Auditoria basada en riesgos

AUDITORIA: ENFOQUE R.B.A
(Auditoría Basada en Riesgos)
Fuente: ISACA-Audit and Control - Magazine

La evaluación del riesgo en las auditorias internas, identifica, mide, y prioriza el riesgo; por esto mismo el punto central se ubica en las áreas auditables de mayor significancia. En auditorías individuales la evalución de riesgos se utiliza para identificar las áreas más importantes sin,necesariamente, la evaluación externa o impacto en la organización. La evaluación de riesgos permite al auditor diseñar un programa de auditoría que examine los controles más importantes, o que pruebe los controles con mayor profundidad.
El enfoque RBA extiende y mejora los modelos de evaluación de riesgo cambiando la visión de la auditoría. En lugar de buscar en el proceso del negocio en unsistema de control interno; el auditor interno, revisa el proceso del negocio en un ambiente riesgo. Esto es directamente un nuevo paradigma : una auditoría enfocándose en el riesgo le da más valor a la organización que a la auditoría misma enfocándose solamente en el control.
UN PARADIGMA DIFERENTE
Algunos clientes han criticado las auditorías internas por estar demasiado enfocadas en el pasado"Manejar el auto mirando en el espejo retrovisor", uno de las metáforas más conocidas, caracterizan al auditor interno como alguien que da consejos y recomendaciones basadas en la revisión de los registros de las transacciones históricas y las operaciones históricas del sistema de control interno.
Para darle mayor valor a los clientes y la organización, los auditores internos deben cambiar su enfoquedel pasado por el del futuro. Si el auditor se enfoca en los riesgos es más probable que la auditoría comprenda el manejo completo de (resultado) que atañen a la administración.
Para muchos auditores, el cambio será agudo en vez de identificar y probar controles. El auditor identificará riesgos y buscará la forma de mitigarlos. La gran mayoría de las técnicas de mitigación comprenderán control(inspección); pero el auditor probará "que también se han manejado los riesgos" más que "son adecuados los controles utilizados en este problema".
Los controles por si mismo no garantizan necesariamente éxito. Los principales bancos con ciento de controles de transacción han perdido ciento de millones al fracasar en comprender que algunos traders (comerciantes), no incluirán todas sus ganancias ytransacciones en el sistema.
Cada control agregado al sistema significa un mayor costo en la operación del sistema.
Si los auditores continúan revisando y recomendando nuevos y más rígidos controles sin sacar ninguno antiguo; el peso de estos controles entorpecerá el proceso del negocio.
EL VALOR DEL RBA
A pesar de las ventajas un estudio reciente realizado por la IIA’s, Austin Chapter, muestraque al menos un tercio de todos los auditores que utilizan el RBA fracasan. Algunas investigaciones informales parecen confirmar este sorprendente hallazgo y sugieren que los motivos son varios:
• El concepto de riesgo no está claro.
• Los auditores creen que la evolución del riesgo requiere de conocimientos especializados o algún software.
• Existe muy poco tiempo para planear el continuo“que hacer”.
• Muchos talleres internos para auditores piensan que su operación es muy reducida para utilizar herramientas de planificación.
Muchos auditores internos se encuentran en que la auditoría financiera no cuadra con el riesgo.
• De hecho, los conceptos RBA no son difíciles y no requieren de un conocimiento especializado, ni tampoco de un software. RBA funciona con grupo de auditores decualquier tamaño y con cualquier tipo de auditores. Incluso cuando las auditorías requieren por Ley, por regulación, o por un Jefe con una opinión particular RBA puede ayudar a enfocar la visión de las auditorías donde más se necesita. Los usuarios de RBA indican que los informes basados en las auditorías de riesgo son más fáciles de preparar y más fáciles de vender sin crear roces innecesarios...