Pruebas de control interno: sentar unas bases sólidas

Con tanta atención puesta en los riesgos emergentes, la inteligencia artificial y la ciberseguridad, es fácil alejarse de los fundamentos de un buen control interno. En este artículo, volveremos a lo básico en las pruebas de control interno, centrándonos en las metodologías de pruebas de control, los errores que hay que evitar y las mejores prácticas que hay que adoptar. A lo largo del artículo, incluiremos ejemplos reales para ilustrar cómo se pueden incorporar mejoras en los procesos de pruebas de control interno.

• ¿Qué son las pruebas de control interno?
• ¿Por qué son importantes las pruebas de control interno?
• Metodología de pruebas de control: proceso paso a paso
  • 1. Comprender el entorno de control
  • 2. Evaluación de riesgos y alcance
  • 3. Definición de la población y el muestreo
  • 4. Seleccionar los procedimientos de prueba
  • 5. Ejecutar la prueba de los controles
  • 6. Evaluar los resultados e identificar las deficiencias
  • 7. Informar sobre los resultados y las medidas recomendadas
• Ejemplos de pruebas de control
• Consejos de documentación para los responsables de control
• Retos comunes en las pruebas de control interno
• Mejora de su programa de pruebas de control
• Conclusión

Metodología de pruebas de control: proceso paso a paso

Independientemente de su función en la organización, cualquier persona que participe en pruebas de control interno debe utilizar una metodología de pruebas de control bien pensada. Una metodología formalizada de pruebas de control proporciona un enfoque estructurado para planificar, ejecutar y comunicar los resultados de las pruebas de control. A continuación, se indican los pasos habituales que hay que seguir:

1. Comprender el entorno de control

Comience por documentar y comprender el entorno de control. Muchos evaluadores de controles internos comienzan con un simple repaso del proceso para comprender los objetivos empresariales, los sistemas implicados, las cuentas importantes, las clases de transacciones significativas (SCOT) y los riesgos asociados. A partir de ahí, es probable que el revisor documente los objetivos de control y, si es posible, el diseño de cada control junto con las funciones y responsabilidades de los responsables del control.

2. Evaluación de riesgos y alcance

Después de crear una matriz básica de riesgos y controles, el siguiente paso es priorizar las pruebas basándose en una evaluación de riesgos. Las pruebas se centrarán en áreas con un alto riesgo inherente o residual. De esta manera, el equipo de control interno utiliza un enfoque basado en el riesgo para priorizar los controles que se van a probar y determinar el alcance de las pruebas.

3. Definición de la población y el muestreo

Identifique la población (por ejemplo, todas las transacciones procesadas en un año, todos los cambios realizados en el último trimestre) y determine el tamaño de la muestra basándose en la frecuencia de control, el número de transacciones o lo que requiera su metodología de pruebas de control. Si tiene acceso a una solución de análisis de datos, es posible que pueda probar toda la población para evitar el riesgo de muestreo.

4. Seleccionar los procedimientos de prueba

Seleccione la técnica de prueba que mejor se adapte a la situación. Los enfoques más comunes incluyen:

• Consulta: preguntar al personal sobre los procesos
• Observación: observar los procesos en acción
• Inspección: evaluar la documentación, los informes y los registros de transacciones
• Reejecución: volver a ejecutar el control para verificar su resultado

Las pruebas más convincentes suelen implicar la inspección y la repetición.

5. Ejecutar la prueba de los controles

Las pruebas de control interno suelen realizarse en dos fases: prueba de diseño y prueba de eficacia operativa.

Una prueba de diseño determina si el control, tal y como está diseñado, es capaz de prevenir o detectar errores de manera eficaz. Evalúa si el control está diseñado de forma lógica y si el responsable del control tiene los conocimientos, el acceso y la autoridad adecuados.

• Consideraciones clave: ¿Está el control claramente definido? ¿Está alineado con el riesgo asociado? ¿Incluye el control criterios de rendimiento relevantes?
• Ejemplo: en el caso de un control de aprobación de asientos contables, una prueba de diseño verificaría que el control incluye la segregación de funciones, límites de importes monetarios, pasos de aprobación documentados y acceso restringido al personal autorizado.

Una vez que se considera que el diseño del control es eficaz, el siguiente paso es evaluar si el control funciona según lo previsto a lo largo del tiempo.

• Consideraciones clave: ¿Se aplica el control de forma coherente? ¿Lo ejecutan las personas adecuadas? ¿Se conservan las pruebas?
• Ejemplo de actividades de prueba: Seleccionar una muestra de transacciones y evaluar si el control se ha ejecutado adecuadamente. Esto puede implicar la revisión de registros, aprobaciones o resultados generados por el sistema.
• Resultado: si el control se ha aplicado de forma precisa y completa en todas las muestras, funciona de manera eficaz.

La combinación de una prueba satisfactoria del diseño y la eficacia operativa garantiza que el control está correctamente estructurado y se ejecuta de forma fiable.

6. Evaluar los resultados e identificar las deficiencias

Una vez completada la prueba, evalúe la tasa de error para determinar si el control funcionó de manera eficaz. La terminología que utilizamos aquí es importante. Por ejemplo, un control es eficaz si todas las muestras pasan y el control funciona según lo diseñado. Un control puede considerarse deficiente si una o más muestras de prueba fallan; sin embargo, aún puede considerarse eficaz dependiendo de la gravedad de la deficiencia y la presencia de controles mitigantes que aborden el riesgo asociado.

A continuación, clasificamos la deficiencia según su gravedad, teniendo en cuenta el impacto potencial y la probabilidad de que se produzca:

• Deficiencia del control: problema menor
• Deficiencia significativa: lo suficientemente importante como para merecer atención
• Debilidad material: Falla grave que podría dar lugar a problemas materiales

Es importante señalar que el término "fallo de control" no se utiliza generalmente en estos ejemplos de pruebas de control. El diseño del control puede ser eficaz o ineficaz, y el funcionamiento del control puede tener deficiencias.

7. Informar sobre los resultados y las medidas recomendadas

Un paso final importante consiste en preparar un informe para comunicar los resultados de las pruebas de control interno a las partes interesadas. Los temas del informe suelen ser los siguientes:

• Resumen de las pruebas realizadas
• Deficiencias identificadas
• Análisis de las causas fundamentales
• Recomendaciones para la corrección
• Respuesta de la dirección y plan de acción

Las secciones complementarias del informe podrían elogiar el trabajo realizado por los responsables del control y proporcionar una evaluación general de los procesos objeto de revisión.

Ejemplos de pruebas de control

Para ilustrar cómo se realizan las pruebas de control en la práctica, a continuación, se presentan cinco ejemplos comunes de pruebas de control en diferentes procesos empresariales:

Ejemplo 1: Cuentas por pagar (triple conciliación)

• Objetivo del control: evitar pagos excesivos y garantizar la exactitud de las facturas
• Descripción del control: Las facturas se comparan con las órdenes de compra y los informes de recepción antes del pago
• Ámbito de la prueba: todas las facturas del último trimestre completado
• Población/muestra de la prueba: 25 facturas
• Procedimiento de prueba: inspeccionar una muestra de facturas pagadas y verificar la documentación de la triple conciliación
• Resultado esperado: Todas las facturas de la muestra deben tener la documentación debidamente cotejada

Ejemplo 2: Revisión del acceso de los usuarios

• Objetivo de control: Evitar el acceso no autorizado a los sistemas financieros
• Descripción del control: revisión trimestral del acceso de los usuarios por parte de los propietarios del sistema
• Ámbito de la prueba: Todos los usuarios de aplicaciones y cuentas de servicio
• Población/muestra de la prueba: Población completa
• Procedimiento de prueba: verificar la evidencia de revisiones periódicas de acceso y la eliminación oportuna de usuarios que ya no necesitan acceso
• Resultado esperado: Todas las revisiones completadas; eliminación oportuna de accesos inadecuados

Ejemplo 3: Aprobación manual de asientos contables

• Objetivo de control: Garantizar la validez de los asientos contables
• Descripción del control: Todas las entradas manuales en el diario deben ser aprobadas por un supervisor
• Ámbito de la prueba: Todos los asientos contables manuales del año hasta la fecha
• Población/muestra de la prueba: 25 asientos contables
• Procedimiento de prueba: inspeccionar una muestra de asientos contables y verificar la evidencia de la aprobación del supervisor
• Resultado esperado: Todos los asientos deben mostrar la aprobación documentada del revisor designado

Ejemplo 4: Gestión del cambio

• Objetivo de control: Garantizar que los cambios en los sistemas estén autorizados y se hayan probado
• Descripción del control: Los cambios requieren aprobación, pruebas y documentación
• Ámbito de la prueba: todos los cambios realizados hasta la fecha
• Población/muestra de prueba: 5 cambios
• Procedimiento de prueba: Revisar las solicitudes de cambio para verificar las aprobaciones requeridas y las pruebas realizadas
• Resultado esperado: Todos los cambios de la muestra siguen los procedimientos documentados

Ejemplo 5: Recuento físico del inventario

• Objetivo de control: Garantizar que los registros de inventario sean precisos
• Descripción del control: Recuento físico anual del inventario con conciliación con los registros
• Alcance de la prueba: 20 puntos de venta
• Población/muestra de la prueba: 100 tickets de inventario por tienda
• Procedimiento de prueba: Observar los procedimientos de recuento e inspeccionar la documentación de conciliación
• Resultado esperado: Se investigan y resuelven las discrepancias en el inventario.

Consejos de documentación para los responsables de control

En las pruebas de control interno, una buena documentación es fundamental para respaldar los resultados de las pruebas y satisfacer los requisitos de auditoría. Por lo tanto, hay algunas cosas que hay que tener en cuenta. En primer lugar, la documentación debe ser clara y concisa. La documentación de las pruebas de control interno debe resumir los objetivos, los procedimientos y los resultados del control con suficiente detalle para que otro auditor pueda seguirla y volver a realizar la prueba si es necesario. A continuación, incluya pruebas que respalden todas las conclusiones, como capturas de pantalla, correos electrónicos, registros, informes, etc. En la medida de lo posible, utilice formatos y plantillas coherentes para mejorar la legibilidad y la eficiencia. Por último, realice un seguimiento de los problemas, los planes de acción y las soluciones lo más cerca posible del tiempo real. Mantener registros de las deficiencias, las actualizaciones de estado y las resoluciones cuando surjan ayudará a registrar los hechos con precisión.

Retos comunes en las pruebas de control interno

Al igual que con cualquier programa de aseguramiento, los responsables del control interno se enfrentarán a retos. Algunos retos están relacionados con las pruebas y los responsables del control, mientras que otros provienen de la metodología de pruebas de control. Algunos ejemplos son:

1. Documentación incompleta: la falta de controles bien definidos puede dificultar las pruebas. Para superar este problema, colabore con los propietarios de los procesos y controles para comprender cómo deben diseñarse, operarse y documentarse los controles. 
2. Rotación de los responsables de los controles: es posible que el personal nuevo no comprenda las expectativas de los controles. Proporcionar una introducción básica al riesgo y al control, y a cómo recopilar pruebas de control, puede ayudarles a asumir con confianza la nueva responsabilidad.
3. Evidencia inadecuada: los evaluadores no pueden encontrar u obtener pruebas adecuadas de la ejecución de los controles. Este problema común a menudo se puede resolver creando listas de verificación estandarizadas y un sistema de archivo coherente.
4. Errores en la selección de muestras: un muestreo inadecuado puede dar lugar a conclusiones erróneas, ya que conlleva el riesgo de pasar por alto errores. Para reducir este riesgo, considere la posibilidad de aprovechar el análisis de datos para realizar pruebas de población completa, lo que puede proporcionar información más completa y precisa.
5. Dependencia excesiva de las indagaciones: Basarse únicamente en las indagaciones reduce la fiabilidad de las pruebas de auditoría. Los auditores experimentados reconocen que las indagaciones por sí solas rara vez son suficientes. Siempre que sea posible, mejore la credibilidad de los resultados incorporando inspecciones, observaciones o repeticiones.

Para superar estos problemas es necesaria una estrecha colaboración con los responsables de los procesos, una formación adecuada y una supervisión continua de los controles.

Mejora de su programa de pruebas de control

Un programa de pruebas de control interno debe evolucionar y madurar con el tiempo. Para reforzar y mejorar su programa, implemente una supervisión y auditoría continuas de los controles. Considere la posibilidad de adoptar varias prácticas recomendadas para mejorar la eficacia y la sostenibilidad.

• Automatice las actividades de control y la recopilación de pruebas siempre que sea posible, por ejemplo, mediante revisiones de acceso o informes de excepciones, para mejorar la eficiencia y la coherencia.
• Integre el análisis de datos para detectar anomalías y validar la eficacia de los controles con mayor precisión.
• Imparta formación específica para garantizar que los responsables de los controles comprendan sus responsabilidades y los apliquen con precisión. 
• Mantenga una biblioteca de controles centralizada que documente el propósito, la frecuencia y el historial de pruebas de cada control clave para facilitar la consulta y la continuidad.
• Adopte una estrategia de pruebas continuas, realizando pruebas de control a lo largo del año en lugar de concentrarlas únicamente durante la temporada de auditorías, para apoyar la supervisión continua y la corrección oportuna.

Cabe señalar que la implementación de estas prácticas recomendadas requiere tiempo, esfuerzo y recursos. Cuando se pretenda mejorar la metodología de pruebas de control, se debe planificar adecuadamente para garantizar mejoras sostenibles. La incorporación de aseguramiento combinado puede resultar especialmente eficaz: animar a los responsables de los controles a revisar y evaluar periódicamente sus controles ayuda a garantizar que funcionen según lo previsto y fomenta una cultura de responsabilidad y mejora continua.

Conclusión

La gestión del riesgo, la mejora de las operaciones comerciales y la demostración de la responsabilidad dependen de las pruebas de control interno. Al adoptar una metodología estructurada de pruebas de control, utilizar un proceso de pruebas de control relevante y analizar ejemplos de pruebas de control, los responsables del control interno pueden mejorar significativamente la fiabilidad y el rendimiento de su entorno de control.

Tanto si es nuevo en las pruebas de control como si desea optimizar un programa existente, céntrese en la claridad, la coherencia y la mejora continua. Con una base adecuada, sus esfuerzos en materia de pruebas de control interno pueden aportar un valor estratégico real.