El riesgo de control interno

#38

Introducción

Continuando con la anterior entrada al blog “Auditoría de sistemas y procedimientos” pincha aquí en la presente voy a referirme al riesgo de control, siendo este definido como “la probabilidad de que los controles internos del contratista no prevengan o detecten errores materiales, irregularidades o información falsa a tiempo y que afectan significativamente a los costes incurridos del contrato o a los costes presentados en las ofertas económicas”.

Como ya dije con anterioridad, el propósito de la Auditoría de Políticas, Procedimientos y de los Controles Internos del contratista relativos a la Contabilidad y Sistemas de Gestión es recoger evidencia suficiente para expresar una opinión acerca de la suficiencia y fiabilidad de la contabilidad del contratista y la consistencia de los sistemas de gestión y los controles internos para el cumplimiento con las normas y regulaciones aplicables y condiciones del contrato.

La evaluación del riesgo de control interno le permite al auditor de contratos determinar el grado de confianza que puede ponerse en los controles internos del contratista, la contabilidad y en los sistemas de la gestión, como una base sólida para planificar el alcance de auditorías relacionadas, es decir de costes incurridos y revisiones de ofertas. 

En aquellos casos dónde el auditor puede confiar en el sistema del contratista para registrar, procesar, resumir y emitir información de una manera consistente con las regulaciones contractuales, el riesgo de control será considerado “bajo”. En estos casos el auditor debe poder minimizar la realización de pruebas sustantivas en una auditoría, por ejemplo, de costes incurridos. 

En aquellos casos dónde los sistemas del control interno del contratista son inadecuados (de manera completa o parcial), entonces se precisa de una comprobación extensa de los costes declarados en las auditorías de incurridos, revisiones de ofertas y otras auditorías relacionadas (de tarifas horarias, por ejemplo). Sin embargo, el auditor debe sugerir al contratista que ponga énfasis en fortalecer la fiabilidad de la contabilidad la consistencia de sus sistemas de la gestión para que, en el futuro, no haya lugar de extender las comprobaciones durante las auditorías individuales de costes incurridos u otras relacionadas. 

En aquellas ocasiones en las que un sistema de control interno no ha sido auditado, el riesgo del control debe evaluarse como "alto" y debe fijarse una auditoría del sistema de gestión y del control interno completa lo antes posible. Mientras tanto, las pruebas sustantivas deben aumentarse en las auditorías relacionadas de costes incurridos y otras para compensar la incapacidad de contar con la certeza de que el contratista dispone de controles internos robustos. 

En cualquier caso, el auditor de contratos debe trabajar con el órgano de contratación y el contratista para corregir las deficiencias en el sistema de control interno, porque esto es más eficiente que realizar comprobaciones extensas que alargan ineficazmente los trabajos de las auditorías relacionadas. Cuando el contratista haya corregido las deficiencias, o realiza cambios en el sistema, el auditor debe dar una prioridad alta a la auditoría sobre el sistema corregido para establecer la confianza en el mismo.

Por último, el auditor debe desaconsejar al órgano de contratación que celebre contratos con contratistas que tengan graves deficiencias en sus sistemas de contabilidad, gestión y control internos y que no sean proclives para corregir tales deficiencias.

Identificación de los objetivos y actividades de control del contratista

En auditoría de contratos, el auditor debe identificar cuáles son los objetivos de control del contratista que le van a proporcionar la convicción razonable, si es que existen, que están implantados para prevenir errores materiales o aserciones falsas o, éstas, pueden ser descubiertas y corregidas con prontitud. Los objetivos de control del contratista pueden ser clasificados en tres áreas generales: 

(1) objetivos del control sobre informes financieros, que se preocupan de asegurar la preparación de declaraciones (estados) financieros fiables, 

(2) objetivos del control operacionales, que se preocupan de asegurar que los recursos del contratista están usándose eficaz y eficientemente, y 

(3) objetivos de control de cumplimiento, que se preocupan de asegurar que el contratista obedece las normas y regulaciones aplicables. 

Aun cuando los objetivos del control en cada uno de estas áreas pueden tener impacto en los costes de los contrato, el auditor enfoca su investigación en los aspectos operacionales y controles del cumplimiento (controles de cumplimiento puede ser, por ejemplo, con respecto a NODECOS o regulaciones medio ambientales). 

Los controles pueden ser manuales o automatizados. En muchos casos, las actividades del control se integrarán en un único sistema basado en tecnologías de la información TI. En estos casos, puede resultar necesaria la participación en la auditoría de especialistas en el software correspondiente para ayudar al auditor a identificar y a entender todos los controles relacionados. 

El auditor no solo debe obtener una comprensión adecuada de los sistemas de control del contratista, sino que además debe determinar si las actividades del control realmente existen y se llevan a cabo y, por último, si debe realizar el esfuerzo para probar y evaluar esos controles y si dicho esfuerzo está contribuyendo a reducir comprobaciones sustantivas en auditorías de costes incurridos u otras relacionadas. Por ejemplo, el auditor debe esperar que el coste para comprobar y evaluar el control (o controles) sobre el sistema que registra los de tiempos de la mano de obra directa del contratista ahorran la realización de pruebas sustantivas sobre las hojas de trabajo del tiempo registrado y cargado a un contrato.

 

Si en auditor llega al convencimiento que las actividades de control internas no existen, o que no está justificado un esfuerzo por realizar pruebas sobre unos controles porque son débiles o, simplemente, son inexistentes, en este caso, al no haber ninguna comprobación realizada sobre el sistema de control del contratista, el riesgo de auditoría de costes incurridos, u otras relacionadas, sería máximo.

 

Examen de los controles internos del contratista

El primer paso para la determinación del riesgo de control es la realización de una evaluación de los controles internos del contratista obteniendo una comprensión de la contabilidad y del sistema de gestión. Esta comprensión servirá a modo de hallazgo inicial de conocimiento para evaluar los controles internos relacionados y le permitirán al auditor diseñar los procedimientos de auditoría, en costes incurridos por ejemplo, más eficaces y eficientes.

Para adquirir un entendiendo básico sobre la contabilidad y el sistema de gestión, el auditor debe: 

• Considerar los objetivos de la auditoría sobre control interno y desarrollar un programa de auditoría para cada sistema específico contable y de gestión. 

• Comprender la descripción del sistema del contratista y toda la documentación relacionada con el mismo; por ejemplo, política del sistema y manual de procedimientos. 

• Revisar los papeles de trabajo sobre operaciones de los archivos permanentes y las auditorías anteriores. 

• Hacer las preguntas que sean necesarias al contratista sobre el control de gestión, las supervisiones que realiza y el personal que dispone para realizar dicha función. 

• Inspeccionar los documentos pertinentes. 

• Observar y comprobar las operaciones reales del contratista.

La magnitud de esfuerzo de la auditoría de sistemas y procedimientos para alcanzar una comprensión de la contabilidad del contratista y de los sistemas de gestión es una cuestión de juicio del auditor. Las características que deben ser consideradas incluyen: 

• El tamaño y complejidad del contratista; 

• El nivel de experiencia anterior con el contratista; 

• La naturaleza y magnitud de la documentación de los sistemas; 

• La importancia de costes presupuestados, imputados o cargados al contrato por el sistema; y 

• La importancia materialidad en relación con cuentas específicas y transacciones manejadas por el sistema.

Evaluación del riesgo de control interno

Ya he referido al principio que el riesgo de control es la probabilidad de que los controles internos del contratista no prevengan o detecten errores materiales, irregularidades o información falsa a tiempo. En la evaluación del riesgo de control el auditor de contratos debe considerar el grado de implantación y efectividad de las actividades de control del contratista para alcanzar los objetivos de control establecidos por él. Una alta eficacia de las actividades de control del contratista proporcionará un bajo riesgo de control.

El auditor de contratos hace una evaluación del riesgo de control para cada objetivo de control interno del contratista que sea relevante. Si el auditor concluye que éstos no existen o que otras auditorías relacionadas (por ejemplo auditoría de costes incurridos) pudieran ser más eficientes en la realización de pruebas sustantivas, entonces calificará la evaluación de riesgo de control como máxima (alta).

Si el auditor de contratos tiene la posibilidad de identificar las políticas y procedimientos de control interno del contratista y ha podido realizar las pruebas sobre esos controles, entonces calificará la evaluación del riesgo de control como sigue:

• Alto: Si no existen actividades de control o, en su caso, si existen pero debido a un diseño u operaciones inadecuadas, rara vez cumplen los objetivos de control.

• Moderado: Si existen actividades de control, pero debido a deficiencias los objetivos de control no se consiguen de forma coherente.

• Bajo: Las actividades de control del contratista son coherentes y eficaces, cumpliendo consistentemente los objetivos de control.

Para terminar esta entrada cabe decir que cuando los sistemas de control interno han sido auditados y comprobados, y la evaluación ha sido calificada como de riesgo moderado y alto, estos resultados deben estar vinculados a importantes deficiencias que han sido demostradas con los procedimientos utilizados por el auditor.

Las deficiencias significativas detectadas por el auditor de contratos se deben tratar inmediatamente con el órgano de contratación y el contratista. No se puede esperar a manifestarlo hasta la reunión final de la auditoría o hasta que se emita el informe definitivo, en orden de iniciar el proceso de resolución de las debilidades por el contratista.  

Cuando sea posible, las deficiencias importantes también deben estar vinculadas con los datos históricos relevantes que están disponibles o puedan ser razonablemente deducidos. Así por ejemplo, si el auditor puede vincular las deficiencias descubiertas en el sistema de presupuestación y estimación de costes para cuestionarlos en las bases de auditoría de costes incurridos, la importancia de corregir tales deficiencias es más evidente.

Las evaluaciones calificadas de riesgo bajo para objetivos específicos de control significa que el auditor puede confiar en los controles internos del contratista y puede reducir las pruebas en otras auditorías relacionadas (por ejemplo de costes incurridos), permitiéndole efectuar procedimientos de análisis o pruebas de transacción mínimos.

Todo lo dicho hasta aquí sirve para su aplicación a grandes, medianos y pequeños contratistas. Sin embargo, en una próxima entrada del blog analizaré el examen de los controles internos a pequeños y medianos contratistas.