Por dónde empezar con el análisis de datos en la auditoría interna: el triángulo del análisis de datos

Beneficios y retos del análisis de datos en la auditoría interna

El uso del análisis de datos en un trabajo de auditoría concreto a menudo se reduce a sopesar los costes de recopilar, limpiar y organizar los datos frente a los beneficios de poder obtener información significativa sobre las actividades de riesgo y control de nuestras organizaciones. Como se describe en un artículo, reciente de la revista del Instituto Americano de Contadores Públicos Certificados (AICPA), la imposibilidad de acceder a datos utilizables sigue siendo un reto a la hora de intentar realizar análisis de datos en el proceso de auditoría.

Desde el punto de vista del aseguramiento, las unidades de negocio de nuestras organizaciones generan los datos necesarios para llevar a cabo las actividades diarias de su negocio. Por lo tanto, la ventaja clave para la auditoría interna es la capacidad de aplicar pruebas de auditoría a toda la población de una actividad de control concreta, en lugar de extraer una muestra estadísticamente relevante para las pruebas. Además, si podemos crear procesos analíticos repetibles, como programar un bot para realizar la extracción y el análisis de datos, podemos proporcionar un ciclo de retroalimentación continuo a las partes interesadas en la gobernanza.

Desde el punto de vista del personal, el diseño y la implementación de un programa de auditoría de análisis de datos puede ser una tarea creativa. Si bien esto requiere cierto grado de conocimiento sobre gestión de datos, visualización y una comprensión básica de la estadística, este proceso funciona mejor cuando se da libertad a los recursos para desarrollar hipótesis sobre el proceso empresarial y colaborar con nuestros socios comerciales para derivar métodos de extracción de datos. Si su organización cuenta con recursos internos para ayudar a agregar datos, un programa de análisis es una forma fácil para que la auditoría interna colabore con esos recursos.

Sin embargo, aunque las organizaciones generan mucha información, a menudo lo hacen en un formato «no estructurado», como texto, imágenes, vídeos y publicaciones en redes sociales. Como resultado, existen dos posibles obstáculos: obtener acceso a esta información y el tiempo y la inversión de recursos necesarios para que los datos sean utilizables. Para abordar ambos problemas potenciales, es beneficioso colaborar con los recursos de toda la organización. Desde el punto de vista del acceso, los contactos comerciales pueden proporcionar orientación sobre cómo utilizan y analizan la información no estructurada para tomar decisiones, y las funciones de tecnología de la información y/o seguridad de la información pueden asesorar sobre la mejor manera de acceder a estos datos. Desde el punto de vista de la usabilidad, lo mejor sería buscar expertos internos en datos que puedan asesorar sobre la mejor manera de limpiar y reformatear los datos.

¿Cuál es la diferencia entre el análisis de datos y la analítica de datos?

El análisis de datos es una forma de analítica de datos y es el trampolín hacia técnicas analíticas más avanzadas. El análisis de datos también proporciona una vía para comprender y analizar un conjunto de población completo.

Comencemos comparando el análisis y la analítica. Algunas de las similitudes entre el análisis de datos y la analítica de datos son:

• Ambos utilizan datos para extraer información.
• Se basan en la recopilación, organización y análisis de datos para descubrir patrones, tendencias y relaciones.
• En el contexto de la auditoría interna, ambos requieren una comprensión de los procesos empresariales, los riesgos y los controles para obtener información significativa.

También es importante señalar y detallar las diferencias entre el análisis de datos y la analítica de datos.

El análisis de datos es descriptivo y se centra en lo que ya ha sucedido en el pasado. A menudo se realiza con datos estructurados, como hojas de cálculo y bases de datos, y puede emplear herramientas básicas de modelización estadística y visualización, como PowerBI o Tableau.

La analítica de datos, por otro lado, es descriptiva, prescriptiva y predictiva, y se centra en lo que ya ha sucedido en el pasado, al tiempo que realiza predicciones precisas. A menudo se realiza con datos no estructurados, como documentos de texto, publicaciones en redes sociales, imágenes y vídeos, lo que a menudo requiere comprobaciones adicionales de higiene de los datos para que estos sean utilizables. Por último, puede emplear técnicas avanzadas de modelización estadística, conocimientos de aprendizaje automático y programación para que los datos no estructurados sean utilizables.

El triángulo de la analítica de datos: evaluación de costes y beneficios

A título personal, prefiero utilizar triángulos como ayuda visual para guiar la toma de decisiones. Cuando empecé con el análisis de datos y la analítica descriptiva de datos, siempre volvía a tres puntos clave para la toma de decisiones. Decidí escribir estas tres condiciones en forma de triángulo porque me proporcionaba una imagen eficaz para sopesar los costes y los beneficios a medida que avanzaba en la decisión de aplicar o no el uso de conjuntos de datos para un paso de auditoría concreto. Si se cumplen los tres criterios siguientes, es probable que los beneficios superen a los costes y pueda seguir adelante con el aprovechamiento de la analítica de datos para la tarea. Sin embargo, si uno de los lados del triángulo es débil (por ejemplo, si los datos están muy desestructurados y se necesitan semanas adicionales para que sean utilizables para el proyecto, y los plazos de presentación de informes están en peligro), podría renunciar al beneficio de estudiar el conjunto de datos para obtener información.

Parte 1: Comprensión del proceso empresarial, los riesgos y el uso de analítica por parte de la dirección

Esta sigue siendo una habilidad fundamental en la planificación y realización de una auditoría, pero también es mi primera etapa en el triángulo de costes/beneficios. Si no comprendo el proceso empresarial y los riesgos generales asociados, pero puedo recopilar los datos, sigue existiendo un riesgo significativo de que identifique falsos positivos en la auditoría. Además, como parte de las pruebas rutinarias de los recorridos de diseño, podemos preguntar a la dirección si ya está realizando algún tipo de análisis de datos/analítica de datos en la gestión de las operaciones diarias de la unidad de negocio. Esta es una forma estupenda de fortalecer la relación con la unidad de negocio colaborando con la dirección en este tema. Durante la auditoría, también podemos evaluar los puntos fuertes de su modelo de analítica de datos para mejorar aún más el proceso.

Parte 2: Identificación de reglas claras en el proceso empresarial

Al reflexionar sobre mis clases de contabilidad de grado y posgrado, varios libros de texto de contabilidad hacían referencia a las reglas claras de las directrices autorizadas que dan forma a los conceptos de contabilidad financiera y fiscal. Utilizo esta expresión también aquí cuando nos planteamos la decisión de utilizar datos o técnicas de análisis de datos. Cuanto más nos acerquemos a una condición binaria de «sí/no» para un atributo concreto, más fácil será identificar anomalías en la población. El riesgo aquí es que, cuanto más ambigua sea la situación, más tiempo podremos dedicar a estudiar los falsos positivos. Si esto es poco probable, consideraría descartar la analítica de datos para esta tarea, especialmente si se está empezando a utilizar la analítica de datos en el flujo de trabajo de auditoría. Quizás sea mejor evitar esa sensación de «escalar una montaña». La información financiera y transaccional es un buen punto de partida para una posible prueba de analítica de datos, ya que normalmente hay algunas reglas claras que se siguen antes de registrar una transacción en el libro mayor.

Parte 3: Evaluación de la disponibilidad y la utilidad de los datos

Esto es fundamental. Lo más probable es que los datos estén disponibles. Como se ha descrito anteriormente, hay dos posibles retos. El primer obstáculo podría ser el acceso a los datos. El segundo podría ser el formato y sopesar cuánto tiempo hay que dedicar a aplicar los datos en un formato viable. El riesgo aquí es que, si no contamos con buenas técnicas de limpieza de datos, podemos acabar dedicando demasiado tiempo a los falsos positivos en toda la población.

Ejemplos de cómo aplicar el triángulo de la analítica de datos

Utilizando el marco de toma de decisiones descrito anteriormente, a continuación se presentan dos ejemplos que destacan los factores que consideré para determinar si un trabajo de auditoría concreto era adecuado para aprovechar grandes conjuntos de datos para el análisis y la analítica descriptiva.

Ejemplo 1: Auditoría de acceso lógico

Parte 1: Comprensión del proceso empresarial, los riesgos y el uso de la analítica por parte de la dirección. 

El equipo de acceso lógico era responsable de gestionar el acceso a los recursos de TI concediendo o retirando el acceso de acuerdo con una solicitud aprobada. Los principales riesgos inherentes al proceso eran el acceso no autorizado a los recursos de TI, el acceso que excedía o implicaba responsabilidades laborales incompatibles y el acceso que no se revocaba de manera oportuna.

Dado mi conocimiento del proceso empresarial, desarrollé varias hipótesis que quería evaluar con respecto a una población total de decenas de miles de tickets. Por ejemplo, quería utilizar el conjunto de datos para comprender los sistemas con el mayor número de solicitudes de acceso lógico durante el periodo de auditoría; qué sistemas tenían grupos de solicitudes de acceso lógico en períodos cortos de tiempo (probablemente como resultado de un nuevo sistema o como indicación de otra cosa); y el tiempo transcurrido entre la solicitud inicial, la aprobación y el cierre del ticket. También preguntamos a la dirección para comprender qué métricas y técnicas de datos podían haber estado utilizando para ayudar a gestionar el día a día, lo que dio lugar a conversaciones productivas y colaborativas sobre «un día en la vida» desde el punto de vista de la dirección.

Parte 2: Identificación de reglas claras en el proceso empresarial.

Este equipo de TI proporcionaba o retiraba el acceso después de que la solicitud fuera aprobada por el propietario del entorno. Además, el acceso concedido debía coincidir con el acceso solicitado. Y, en el caso de la retirada del acceso, ese paso tenía un límite de tiempo. Por lo tanto, había reglas claras e inequívocas integradas en el proceso empresarial.

Parte 3: Evaluación de la disponibilidad y la usabilidad de los datos.

El equipo de acceso lógico concedió al equipo de auditoría interna acceso de solo lectura al sistema de tickets. Los datos estaban estructurados, no requerían mucha limpieza y se podían exportar a Excel, donde podía filtrarlos, aplicar fórmulas y crear tablas y gráficos. Y cuando se trataba de evaluar otros atributos de control que requerían fuentes de datos adicionales, como listas de acceso, estos se encontraban en un formato estructurado procedente de una consulta de base de datos o una exportación de Excel. Por lo tanto, tenía sentido invertir tiempo en aplicar cierto grado de análisis de datos y análisis diagnóstico para este compromiso.

¿Cómo apliqué el análisis de datos y las técnicas de analítica descriptiva? 

Entendiendo que toda la actividad ya había tenido lugar, clasificaría mi enfoque como una serie de análisis de datos con analíticas descriptiva limitada. 

El análisis se desarrolló en Excel, utilizando técnicas comunes como filtros, fórmulas, tablas dinámicas y gráficos. Al evaluar toda la población de tickets, se destacaron anomalías, como rangos de fechas con picos en las solicitudes de acceso, tickets que excedían el tiempo promedio de cierre, la parte solicitante que presentó el mayor número de solicitudes, el empleado que aprobó el mayor número de solicitudes y el número total de solicitudes que se realizaron para acceder a los sistemas clasificados como los más restrictivos para la organización.

Este análisis se realizó durante la fase de planificación del proyecto. Los resultados proporcionaron métricas clave, como el número total de solicitudes procesadas por el equipo, que establecieron el contexto para el memorándum de planificación y para el informe de auditoría. Además, le dio a nuestro equipo de proyecto la oportunidad de reflexionar y organizar nuestro nivel de esfuerzo para sistemas específicos con el fin de aplicar procedimientos de auditoría más detallados. 

Ejemplo 2: Auditoría de viajes y entretenimiento (T&E)

Este es un buen proceso empresarial para considerar el uso de la analítica de datos en la auditoría interna. Existen muchas métricas financieras y basadas en el tiempo que se basan en reglas claras integradas en el proceso empresarial. Además, este proceso empresarial suele generar un conjunto de datos intuitivo y limpio, con opciones sencillas de formato y exportación de datos.

Parte 1: Comprensión del proceso empresarial, los riesgos y el uso de la analítica por parte de la dirección. 

A los empleados se les entregó una tarjeta de crédito corporativa, gestionada por un banco contratado, para las transacciones de T&E. Los datos de las transacciones se introducían desde el emisor de la tarjeta en una aplicación comercial independiente de T&E, donde los empleados detallaban las transacciones y subían los recibos. Las transacciones eran luego aprobadas por el superior inmediato de los empleados y revisadas por el departamento de cuentas por pagar de acuerdo con la política de T&E de toda la empresa. A continuación, las transacciones se introducían en la aplicación contable central para registrar los gastos y pagar al emisor de la tarjeta. Además, cada mes, el departamento de contabilidad centralizado tenía que informar internamente sobre los gastos de viajes y gastos, y utilizaba cierto grado de análisis de datos y analítica para facilitar esa información. Por lo tanto, con una comprensión clara del proceso empresarial, junto con la orientación de lo que el responsable del proceso estaba haciendo con los datos, era apropiado pasar al siguiente paso.

Parte 2: Identificación de reglas claras en el proceso empresarial.

La empresa desarrolló una política para toda la organización con varias reglas. Esta incluía la aprobación de los gastos de viaje y representación por parte del superior inmediato del empleado, los gastos superiores a una cantidad determinada que requerían un recibo, el desglose codificado con el número de cuenta del libro mayor correcto, los importes por recibo que debían coincidir con el importe del cargo y determinados gastos prohibidos. Por lo tanto, una vez identificadas varias reglas claras, tenía sentido pasar al siguiente paso.

Parte 3: Evaluación de la disponibilidad y la utilidad de los datos.

Se concedió a la auditoría interna acceso de solo lectura al portal de tarjetas comerciales y a la aplicación T&E disponible en el mercado. Ambas aplicaciones contenían varias opciones predefinidas para informar sobre la categoría de comerciante y el gasto T&E, y los datos no requerían mucha limpieza para empezar a trabajar con ellos. Por lo tanto, tenía sentido invertir tiempo y recursos en aprovechar el análisis de datos y las técnicas de analítica descriptiva en el programa de auditoría.

¿Cómo apliqué el análisis de datos y las técnicas de analítica descriptiva? 

Al igual que en el primer escenario de auditoría de acceso lógico descrito anteriormente, clasificaría mi enfoque como una serie de análisis de datos con algunas analíticas descriptivas, ya que toda la actividad ya se había llevado a cabo.

El análisis se realizó en Excel, utilizando técnicas comunes como filtros, fórmulas, tablas dinámicas y gráficos. Aunque en ese momento no disponía de TeamMate Analytics (TMA), el complemento TMA para Excel sería útil para una auditoría de gastos de viaje y representación debido al completo conjunto de pruebas de analítica de datos que incluye.

Con toda la población de actividades del portal de tarjetas comerciales y del portal de T&E, surgieron varias hipótesis. Para la población de todas las transacciones registradas desde la aplicación de tarjetas comerciales, se disponía de varios informes predefinidos para los 10 principales comerciantes por volumen de transacciones, los 10 principales comerciantes por gasto total en dólares, los 10 principales códigos de categoría de comerciantes utilizados y las transacciones con tarjeta que fueron autorizadas frente a la lista de códigos de categoría de comerciantes no autorizados. Para la población de gastos de T&E aprobados y pagados, las pruebas incluyeron el proveedor con mayor gasto por debajo del umbral de recibo (por ejemplo, tarjetas de regalo), el número de casos de gastos que terminaban en .00 y la realización de un análisis de alto nivel del gasto de T&E, por departamento, para ver si el gasto total por código de contabilidad general era razonable, dados los objetivos de la unidad de negocio. Este análisis nos proporcionó la información necesaria para hacer un seguimiento con la dirección con preguntas específicas.

Los siguientes pasos en el análisis de datos para el éxito de la auditoría interna

Se necesita una inversión de tiempo para empezar a utilizar la analítica de datos en la auditoría interna. Esperamos que el marco de toma de decisiones anterior, que permite determinar si la situación es favorable para aplicar la analítica a una auditoría concreta, le sirva de ayuda en este ámbito. Un buen paso siguiente sería revisar más a fondo los conjuntos de datos de su organización y comprender el proceso empresarial para ver qué tipos de hipótesis se pueden desarrollar. Por último, ¡dé el salto! Dedique algo de tiempo cada semana, intercambie ideas con sus compañeros y empiece a aplicar técnicas básicas de análisis de datos a conjuntos de datos estructurados para ver qué sucede. A partir de ahí, verá cómo se produce una transición hacia el trabajo con datos no estructurados, se abordan cuestiones relacionadas con la calidad de los datos y se aplican técnicas estadísticas más avanzadas.