Incumbencias de auditoría y erm

Incumbencias de Auditoría y ERM
A continuación, entramos en un tópico nuevo: las incumbencias de Auditoría y de ERM. Algunos las tenemos bastante claras, pero suelen no estar claras en general en el mercado. Roles y responsabilidades: todos en la empresa tienen responsabilidad en ERM: el Comité Ejecutivo, la Gerencia de línea, los risk officers, los auditores, el compliance officer y elpersonal. Todos están involucrados, de modo tal que acá el plan de training y de involucramiento y de distribución de roles tiene que ser completo. A ERM no lo hace uno solo.
Veamos el Estándar 2110.A1 del IIA: “Auditoría Interna tiene que monitorear y evaluar —no hacer— la efectividad del gerenciamiento de riesgos en la organización”. Acá está la separación entre lo que tiene que hacer Auditoría y loque tiene que hacer la línea como gerenciamiento de riesgo. Hay una opinión similar enunciada en el Código Combinado, que acaba de revisarse en 2003, y también en el Informe Turnbull de 1999. Las normas que nosotros acabamos de recibir de Boston en el Banco también hablan de esto y hay un párrafo subrayado que dice que es la línea la que tiene que hacer todo esto, respaldada por assurance o por ERM,pero no por Auditoría. Y lo tiene así porque está escrito en las nuevas regulaciones, con lo cual se vuelve a lo básico, a que Auditoría, después de la SarbOx, debe poner más énfasis en lo contable. Todos queremos hacer más pero no podemos ser auditores, advisories, hacer gestión de riesgo, ser compliance officers, tener toda una gama de cosas que nos desvía del objetivo contable que finalmentees el que tenemos que asegurar (los auditores)
En esta diapositiva hay un párrafo que está traducido literalmente. Resulta que la filial del Reino Unido del Instituto de Auditores Internos lleva mucho la directiva en esto y, a pesar de que es un capítulo que por supuesto depende de la central mundial, se maneja en forma bastante independiente y a mí me consta a través de muchos años de seguimientoque es líder en esto y emite una serie de documentos que se llaman position statements. La opinión formal del Instituto sobre ERM: Auditoría Interna debe permanecer independiente y debe verse así en todo momento del proceso de gerenciamiento, es decir, debe ser y debe verse así. Opina que la responsabilidad primaria del gerenciamiento es de la línea y que los auditores internos no deben gerenciarriesgos y su responsabilidad es evaluar el proceso como cualquier otro proceso. Así se expidió en 2002 —hace menos de un año— el Instituto.

Organigramas -Gran Corporación
En este esquema vemos cómo algunas corporaciones tienen embebido el tema de gerenciamiento del riesgo: acá está el directorio; el CEO; acá está el Comité de Riesgos con funciones que vamos a detallar en un momento; aquí seencuentra el risk officer, y acá están las líneas de negocios. Como ven, Auditoría tiene incumbencia de control y de evaluación en todo excepto en el Directorio. El resto está bajo el control de Auditoría, con lo cual los risk officers somos evaluados por ella. Éste es el esquema claro de compañías estadounidenses e inglesas.
Ahora bien, como ERM trae algunas resistencias y es muy nuevo, se hanhecho montones de consultas y también el mismo Instituto, en su filial del Reino Unido, dentro del mismo position paper ofrece este otro esquema en forma transitoria hasta que se arranque con el esquema y el RO camine solo, digamos. Acá están el Directorio, el CEO y demás, y por otro lado está el Comité de Auditoría, con el número uno de Auditoría (CAE) que tiene Auditoría propiamente dicha y RiskManagement. Son dos unidades separadas pero que reportan a un mismo director ejecutivo. Esto está aceptado como transición, pero exige alguien totalmente posicionado en la empresa, independiente, ético y con todas las cualidades habidas y por haber. Además, es transitorio hasta que esta parte pase a la línea. ¿Por qué está puesto así? Porque, como hablábamos al comienzo, toda esta parte de la...