¿DEBE EL AUDITOR COMUNICAR LAS DEFICIENCIAS IDENTIFICADAS EN EL CONTROL INTERNO DE UNA ORGANIZACIÓN?
En el marco de las auditorías de estados financieros, la Norma Internacional de Auditoría 265 establece la responsabilidad del auditor de comunicar de manera oportuna y apropiada las deficiencias detectadas en el control interno de la entidad. Este proceso es fundamental para que los encargados del gobierno corporativo y la administración puedan tomar las medidas correctivas necesarias para mitigar los riesgos que puedan impactar los estados financieros.
Objetivo
El objetivo del auditor es comunicar adecuadamente a los responsables del gobierno de la entidad y a la dirección las deficiencias en el control interno identificadas durante la realización de la auditoría y que, según el juicio profesional del auditor, tengan la importancia suficiente para merecer la atención de ambos.
Responsabilidad del Auditor
El auditor debe adquirir un conocimiento detallado del control interno de la entidad para evaluar adecuadamente los riesgos de representación errónea. Es importante aclarar que la auditoría no implica emitir una opinión sobre la efectividad del control interno, sino que se limita a comunicar las deficiencias que pudieran afectar la fiabilidad de los estados financieros.
Comunicación de deficiencias
Entonces, ¿Debe el auditor comunicar las deficiencias identificadas en el control interno de una organización?
La respuesta es, por supuesto que sí, en toda auditoría, cuando se identifican deficiencias en el control interno, el auditor debe evaluar su impacto en los estados financieros y comunicar dichas deficiencias de manera formal y escrita a los responsables del gobierno corporativo y la administración. Esta comunicación debe incluir una descripción detallada de cada deficiencia, sus efectos y las recomendaciones para corregirlas. El auditor determinará la forma y el contenido de la comunicación de acuerdo con la naturaleza de la entidad, considerando las políticas internas y los requisitos legales relacionados con el control interno.
Durante la realización de la auditoría, el auditor puede identificar otras deficiencias en el control interno que, si bien no son significativas, tienen la importancia suficiente como para merecer la atención de la dirección. La determinación de estas otras deficiencias en el control interno que merecen la atención de la dirección se hará ejerciendo el juicio profesional, a la luz de las circunstancias, teniendo en cuenta la probabilidad y la posible magnitud de las incorrecciones que puedan afectar a los estados financieros como consecuencia de dichas deficiencias.
La comunicación de estas otras deficiencias en el control interno que merezcan la atención de la dirección no ha de realizarse necesariamente por escrito, sino que puede ser verbal. En los casos en los que el auditor haya discutido los hechos y las circunstancias relativas a sus hallazgos con la dirección, puede considerar que la comunicación verbal de dichas otras deficiencias a la dirección se ha realizado en el transcurso de tales discusiones. Por consiguiente, no es necesario realizar una comunicación formal posterior.
Si, en un periodo anterior, el auditor ha comunicado a la dirección deficiencias en el control interno que no sean significativas, y la dirección ha decidido no corregirlas por razones de coste o de otro tipo, no es necesario que el auditor repita la comunicación en el periodo actual. Tampoco se requiere que el auditor repita la información sobre dichas deficiencias si anteriormente ya han sido comunicadas a la dirección por otras partes, por ejemplo, por la función de auditoría interna o por las autoridades reguladoras. No obstante, puede ser adecuado que el auditor vuelva a comunicar esas otras deficiencias si ha habido un cambio en la dirección, o en el caso de que el auditor haya obtenido nueva información que modifique el conocimiento que el auditor o la dirección tenían anteriormente con respecto a dichas deficiencias. No obstante, el hecho de que la dirección no corrija esas otras deficiencias en el control interno que le fueron comunicadas con anterioridad puede convertirse en una deficiencia significativa que requiera ser comunicada a los responsables del gobierno de la entidad. La determinación de si éste es el caso la hará el auditor ejerciendo su juicio a la luz de las circunstancias.
Recomendaciones para la emisión de las cartas con deficiencias
Al momento de emitir las cartas de recomendación, es fundamental seguir una serie de directrices para asegurar que la información sea clara y efectiva:
- Las sugerencias deben apuntar a fortalecer el sistema de control interno y promover la eficiencia operativa de la organización.
- Se recomienda la elaboración de dos cartas: una dirigida a la alta gerencia que aborde las deficiencias con un impacto alto, y otra dirigida al director financiero o contador, que detalle tanto las deficiencias de impacto alto como medio.
- Estructura de la carta:
- Introducción.
- Objetivo y alcance de la auditoria
- Procedimientos realizados por el equipo auditor
- Conclusión general
- Detalle de las deficiencias y su calificación de riesgo.
- Recomendaciones
- Planes de acción para corregir las situaciones observadas.
- La redacción debe ser breve, clara y precisa, permitiendo al lector comprender la magnitud y el contexto de las deficiencias.
- Todas las oportunidades de mejora deben ser validadas con los responsables de las áreas correspondientes.
- El auditor debe establecer un proceso de seguimiento para verificar la implementación de las acciones correctivas y garantizar que la administración asuma la responsabilidad de cualquier riesgo no mitigado.
Por último, se puede concluir que la comunicación efectiva de las deficiencias del control interno es esencial para que la administración tome las acciones correctivas necesarias. El auditor debe garantizar que su reporte sea claro, completo y oportuno, permitiendo a los encargados tomar decisiones informadas que fortalezcan el control interno y mitiguen los riesgos financieros.
Para más detalles sobre cómo implementar estas recomendaciones o sobre nuestra metodología de auditoría, no dude en contactarnos.
Fuente:
- https://incp.org.co/publicaciones/infoincp-publicaciones/informacion-para-empresas/auditoria/2015/06/nia-265-comunicacion-de-deficiencias-en-el-control-interno/
- https://www.icjce.es/adjuntos/niaes-265.pdf
