Ley N.° 9699: Medidas para la prevención de delitos dentro de las organizaciones

Recomendaciones para auditar en el sector público

1. Promoción del control interno
   La gestión de riesgos está altamente relacionada a un ambiente de control. Las entidades comúnmente realizan autoevaluaciones de control interno que pueden ser una herramienta para proponer planes que conlleven al cierre de brechas, la mejora continua y la implementación de sanas prácticas, promoviendo la cultura de riesgos y el alineamiento organizacional desde la perspectiva de riesgos. La auditoría puede aportar de forma importante en cada organización tanto en el desarrollo metodológico de estas evaluaciones, como en el análisis posterior que permita darles seguimiento y promoción a los resultados encontrados.
   
2. Marco orientador y riesgos relevantes
   Las entidades deben contar con su marco orientador en el que todo riesgo relevante debe tener su respectiva política, estrategia, límites y estructura clara de cómo la organización lo administra. Es en los riesgos relevantes donde deben concentrase los planes de auditoría. En el caso de que no los tenga, es uno de los primeros elementos a resolver y evidenciar. Es ahí donde el equipo de auditoría debe concentrar sus horas, revisiones y entendimiento con las áreas de negocio o monitoreo de la entidad. Pues en la medida que los riesgos más importantes tengan un mayor control, es más probable que la entidad se encuentra entre límites aceptados.
   
3. Enfocada en procesos
   El mapeo de los procesos críticos de la organización es fundamental previo a la gestión del riesgo operativo. Es en los procesos críticos, sea desde el punto de vista de continuidad o de impacto, en los que la auditoría debe focalizar sus revisiones, posibles errores, o bien, posibles mejoras en el proceso. Se ha observado que muchas entidades parten de algunos procedimientos, no necesariamente estandarizados, lo cual no está vinculado a un mapeo exhaustivo de las actividades que se realizan.
   
4. Especializarse en el negocio
   Planes de auditoría efectivos entienden el funcionamiento de los procesos clave y evalúan la integridad de los riesgos comprendiendo la especificidad y alcance de cada uno, donde la regulación es cada vez más extensa y detallada. Las entidades deben modernizar lo que implica tener un ambiente de control, donde los planes de auditoría son los mismos para cada periodo y se realizan con un objetivo de cumplimiento. Dejó de ser efectivo el enfoque estándar de auditoría que aplicaba las mismas pruebas en cualquier industria, lo cual requiere preparación. Por eso, los planes de capacitación de los auditores ahora deben estar diseñados para fortalecer el análisis cuantitativo y de datos, la evaluación de metodologías y modelos de gestión.
   
5. Integralidad del proceso de los planes de auditoría
   Se debe evaluar la gestión de cada riesgo o bien de cada proceso crítico desde tres perspectivas. La primera es gobierno, para asegurar que la estructura de roles y responsabilidades funciona; la segunda, riesgo, para comprender si los tomadores de decisiones siguen la estrategia del riesgo de la organización. Finalmente, control, para asegurar que las medidas preventivas o mitigadores forman parte de la cultura de todos los colaboradores. Esta integralidad requiere a la auditoría participativa en el seguimiento sobre la toma de riesgos de la primera línea de defensa y el monitoreo de la segunda, donde la comunicación y complemento entre las áreas se convierte en un facilitador.
   
6. Rol en la mejora continua
   El auditor moderno comprende que en sus revisiones el objetivo final no es encontrar observaciones o darse por satisfecho en caso de que las actividades de los procesos estén de acuerdo a los procedimientos. Tampoco puede ser cumplir con una serie de informes finales que muchas veces no pasan a ser punto de análisis a los órganos de control o de toma de decisiones. El auditor también debe preocuparse por entender la entidad para poder generar recomendaciones y valor, de alternativas con las que podría mejorarse la gestión de la organización. Conservando su independencia, puede dar recomendaciones o sugerencias de acuerdo a su experiencia.