los mismos.
- Velocidad de riesgo se refiere a la rapidez con la que impacta un riesgo en la organización una vez este se ha materializado.
- Persistencia de un riesgo se refiere a la duración del impacto después de que le riesgo se haya materializado.
Adicionalmente, el Marco 2013, ha modificado la información acerca de las tareas y responsabilidades de los distintos participantes en el proceso, tales como:
- Responsabilidades del CEO y CFO para que formalmente asuman la efectividad del control interno en ciertas jurisdicciones.
- Actividad a desarrollar por los distintos tipos de Comités y su campo de actuación.
- Necesidad de incorporar, además de los auditores externos, a otros proveedores de servicios externalizados (evaluadores) para completar los diferentes tipos de revisión que puede realizar una entidad sobre su control interno (riesgos medioambientales, prácticas de comercio justo o seguridad laboral, etc.).
- Exigencias reguladoras y legislativas para certificar la eficacia del control interno de la compañía sobre el reporte financiero.
- Responsabilidad en la gestión de los riesgos de los procesos externalizados, debiendo implementar un programa para evaluar dichas actividades realizadas por otros en su nombre, y evaluar la eficacia del sistema de control interno sobre las actividades realizadas por dichos proveedores externos de servicios.
Economista. Actuaria de seguros. Asesora Actuarial y de Riesgos.
Fundadora y Presidenta de CASARES Asesoría Actuarial y de Riesgos, S.L. http://www.mcasares.es/
Licenciada en Ciencias Económicas y Empresariales por la Universidad Autónoma de Madrid. Rama Ciencias Económicas (1988). Licenciada en Ciencias Económicas y Empresariales por la Universidad Complutense de Madrid. Rama Ciencias Actuariales y Financieras (1990). Título profesional de Actuario de Seguros por el Ministerio de Educación y Ciencia de Madrid (1990). Doctorado en Economía Financiera y Actuarial por la Universidad Complutense de Madrid (1997). Título Profesional de Actuario de Fondos de Pensiones por el Ministerio de Economía (Dirección General de Seguros y Fondos de Pensiones). Diploma de Mediador de Seguros Titulado por el Ministerio de Economía (Dirección General de Seguros y Fondos de Pensiones). Perito judicial actuarial. Colaborador de Auditool
Madrid, España