El 29 se septiembre del 2004 se lanzó el Marco de Control denominado COSO II que según su propio texto no contradice al COSO I, siendo ambos marcos conceptualmente compatibles. Sin embargo, este marco se enfoca a la gestión de los riesgos (más allá de la intención de reducir riesgos que se plantea en COSO I) mediante técnicas como la administración de un portafolio de riesgos.
La Ley General de Control Interno de 2002 (Ley 8292) promulgada por el gobierno de Costa Rica, fue la primera de nuestro hemisferio dirigida específicamente al control interno, y enfocado al Sector Publico, establece los criterios mínimos que deberán observar los entes u órganos públicos en el establecimiento, funcionamiento, mantenimiento, perfeccionamiento y evaluación de sus sistemas de control interno.
El 23 de septiembre del 2003 se emite en Cuba por el Ministerio de Finanzas y Precios la Resolución 297, a partir de los acuerdos tomados en la Resolución Económica del 5to Congreso del Partido Comunista de Cuba. Esta resolución pone en vigor las Definiciones de control interno, el contenido de sus componentes y sus normas, para la implantación gradual en el país.
Con la promulgación de la Resolución 297 del 2003 del MFP, Cuba se incluye en la intención de la creación de un marco conceptual único de Control Interno, tomando como referencia los conceptos que aparecen en el Informe Coso emitido en 1992.
El Informe COSO I y II
Con el informe COSO (COMMITTEE OF SPONSORING ORGANIZATIONS), de 1992, se modificaron los principales conceptos del Control Interno dándole a este una mayor amplitud.
El Control Interno se define entonces como un proceso integrado a los procesos, y no un conjunto de pesados mecanismos burocráticos añadidos a los mismos, efectuado por el consejo de la administración, la dirección y el resto del personal de una entidad, diseñado con el objeto de proporcionar una garantía razonable para el logro de objetivos.
La seguridad a la que aspira solo es la razonable, en tanto siempre existirá el limitante del costo en que se incurre por el control, que debe estar en concordancia con el beneficio que aporta; y, además, siempre se corre el riesgo de que las personas se asocien para cometer fraudes.
Se modifican, también, las categorías de los objetivos a los que está orientado este proceso.
De una orientación meramente contable, el Control Interno pretende ahora garantizar:
Efectividad y eficiencia de las operaciones.
Confiabilidad de la información financiera.
Cumplimiento de las leyes y normas que sean aplicables.
Salvaguardia de los recursos.
A través de la implantación de 5 componentes que son:
Ambiente de control (Marca el comportamiento en una organización. Tiene influencia directa en el nivel de concientización del personal respecto al control.)
Evaluación de riesgos (Mecanismos para identificar y evaluar riesgos para alcanzar los objetivos de trabajo, incluyendo los riesgos particulares asociados con el cambio.)
Actividades de control (Acciones, Normas y Procedimientos que tiende a asegurar que se cumplan las directrices y políticas de la Dirección para afrontar los riesgos identificados.)
Información y comunicación (Sistemas que permiten que el personal de la entidad capte e intercambie la información requerida para desarrollar, gestionar y controlar sus operaciones.)
Supervisión (Evalúa la calidad del control interno en el tiempo. Es importante para determinar si éste está operando en la forma esperada y si es necesario hacer modificaciones.)
El informe COSO plantea una estructura de control de la siguiente forma:
O sea, las empresas trazaran objetivos anuales encaminados a la eficiencia y eficacia de las operaciones, la confiabilidad de la información financiera, el cumplimiento de las leyes y la salvaguarda de los recursos que mantiene. Identificarán y evaluarán los riesgos que pongan en peligro la consecución de estos objetivos; trazarán actividades de control para minimizar el impacto de estos riesgos; y activarán sistemas de supervisión para evaluar la calidad de este proceso. Todo lo anterior, con el sostén de un ambiente de control eficaz, y retroalimentado con un sistema de información y comunicación efectivo.
El Marco de Control denominada COSO II de Septiembre del 2004, establece nuevos conceptos que como se explicó anteriormente no entran en contradicción con los conceptos establecidos en COSO I. El nuevo marco amplia la visión del riesgo a eventos negativos o positivos, o sea, a amenazas u oportunidades; a la localización de un nivel de tolerancia al riesgo; así como al manejo de estos eventos mediante portafolios de riesgos.
El marco COSO II aun no se ha extendido de forma masiva por Latinoamérica, aunque algunos expertos hablan de la importancia del mismo. Cuba, por su parte, no considero esté en condiciones de aplicar el COSO II hasta tanto no haya recogido frutos del COSO I, y se haya ganado en la compresión de los nuevos conceptos.
El papel de la Auditoria Interna dentro de los sistemas de Control Interno basados en COSO
Basados en los nuevos conceptos de Control Interno, este se define como el proceso efectuado por la dirección y el resto del personal, para garantizar una seguridad razonable de las operaciones que permitan el alcance de los objetivos propuestos.
Partiendo de esto en todos los casos la responsabilidad por la implementación, evaluación y mantenimiento del proceso es la dirección de la entidad y específicamente en el Director general. La responsabilidad de los Auditores Internos en este proceso es la de revisar el Control implementado, señalar deficiencias y promover mejoras, pero en todos los casos será el personal de cada área el encargado de el mantenimiento del sistema y la implantación de las mejoras. De forma que tampoco ningún área de la empresa o institución debe considerarse encargada o responsable del Control Interno.
La auditoria interna se considerará entonces como una parte del sistema de control interno que funciona al revisar y evaluar los controles internos establecidos por otros, asesorar y señalar deficiencias y presentar recomendaciones de mejoras. Los auditores internos no se encargan de efectuar controles para poder proteger su propia independencia. Es, por tanto, una de las novedades de los sistemas de Control Interno basados en COSO, que la dirección sea la primera encargada de la auto evaluación del sistema, papel que hasta hace unos años le correspondía exclusivamente a los auditores internos e independientes.
Las Unidades de auditoria Interna deben brindar sus servicios a toda la organización. Constituyen un "mecanismo de seguridad" con el que cuenta la autoridad superior para estar informada, con razonable certeza, sobre la confiabilidad del diseño y funcionamiento de su sistema de control interno.
Por lo cual las Unidades de Auditoria Interna estarán facultadas para impugnar que:
Los objetivos de cada unidad, área o departamento de la empresa estén trazados de manera adecuada, y respondan a los objetivos generales de la entidad. Y además, que estén enmarcados en las categorías de objetivos establecidas.
El análisis de los riesgos se realice con profundidad, y se enmarque en los objetivos organizacionales.
Las Actividades de Control (sean Planes de acción, normas o Manuales de procedimientos) se elaboren teniendo en cuenta su función de minimizar los riesgos identificados.
Exista una adecuada y eficaz autoevaluación del sistema implantado en cada área y que la misma sirva a la retroalimentación y mejoría del sistema. (Estas autoevaluaciones servirán de base a los auditores internos para proponer mejoras a partir del diagnóstico de cada área.)
Fluya de manera eficiente la información para garantizar la compresión y actualización que requiere el personal de todas las áreas.
Así, la Auditoria Interna vigila, en representación de la autoridad superior, el adecuado funcionamiento del sistema, informando oportunamente a aquella sobre su situación. De esta manera juega su papel de asesora y supervisora del sistema, que se traduce en su aporte en el alcance de los objetivos previstos.
El taller como método para la implementación y posterior evaluación del Control Interno
De los métodos más utilizados hoy en el mundo para el desarrollo del control interno en las organizaciones, el taller es al parecer el que ha tenido mejores resultados o, al menos, el más utilizado.
Estos talleres se crearán por grupos de no más de 18 personas, formados por los dirigentes y trabajadores de las áreas. En todos los casos, como parte de la implementación del componente Ambiente de Control, todo este personal habrá sido seminariado sobre los conceptos vigentes de Control, y su papel en el mismo. Además, se tendrá pleno conocimiento de los objetivos y estrategias trazados específicos del área.
Dirigirá el taller un facilitador, encargado que el mismo se realice metodológicamente de forma correcta. En cada caso el facilitador será un miembro del Comité de Control, u otra persona designada que tenga el conocimiento necesario del tema.
El facilitador creará el ambiente propicio para la realización de una tormenta de ideas u otra técnica de trabajo en grupo que permita la participación de todos los trabajadores. En una primera etapa, se enunciarán las metas a alcanzar del área, y se trabajará para que los participantes en el taller identifiquen de manera espontánea los riesgos y obstáculos que pueden poner en peligro el alcance de cada uno de los objetivo. De manera que de cada objetivo tenga localizado uno, varios o ningún riesgo asociado. El facilitador velará que no se identifiquen riesgos que no pongan en peligro la consecución de al menos un objetivo y que se identifiquen riesgos para todas las categorías siempre que proceda. Cada riesgo identificado se evaluará según la frecuencia y el impacto del mismo. La Dirección de la unidad o área será responsable de registrar todos riesgos identificados y a que objetivo está vinculado; así como la frecuencia y el impacto con que se evaluó.
En una segunda etapa; el facilitador propondrá a los participantes identificar de manera espontánea acciones o medidas, que pudieran disminuir la posibilidad de ocurrencia de los eventos localizados como riesgos, de forma que cada uno de los riesgos se le localicen una o varias acciones de control. El facilitador velará además que no existan acciones de control que no estén asociadas a ningún riesgo específico. La dirección de la unidad o área es responsable de registrar las acciones de control propuestas y a qué riesgo se vincula, lo cual se utilizara en la confección de planes de acción, normas y procedimientos específicos.
Los talleres se utilizaran además para la autoevaluación del sistema implantado, y la misma es recomendable que se realice al menos de forma semestral. Se fomentará el debate, de forma que los trabajadores enjuicien la correcta evaluación de los riesgos y la eficacia de las actividades de control establecidas.
El correcto desarrollo de los talleres debe facilitar, por tanto, la implementación de los componentes de evaluación de riesgo y Actividades de Control; así como una parte más importante del componente de supervisión y monitoreo.
Se considera imprescindible que las Unidades de Auditoria Interna participen en los talleres, de manera que puedan enjuiciar la calidad con que se desarrollan los mismo; así como se retroalimenten de las autoevaluaciones que les brindaran información invaluable para la realización de su función supervisora.
