AUDITORIA BASADA EN RIESGOS

CEMLA: XI Reunión de Auditores Internos de Banca Central

Guía para una metodología
de auditoría basada en
riesgos

Juan Villanueva Chang
Setiembre, 2011

1

La creatividad e Innovación
Adelantarse

• Una persona creativa es ágil y flexible
• Tiene libertad de pensar, expresar y
actuar sin miedo
• La constante en la vida es el cambio

Capacidad de
síntesis

• Participandode la curiosidad intelectual
• Capacidad de tomar las cosas de
distintas fuentes
• Integrarlas en algo coherente

Ver la
oportunidad

• Desarrollar capacidad de observación
• Estar receptivos a las impresiones que
nos vienen del interior y exterior

“Las ideas no duran mucho. Hay que hacer algo con ellas”
Santiago Ramón y Cajal

2

Objetivo del tema
• El presente trabajo dapautas de como elaborar una metodología de
auditoría con base en riesgos.
• Se aplica en la elaboración del plan anual de auditoría y la fase de
planeamiento para elaborar una auditoría (Risk based audit planning).

• La presente guía no es única ni obedece a un estándar en particular.
• La meta consiste en diseñar un programa de auditoría centralizado en
los riesgos críticos del negocio.
• Elcambio metodológico debe ser progresivo en tanto se fortalezca la
cultura de gestión de procesos y riesgos en la organización.

3

La auditoría moderna
“Evaluar y mejorar la eficacia de los procesos de gobierno, riesgos
y control”

Gobierno
Riesgos
Planeamiento de auditoría
basada en riesgos

Control

4

¿Qué es auditoría basada en
riesgos?
“La auditoría basada en riesgos esun proceso, un
acercamiento, una metodología y una actitud en torno al
tema.
La manera más simple de definir una auditoría basada en
riesgos consiste en revisar las cosas que realmente importan
en su organización.
Otra manera de trabajar la auditoría basada en riesgos es
con la ayuda de la teoría de proceso”
Fuente: Phil Griffiths (2009) en su documento “Risk Based Auditing”

5Ámbito de aplicación de la
metodología
Primera Etapa: La entidad se encuentra desarrollando
los primeros niveles del proceso de gestión de riesgos
(Establecer el contexto, identificación y análisis de
riesgos).
Segunda Etapa: La entidad ha culminado en desarrollar
los niveles del proceso de gestión de riesgos (Establecer
el contexto, identificación, análisis y evaluación de
riesgos) y ha puestoen práctica el tratamiento al riesgos

6

Plan Anual de auditoría basada en
riesgos
• Procesos críticos de relevancia según tamaño del impacto de
riesgo (Dueños de procesos o Gerencia de Riesgos).
• Antigüedad de última auditoría.
• Proceso no auditado según cadena de valor y nuevo enfoque.
• Sugeridas por dueños de procesos o por Alta Dirección.
• Criticidad: Carencia de controles,alta rotación de personal,
cambio de funciones, procedimientos, eventos recientes,
denuncias, etc
• Exposición a eventos externos e internos de la organización.
• Criterio propio de auditores (resultados de CSA, importancia
de resultados de recomendaciones)

7

Métricas de Procesos Auditables
Universo
de
procesos

Unidad
Organizacional

Proceso 1

XXXX

Proceso 2

XXXXXResponsables

Gasto
Operativo

Última
Auditoría

Factor
Tamaño

Factor
Control

Factor
CSA

Riesgo Crítico
Corporativo 1/

Riesgo
tratado

Riesgo
residual

Proceso 3
Proceso 4
Proceso n
1/ Información proporcionada por la Gerencia de Riesgos

Escala de Factor CSA
(Mínima prioridad de auditoría)
A = Alto
4.001 - 5.000
B = Medio
3.501 - 4.000
C = Bajo
3.001 -3.500
D = Inadecuado 0.000 - 3.000

(Máxima prioridad de auditoría)
El factor de CSA introduce la puntuación
sobre la marcha de los componentes de
control interno según los dueños del
proceso, obtenida mediante talleres de
autoevaluación de control.

Escala de Factor Control
ESCALA FACTOR TAMAÑO
(Tamaño máximo)
5= Más de 5,0 mill
4= Entre 1,01 y 5,0 mill
3= Entre 101 y 1,0 mill
2=...