LA AUDITORÌA CONTINUA, UN MODELO COMPLEMENTARIO QUE PERMITE AGREGAR VALOR A LA AUDITORÌA MODERNA.

Por: Francisco Javier Valencia Duque* CISA-CRISC-COBIT Foundations Universidad Nacional de Colombia (Sede Manizales) Presentación

Tratar de adelantarnos en el tiempo para poder aventurarnos a predecir lo que pasará en el futuro, en este caso el futuro de la auditoría, es poco probable, sin embargo, podemos intentar anticiparnos a lo que va a suceder, si articulamos adecuadamente el conocimiento disponible, explotando lo que sabemos del pasado y del presente. Este es el objetivo del ensayo que a continuación se presenta, el cual gira alrededor de uno de los temas que ha venido emergiendo desde hace cerca de 25 años, cuando autores como Groomer y Murthy en 1989 publicaron los primeros papers alrededor del tema (Kogan, Alles, & Vasarhelyi, 2010), pero que a la fecha no ha sido aún incorporado de forma masiva en las organizaciones. La Auditoría Continua.

Para ello se tomará como punto de partida, los retos, tendencias, expectativas y prioridades que afronta actualmente la auditoría interna, en la búsqueda de agregar valor a la organización, a través del uso de las Tecnologías de Información y Comunicaciones (en adelante TIC).

Sin embargo para poder tener una visión

integral de las TIC en los procesos de auditoría, debemos, con una mirada

retrospectiva, comprender históricamente como se ha venido incorporando el uso de las TIC en el proceso auditor y cuáles han sido los aportes que diferentes autores y organizaciones cercanas al mundo de la auditoría han planteado para hacer de esta función estratégica, una labor con mayores niveles de eficacia y eficiencia, en beneficio del proceso auditor en particular y de la organización en general.

A partir de esta revisión histórica podemos introducirnos en la Auditoría Continua, una de las tecnologías más importantes para el desarrollo de la auditoría moderna, considerada por algunos autores, como el nuevo paradigma de la auditoría.

Con una exhaustiva revisión bibliográfica de sus orígenes, conceptos, contrastes con la auditoría tradicional y un análisis comparativo de las metodologías de Auditoría Continua planteadas por cuatro (4) de las principales organizaciones a nivel internacional que agrupan a contadores y auditores, se formulará una metodología unificada que recoja las principales fases y actividades a desarrollar en un proceso de Auditoría Continua, como herramienta base para disminuir la complejidad que puede representar para un auditor el desarrollo de este tipo de procesos ante la existencia de diversas metodologías.

Es importante destacar que la Auditoría Continua no entra a reemplazar la auditoría tradicional, lo que hace es complementar una auditoría que mira retrospectivamente los hechos, con un modelo proactivo, que se fundamenta en una auditoría predictiva y preventiva, fundamentada en el uso intensivo de las TIC como herramientas que apalancan el proceso auditor.

1. Retos, tendencias, expectativas y prioridades que afronta la Auditoría Interna. Una perspectiva desde las TIC.

Las organizaciones han sido transformadas por las Tecnologías de Información y Comunicaciones, lo que ha permitido que no existan fronteras de espacio, ni de tiempo para desarrollar los negocios, generando organizaciones ubicuas, con la capacidad de desarrollar sus operaciones en diferentes partes del mundo de forma simultánea, las 24 horas del día, los 7 días de la semana, durante los 365 días del año, dando respuesta en tiempo real a los cambios que se pueden suscitar en su entorno de negocios inmediato. Sin embargo la auditoría aún no ha evolucionado a la par de estas organizaciones, desarrollando sus procesos de auditoría de forma tardía; días, meses e inclusive años después de que ocurren los eventos económicos en las organizaciones, llevando a cabo un control tardío de los eventos económicos, detectando anomalías e irregularidades y en general incumplimiento de reglas de negocio mucho tiempo después de que ocurrieron, y generando reportes tardíos que ya no tienen valor para la organización, o si aún lo tienen, ya han perdido mucho de él.

Bajo la premisa de que los negocios en tiempo real, son impulsados por procesos en tiempo real y por lo tanto requieren de un control en tiempo real, es necesario que la auditoría responda a estos retos y uno de los mecanismos para lograrlo es

hacer un uso intensivo de las TIC como parte del proceso auditor, que agregue valor en su función de aseguramiento.

Diversas investigaciones originadas en el sector productivo y la academia plantean retos que debe afrontar la auditoría interna para cumplir con uno de los principales elementos que componen su definición –agregar valor- , elemento que ha sido cuestionado en algunos de estas investigaciones, y que es ratificado por el Instituto de Auditores Internos, en su editorial del último número de la revista Internal Auditor al establecer: “En el 2014 las partes interesadas de auditoría interna dejaron perfectamente en claro que existe una brecha entre lo que esperan de auditoría interna y lo que reciben” (Millage, 2014,30).

Recientemente el estudio sobre el estado de la profesión de auditoría interna en 2014 elaborado por PricewaterhouseCoopers establece que tan solo el 45% de los altos directivos consideran que la auditoría interna aporta un valor significativo a la organización (PWC, 2014), por su parte la encuesta global a Directores miembros de comités de auditoría de 21 países llevada a cabo por KPMG y dada a conocer en Marzo de 2013 plantea que tan solo el 37% de las compañías Latinoamericanas, están convencidos del valor que entrega a la compañía el área de auditoría interna (KPMG, 2013).

Si bien, son diversos los factores que han llevado a generar estos porcentajes relativamente bajos, existe un elemento en común que han planteado estos y otros estudios alrededor de los retos, tendencias, expectativas y prioridades que tiene la

auditoría para incrementar el valor esperado de su función en la organización, y es el uso intensivo de las Tecnologías de Información y Comunicaciones en los procesos de auditoría. Ello obedece fundamentalmente a que las TIC ya no son simplemente recursos de apoyo en la organización, sino que son parte del negocio, como es el caso específico de las entidades bancarias.

Es así como el Instituto de Auditores internos de España en uno de sus últimos documentos del tanque del pensamiento, al plantear los retos futuros para la auditoría interna de las entidades de crédito, establece, en relación con los controles: “La Auditoría Interna se apoyará cada vez más en un examen del funcionamiento de controles automáticos y un mayor tratamiento masivo de datos, para lo que será necesaria la evolución de las herramientas informáticas que permitan dichas capacidades”(Instituto de Auditores Internos de España, 2014,9); y en relación a los riesgos: “El empleo de técnicas de tratamiento masivo de datos facilita alcanzar la cobertura de Auditoría Interna, mejorar la cuantificación de las incidencias y mejorar la comprensión de los riesgos” (Instituto de Auditores Internos de España, 2014,32); complementado con

“La tecnología no solo ayudará a

detectar el riesgo de TI, también permitirá su integración en la realización de trabajos de auditoría a través del análisis masivo de datos. Este hecho proporcionará la posibilidad de detectar los riesgos de una forma más eficaz sin incurrir en un mayor coste”(Instituto de Auditores Internos de España, 2014,34).

En el resumen de las tendencias planteadas por este documento para las áreas de auditoría interna de las entidades de crédito, se plantean 17 tendencias, con

aproximadamente 44 expectativas distribuidas en 4 categorías: recursos humanos, estructura organizativa, enfoque alcance y organización de revisiones, y recursos técnicos y medios, de las cuales cerca del 30% de las expectativas, en 3 de las 4 categorías están relacionadas de manera directa con las TIC, como se puede observar en la tabla 1.

Tabla 1. Retos y expectativas de futuro para la Auditoría Interna de las entidades de crédito relacionadas con Tecnologías de Información y Comunicaciones.

TENDENCIA

EXPECTATIVA RECURSOS HUMANOS

Aumentarán las auditorías de No se entiende un proceso de negocio sin la equipos integrados por miembros tecnología. con distintas especializaciones, Difícil que un auditor pueda saber de todo, hasta consolidar la figura del incluido TI. superauditor

que

conocimientos

de

aglutine No centrarse solo en riesgos de TI. áreas

relevantes ENFOQUE, ALCANCE Y ORGANIZACIÓN DE REVISIONES Disminuirá

progresivamente

la Se intensificará el uso de herramientas que

auditoría tradicional/presencial de permiten auditar a distancia gracias al uso de oficinas, que pasará a tener la tecnología en los procesos menos importancia en términos Podrían desaparecer los ciclos de revisión de oficinas siendo visitadas sólo cuando se

de recursos y número de oficinas produzcan determinadas señales de alerta revisadas

concretas

Aumentarán los procedimientos Aumentará la auditoría a distancia de otros de auditoría a distancia y se riesgos ajenos a la red de oficinas (TI, capital, extenderán a otras áreas distintas liquidez, etc). al control de la red comercial. Aumentará

la

evaluación La

Auditoría

Continua

se

usará

para

dinámica de los riesgos para alimentar dinámicamente los riesgos. determinar

los

trabajos

de

auditoría a realizar RECURSOS TÉCNICOS Y MEDIOS Los equipos de Auditoría Interna Las conclusiones de las auditorías se se

apoyarán

verificación

más del

en

la basarán cada vez más en:

correcto - Los resultados de pruebas masivas de

funcionamiento de determinados datos y menos en muestreos estadísticos. controles automáticos y en el - Pruebas de controles automáticos en los tratamiento masivo de datos para procesos de negocio. obtener conclusiones e indicios.

Posibilidad de explotar cantidades ingentes de datos, correlacionando información, para detectar tendencias y patrones así como incidencias puntuales.

La evolución de los negocios y de La evolución de la Auditoría Continua la tecnología irá acompañada de dependerá de la capacidad de la explotación un

progresivo

uso

de masiva de datos.

herramientas informáticas como Necesidad de herramientas informáticas que apoyo a las auditorías.

permitan la explotación masiva de datos. Los

auditores

conocedores

del

internos manejo

deben de

ser estas

herramientas informáticas. Fuente: construido a partir de (Instituto de Auditores Internos de España, 2014b)

Sin embargo, no es solo este informe el que ha planteado tales retos alrededor de las TIC, también existen otra serie de estudios e informes de organizaciones cercanas a la función de auditoría, entre las que se destacan la encuesta aplicada por Protiviti (2014), a más de 600 ejecutivos de auditoría en diferentes países del mundo, orientada a conocer las necesidades y capacidades de los auditores internos frente a los riesgos emergentes y ser proactivo ante los cambios que se generan en las organizaciones, quienes priorizan los siguientes aspectos tecnológicos en los procesos de auditoría: -

Social media, aplicaciones móviles, cloud computing y seguridad

-

Técnicas de Auditoría Asistidas por Computador (CAATs en inglés) y análisis de datos.

-

Gestión de fraudes centrados en la Tecnología.

-

Cumplimiento de leyes y cambios normativos

-

Colaboración con otros miembros de la empresa para compartir experiencias y comunicar el valor que aporta la auditoría a la organización.

Por su parte la firma Thomson Reuters Accelus en su encuesta anual del estado de la Auditoría interna en el 2014, donde participaron cerca de 900 auditores internos en aproximadamente 50 países del mundo y ante la pregunta de cuáles deben ser las principales prioridades de la función de auditoría interna en su organización, se obtuvieron como prioridad, el aseguramiento de los procesos de control interno, con un 63% aproximadamente, seguido de la seguridad y riesgos de Tecnologías de Información, con un 54%, incrementándose en relación con la encuesta aplicada en los dos años anteriores(Thomson Reuters, 2014).

De igual forma, el estudio sobre el estado de la profesión de auditoría interna llevado a cabo por PricewaterhouseCoopers (PwC) en 2014, plantea a partir de las respuestas de 1920 directivos relacionados con la auditoría en cerca de 37 países como hoja de ruta para contar con una auditoría interna eficaz, alinear 8 atributos, como se puede observar en la figura 1, entre los cuales se encuentra la Tecnología, donde se requiere el empleo de técnicas avanzadas de análisis de datos, utilizando las técnicas de Auditoría Continua para incrementar la cobertura y proporcionar indicadores tempranos de advertencia sobre posibles riesgos(PWC, 2014).

Figura 1. Atributos para una Auditoría Interna eficaz.

Fuente: (PWC, 2014)

Por último, KPMG & Instituto de Auditores Internos de España (2015) a través de su documento “Visión 2020. Desafíos de Auditoría Interna en el horizonte 2020” plantea la relación del auditor interno con las nuevas tecnologías en tres niveles diferentes: En primer lugar, está la forma en que la tecnología está presente actualmente en todas las transacciones de una empresa, lo que implica un cambio en la planificación de las pruebas de auditoría tradicionales; en segundo lugar, las nuevas tecnologías ofrecen al auditor una serie de posibilidades para profundizar en su trabajo, aumentar el rendimiento del mismo y permitir un mayor control sobre cualquier tipo de operación; y en tercer lugar, el desarrollo de nuevas tecnologías conlleva a un nuevo campo que debe ser objeto de supervisión por parte del auditor.

En resumen, son diversos los estudios alrededor de la Auditoría interna que coinciden en la importancia que representan las TIC para el desarrollo eficaz y eficiente de los procesos de Auditoría, en la búsqueda permanente de hacer de la auditoría, una función cada vez más pertinente, ajustada a las necesidades y retos que impone el negocio, y como medio para agregar valor a la organización.

2. Las Tecnologías de Información y Comunicaciones en los procesos de Auditoría. Una visión retrospectiva.

Los procesos de Auditoría manual son inadecuados en este entorno cada vez más complejo (Vasarhelyi, 1984). Estas palabras expresadas en 1984 por uno de los autores más prolíficos en materia de Auditoría Continua, es mucho más vigente hoy, que hace 31 años. Sin embargo, a pesar del tiempo y la evolución tecnológica que han tenido las organizaciones, el uso de las TIC en la auditoría no ha sido un tema prioritario en las áreas de auditoría, así lo demuestran diferentes estudios realizados principalmente por las agremiaciones y firmas de auditoría a nivel internacional.

No obstante, históricamente la academia y las agremiaciones de auditores han aportado a lo que se ha denominado de forma genérica como Técnicas y Herramientas de Auditoría Asistidas por Computador (en adelante CAATT por sus siglas en inglés, de Computer Assisted Audit Tools and Techniques) para referirse al uso de las TIC en auditoría.

De manera inicial, es pertinente resumir las diferentes normas que se han promulgado alrededor del uso de las TIC en los procesos de auditoría, las cuales son resumidas en la tabla 2, donde se puede concluir, que en particular los organismos que agrupan contadores y auditores, no han sido ajenos a la importancia que representa este importante recurso en los procesos de auditoría.

Tabla 2. Resumen de las principales normas y estándares alrededor de las Tecnologías de Información y Comunicaciones en la Auditoría. ENTIDAD

NORMA

DESCRIPCIÓN

SAS No 3

Efectos del procesamiento electrónico de

EMISORA AICPA

datos sobre el estudio y evaluación de los controles internos por parte del auditor AICPA

SAS No 48

Los

efectos

del

procesamiento

en

computador sobre el examen de los estados financieros AICPA

SAS No 94

El efecto de la Tecnología de información en la consideración del control interno del auditor, en una auditoria de declaraciones financieras

IFAC

ISA 401

Auditoría en un ambiente de sistemas de información por computador.

IFAC

Declaración

Ambientes de Sistemas de Información de

Internacional 1001

cómputo

(CIS)-Microcomputadoras

independientes. IFAC

Declaración

Ambiente de Sistemas de Información de

Internacional 1002

cómputo (CIS)-Sistemas de computadoras en línea.

IFAC

IFAC

IFAC

IFAC

ISACA

Declaración

Ambientes de Sistemas de Información de

Internacional 1003

cómputo (CIS)-Sistemas de base de datos

Declaración

Evaluación del riesgo y el control interno –

Internacional

Características

1008

Sistema de Información de cómputo (CIS)

Declaración

Técnicas de auditoria con

internacional 1009

computador.

Declaración

Comercio electrónico – efecto en la auditoria

Internacional 1013

de estados financieros

Guía 3

Uso de Técnicas de Auditoría Asistidas por

y

consideraciones

del

ayuda del

Computador IIA

Consejos práctica

para

la Debido cuidado profesional. Al ejercer el

1220-2, debido cuidado profesional el auditor interno

Norma relacionada debe 1220.A2

considerar

la

utilización

de

herramientas de auditoria asistidas por computador y otras técnicas de análisis de datos.

Fuente: Elaboración propia

Por su parte, la academia no ha estado al margen de la relación TIC-auditoría, y existe una posición de diversos autores como (Pinilla Forero, 1997;Loh, 2002; Cerullo & Cerullo,2003;Smieliauskas & Bewley,2010) quienes han planteado un enfoque para abordar el uso del computador por parte de los auditores, a partir de tres perspectivas: La auditoría alrededor del computador, la auditoría a través del computador y la auditoría con el computador.

La auditoría alrededor del computador (Auditing around the computer), consiste en conciliar los documentos fuente asociados a las transacciones de entrada al computador con los resultados generados por este, mientras que el procesamiento realizado por la aplicación de computador es tratado como una caja negra (Braun & Davis,2003). Para Smieliauskas & Bewley (2010), fue el primer enfoque utilizado por los auditores, con la aparición del computador, y es adecuado su uso si los controles y el sistema de información proporcionan suficiente evidencia visible. Es el enfoque más simple de utilizar, en el cual se requieren bajos conocimientos en TIC, sin embargo, no es un enfoque adecuado para evaluar la efectividad de los controles en los sistemas de información.

La auditoría con el computador (Auditing with the computer), es asociado por autores como Cerullo & Cerullo (2003) y Smieliauskas & Bewley (2010) con el uso de software generalizado de auditoría (Generalized Audit Software, GAS), que consiste en utilizar el computador para desarrollar labores en las diferentes fases

del ciclo de auditoría, y cuenta con desarrollos muy importantes en el campo del análisis de datos, haciendo uso de diferentes aplicaciones, algunas especializadas y otras que no tienen foco específico en auditoría, pero que cuentan con funciones que apoyan alguna de sus fases. La auditoría con el computador, hace un uso más intensivo de las herramientas tecnológicas que de las técnicas de auditoría propiamente dichas. Dentro de esta categoría, pueden encontrarse desde suites ofimáticas hasta herramientas especializadas en auditoría.

La auditoría a través del computador (Auditing through the computer), asociado directamente por Smieliauskas & Bewley (2010) a las CAATT propiamente dichas, está inscrito en las técnicas que requieren probar controles automatizados, consiste en que el auditor evalúa la tecnología para determinar la confiabilidad de las operaciones que no pueden ser vistas por el ojo humano y prueba la efectividad operacional de los controles relacionados con el computador, según aseguran Louwers et al. (2011). A diferencia de los dos anteriores, las técnicas que hacen parte de la auditoría a través del computador, tratan de permear la tecnología, para evaluar los controles inmersos en esta y hace un uso más intensivo de las técnicas que de las herramientas tecnológicas, las cuales pueden ser automatizadas por los mismos auditores que cuenten con conocimientos profundos de tecnología, o con el apoyo del área de tecnología de información, aunque en ocasiones no es muy recomendable debido a la pérdida de independencia que puede generar.

En general todos los tipos de auditoría y todos los tipos de auditores pueden tomar ventaja de las técnicas y herramientas de auditoría asistidas por computador para ser más eficientes y efectivos (Senft & Gallegos, 2009).

3. La auditoría continúa. El paradigma de la auditoría basada en TIC 3.1.

Conceptos y aclaraciones.

La Auditoría Continua, también llamada auditoria continua en línea, tiene varias acepciones en la literatura académica y profesional, sin embargo, la más reconocida es la planteada en 1999, por el Instituto Americano de Contadores Públicos Certificados (The American Institute of Certified Public Accountants (AICPA)) y el Instituto Canadiense de Contadores Públicos (The Canadian Institute of Chartered Accountants (CICA)) quienes la definen como una metodología para la emisión de informes de auditoría simultáneamente, o un corto periodo de tiempo después de la ocurrencia de los hechos relevantes (Searcy, Woodroof, & Behn, 2003).

Como complemento, existen dos definiciones alternas, que permiten dar una visión más amplia de la Auditoría continua, para no limitarnos tan solo a la fase de informes. La primera planteada por el Instituto de Auditores internos (IIA), a través de su Guía de Auditoría de Tecnología Global número 3, quien la define como “Todo método utilizado por los auditores para realizar actividades relacionadas con la Auditoría en forma (más) continua. Es la secuencia de actividades que abarcan desde la evaluación continua de control hasta la evaluación continua de riesgos”. (Coderre, 2005,7)

Por su parte la Asociación de Control y Auditoría de Sistemas de Información (ISACA), en la directriz número 42 de auditoría de sistemas de información, define la Auditoría Continua como un método para llevar a cabo evaluación de riesgos y controles, sobre una base más frecuente. Es un método que utiliza técnicas de auditoría asistidas por computador que permite a los profesionales de auditoría monitorear los riesgos y controles en forma continua. Este enfoque permite reunir evidencia selectiva de auditoría a través del computador (ISACA, 2010).

Retomando los conceptos planteados previamente y a fin de contar con una definición incluyente en cada una de las etapas de un ciclo de auditoría, se puede afirmar que La Auditoría Continua es un proceso a través del cual los auditores (de cualquier tipo) desarrollan su ciclo de auditoría de forma más oportuna y de manera constante con el apoyo de las TIC, utilizando técnicas de auditoría concurrentes para evaluar y monitorear permanentemente la ocurrencia de riesgos y el incumplimiento de controles de aquellos procesos de negocio que utilizan de manera intensiva las TIC para su desarrollo.

Concomitante con lo anterior, es necesario diferenciar el concepto de Auditoría Continua con otros conceptos similares que en ocasiones generan confusión y que es necesario delimitar para no incurrir en equivocaciones.

Inicialmente, el término Auditoría Continua es asociado indistintamente con monitoreo continuo y aunque las técnicas y tecnologías empleadas son las mismas, su principal diferencia radica en la propiedad de los procesos. La Auditoría Continua

es responsabilidad del área de auditoría, mientras que el monitoreo continuo es responsabilidad de la administración o de los dueños del proceso.

De otro lado, términos como monitoreo continuo del control (Continuous Control Monitoring –CCM-), aseguramiento continuo de datos (Continuous Data Assurance –CDA-) y monitoreo y evaluación continuo del riesgo (Continuos Risk Monitoring and Assessment –CRMA-), están estrechamente relacionados, y como lo plantea Vasarhelyi, Alles, & Williams (2010), es un ciclo, como se puede apreciar en la figura 2, que inicia con la adecuada identificación, monitoreo y evaluación de riesgos (CRMA), el cual requiere de un flujo constante de datos con ciertos criterios de calidad, a través de procesos de aseguramiento (CDA), que permiten establecer procesos de Monitoreo continuo del Control (CCM) en respuesta a los riesgos; y dentro de este ciclo, la Auditoría Continua, juega un papel importante para garantizar que estos tres componentes cumplan su función y puedan fluir para dar respuesta oportuna a los eventos adversos que pueden ocurrir en una organización. Figura 2. Principales Componentes de la Auditoría Continua

Fuente: (Vasarhelyi et al., 2010)

3.2.

Breve historia

De acuerdo con Blundell (2007), la Auditoría Continua(AC) no es un concepto totalmente nuevo, ni tampoco es un concepto ampliamente implementado en las organizaciones. El término AC, ha sido explorado en los círculos de auditoría interna desde la década de los 70 (Heffes, 2006), pero fue tratado de manera específica, por primera vez en 1975 por William Sprague en un artículo titulado “Interim Financial reporting and continuous auditing” publicado en el CPA Journal (Murcia, 2008), aunque algunos autores plantean que los primeros papers publicados fueron los de Groomer y Murthy en 1989 y los de Vasarhelyi y Halper en 1991(Kogan et al., 2010).

Tanto la academia como el sector productivo, han sido impulsores permanentes de la evolución de la Auditoría Continua. La comunidad académica a través de

múltiples

artículos

científicos

y

conferencias

divulgadas

en

congresos

internacionales, destacándose autores como Miklos Vasarhelyi (considerado el padre de la Auditoría continua), Michael Alles , David Coderre, Alexander Kogan, Huanzhuo Ye; Centros de investigación como el “Continuous Auditing & Reporting Lab” (CARLAB) de la Universidad de Rutgers y eventos de difusión de avances y experiencias en Auditoría continua como el “World Continuous Auditing and Reporting Systems Symposium” desarrollado por la Universidad de Rutgers, a través del CARLAB, algunos de los cuales han sido desarrollados en Latinoamérica, en el marco de la International Conference on Information Systems and Technology Management (CONTECSI) liderada por la Universidad de Sao Paulo. Por su parte en el sector productivo, organizaciones como AT&T, Siemens, HCA y UNIBANCO han sido pioneras en la implementación de procesos de Auditoría continua, hasta las agremiaciones de profesionales de contadores y auditores a nivel internacional, quienes han promulgado estándares y guías alrededor del tema.

Un resumen de los sucesos más significativos en el desarrollo y difusión de la Auditoría Continua, desde sus inicios exploratorios en 1970, y que han marcado el desarrollo de la Auditoría continua a nivel internacional se puede observar en la figura 3.

Figura 3. Eventos destacados de la Auditoría Continua

Fuente: (Valencia Duque, 2012)

3.3.

Auditoría continua vs auditoría tradicional

Son diversas las fuentes que han planteado la existencia de un nuevo paradigma de auditoría en un contexto cada vez más influenciado por las Tecnologías de Información y Comunicaciones. Es así como (ACL, 2005) establece lo siguiente: La Auditoría Continua modifica el paradigma de la auditoría, dejando de ser una mera revisión de ejemplos de transacciones para transformarse en procedimientos continuos de auditoría que evalúen el 100% de las transacciones, transformando la naturaleza de las pruebas, el momento en que se las lleva a cabo, los procedimientos y el nivel de esfuerzo.

En la siguiente tabla, se plantea un paralelo entre la Auditoría tradicional y la Auditoría continua, desde 7 dimensiones.

Tabla 3. Paralelo entre la Auditoría Tradicional y la Auditoría Continua. AUDITORÍA TRADICIONAL

CONTINUA

1. FRECUENCIA Periódica

Continua ó más frecuente

2. ENFOQUE Reactivo

Proactivo

3. PROCEDIMIENTOS DE AUDITORÍA Manuales

Automatizados

4. TRABAJO Y ROL DE LOS AUDITORES La

mayor

parte

del

trabajo La mayor parte del trabajo realizado se

desarrollado está centrado y es centra en el manejo de excepciones y intensivo en los procedimientos de procedimientos de Auditoría que requieren Auditoría

el juicio humano El papel del auditor externo se convierte en

Roles independientes del auditor el certificador del Sistema de Auditoría interno y del auditor externo

Continua

5. NATURALEZA, OPORTUNIDAD Y ALCANCE 5.1. NATURALEZA

Las

pruebas

consisten

en Las pruebas consisten en monitoreo de

procedimientos de revisión analíticos controles continuo y aseguramiento de y pruebas detalladas sustantivas

datos continuo

5.2. OPORTUNIDAD Las pruebas de controles y las El monitoreo de los controles y las pruebas pruebas detalladas se producen de detalladas ocurren simultáneamente forma independiente 5.3. ALCANCE Muestreo en las pruebas

La población entera se considera en las pruebas

6. PRUEBAS Pruebas

desarrolladas

por

personas

las El modelado de datos y el análisis de datos son usados para monitorear y probar

7. INFORMES Periódicos

Continuos o muy frecuentes

Fuente: (Chan & Vasarhelyi, 2011)

McNamee en

su texto “Risk Management: Changing the Internal Auditor´s

Paradigm” editado por el IIA Research Foundation, referenciado por (Texeira, 2009), plantea dos paradigmas de Auditoría, llamadas simplemente Viejo y Nuevo paradigma, caracterizando en este último, aspectos de la Auditoría continua, como se puede observar en la siguiente tabla.

Tabla 4. Paralelo de dos paradigmas de la Auditoría Continua ASPECTO

DE VIEJO PARADIGMA

NUEVO

AUDITORÌA

PARADIGMA

Foco de la Auditoría Control Interno

Riesgos de Negocio

Interna Respuesta

de

la Reactiva,

Auditoría Interna

después

hechos,

de

los Proactiva, en tiempo

discontinua, real,

monitoreo

observadora de las iniciativas continuo, participante del plan estratégico

en

los

planes

estratégicos Evaluación de riesgos

Factores de riesgo

Planeamiento

de

escenarios Pruebas de Auditoría

Controles Importantes

Riesgos importantes

Métodos de Auditoría

Énfasis en las pruebas de Énfasis control detalladas y completas

en

importancia

la y

el

alcance de que los riesgos del negocio estén cubiertos Recomendaciones de Control Auditoría

Interno: Gestión de Riesgos:

Fortalecimiento,

Evitar/diversificar

Costo/Beneficio,

riesgo

Eficiencia/Eficacia

Compartir/Transferir el riesgo

el

Controlar/Aceptar

el

riesgo Informes de Auditoría

Dirigida

a

los

funcionales Papel Interno

del

Auditor Función en

de los procesos. de

la Independiente.

Organización

controles Dirigida a los riesgos

Evaluación Integración

de

la

gestión de riesgos en el

gobierno

de

la

organización Fuente: (Texeira, 2009)

Por último, (Chan & Vasarhelyi, 2011) plantean tres componentes estructurales, en el análisis de la Auditoría continua, frente a la tradicional: la naturaleza, el tiempo y la extensión de las pruebas. Con respecto a la naturaleza, plantean los autores que, en una Auditoría tradicional, el control es manual y las pruebas sustantivas detalladas son desarrolladas periódicamente para evaluar las afirmaciones de la administración. Por el contrario en la Auditoría continua, el monitoreo del control es continuo y automatizado y se requiere un aseguramiento continuo de los datos. En lo que respecta al tiempo, generalmente en la Auditoría tradicional las pruebas de control interno ocurren en la planeación y las pruebas sustantivas detalladas ocurren en la fase de trabajo de campo de la Auditoría. Por el contrario, el monitoreo de los controles internos y las pruebas de los datos de las transacciones ocurren simultáneamente en un ambiente de Auditoría continua. En lo atinente a la extensión de las pruebas, en una Auditoría tradicional, se usa el muestreo, debido a lo

intensivo en tiempo y mano de obra que requieren las pruebas. En contraste, una auditoria continua considera a toda la población de transacciones en el monitoreo y las pruebas.

4. Propuesta de una metodología integrada de Auditoría Continua.

Se han desarrollado a través del tiempo diversas formas de llevar a cabo una Auditoría Continua, denominados por diferentes autores como modelos, metodologías, esquemas o casos, como se puede observar en la tabla 5. Muchos de ellos son modelos teóricos, otros están orientados a presentar experiencias de implementación en organizaciones, y otros son guías de orientación formuladas por las principales organizaciones que agrupan los auditores y contadores a nivel internacional.

Tabla 5. Modelos, guías, esquemas y casos de Auditoría Continua Año 1989 1991 2001 2002 2002 2003 2004 2004 2005 2005 2005 2005 2006

Modelo/Guía/Esquema/Caso de Auditoría Continua Modelo de Groomer and Murthy CPAS –The Continuous Process Auditing System Modelo Woodroof Modelo Rezaee Auditoría continua en el gobierno Chino Modelo Onions Hospital corporation of America (HCA). A continuous auditing web services model for XML-based accounting systems Model for Transaction-based continuous auditing Modelo RCMP Modelo IIA Embedded Audit Modules in ERP Systems: Implementation and Functionality Modelo CMBPC

2007 Continuous Auditing From a Practical Perspective 2007 Continuous Auditing Model in the context of independent audits. A Theoretical and Technical Model of an external Continuous Auditing 2007 System A Theoretical and Technical Model of an external Continuous Auditing 2007 System 2008 Modelo WSCAM 2008 AUDIT SERVER 2008 On Application of SOA to Continuous Auditing CAIMOR – Continuous Auditing Immune Model based on Object-Oriented 2010 Rule base 2010 Six Steps to an Effective Continuous Audit Process 2010 Auditoría Continua: Mejores Prácticas y Caso Real 2010 G42 CONTINUOUS ASSURANCE 2010 Modelo del Instituto de Contadores Pùblicos de Australia 2011 Modelo CRCA (Continuous Risk and Control Assurance) 2011 Innovation and practice of continuous auditing 2011 Metodología Mainardi 2013 The Predictive Audit Framework 2014 Guía para implantar con éxito un modelo de Auditoría Continua Fuente: Elaboración propia.

Y son precisamente estas últimas las que servirán de base para la construcción de una metodología integrada que permita desarrollar un proceso de Auditoría Continua basado en la homogeneización de las principales fases y actividades propuestas por las principales entidades que agrupan a auditores y contadores de todo el mundo: El Instituto de Auditores Internos (IIA global), La Asociación de Control y Auditoría de Sistemas de Información (ISACA), El Instituto de Contadores Públicos de Australia (The Institute of Chartered Accountants in Australia) y se ha incluido el Instituto de Auditores Internos de España, con su reciente publicación de la Fabrica del pensamiento.

El Instituto de Auditores Internos (IIA) en 1995 como parte de sus guías de Auditoría de Tecnología, difundió la guía número 3, denominada “Continuous Auditing: Implications for Assurance, Monitoring, and Risk Asessment” cuyo resumen se puede observar en la tabla 6, y a través de la cual se identifica qué se debe hacer para lograr un uso eficaz de la tecnología a favor de la Auditoría Continua. Esta guía se encuentra actualmente en proceso de actualización y está disponible para los profesionales de Auditoría afiliados al IIA. Tabla 6. Pasos clave del modelo de Auditoría Continua del Instituto de Auditores Internos. 1. OBJETIVOS DE LA AUDITORÍA CONTINUA 1.1. Definir los Objetivos de Auditoría Continua 1.2. Obtener y gestionar el respaldo de la alta dirección 1.3. Determinar el grado en que la dirección está cumpliendo su función de supervisión 1.4. Identificar y establecer prioridades entre las áreas a abordar y los tipos de Auditoría Continua a realizar 1.5. Identificar sistemas de información clave y fuentes de datos 1.6. Comprender los sistemas de aplicación y los procesos subyacentes de negocio 1.7. Desarrollar relaciones con la gestión de TI 2. USO Y ACCESO A DATOS 2.1. Seleccionar y adquirir herramientas de análisis 2.2. Desarrollar capacidades de acceso y análisis 2.3. Desarrollar y mantener técnicas y habilidades de análisis del auditor. 2.4. Evaluar la integridad y fiabilidad de los datos 2.5. Depurar y preparar los datos 3. EVALUACIÓN CONTINUA DE RIESGOS 3.1. Definir las entidades a evaluar 3.2. Identificar categorías de riesgos 3.3. Identificar indicadores de riesgo/desempeño controlados por datos 3.4. Diseñar pruebas analíticas para medir mayores niveles de riesgo 4. EVALUACIÓN CONTINUA DEL CONTROL 4.1. Identificar puntos de control críticos 4.2. Definir reglas de control 4.3. Definir excepciones

4.4. Diseñar un enfoque tecnológico para pruebas de control y para identificar deficiencias. 5. INFORMAR Y GESTIONAR RESULTADOS 5.1. Establecer prioridades y determinar la frecuencia de las actividades de Auditoría Continua 5.2. Ejecutar pruebas de manera regular y oportuna 5.3. Identificar deficiencias de control o mayores niveles de riesgo 5.4. Establecer prioridades entre los resultados 5.5. Iniciar la respuesta de auditoría correspondiente e informar los resultados a la dirección 5.6. Gestionar resultados (rastreo, informe, supervisión y seguimiento) 5.7. Evaluar los resultados de las acciones implementadas 5.8. Supervisar y evaluar la eficacia del proceso de Auditoría Continua (tanto el análisis, por ejemplo, reglas e indicadores, como los resultados obtenidos) y modificar los parámetros de pruebas, según sea necesario. 5.9. Garantizar la seguridad del proceso de Auditoría continua y asegurar que existan las vinculaciones correspondientes con las iniciativas de dirección, como por ejemplo, la ERM, la supervisión y medición del desempeño. Fuente: (IIA, 2005b)

La Asociación de Control y Auditoría de Sistemas de Información (ISACA), liberó en el año 2010, como parte de sus guías de auditoría, la guía 42 denominada “Continuous Assurance” cuyo resumen se puede observar en la tabla 6, a través de la cual se pretende dar orientaciones a los profesionales en Auditoría, Control y Gobierno

de

Tecnologías

de

Información

alrededor

de

la

planeación,

implementación y monitoreo de los procesos y sistemas de aseguramiento continuo en una empresa. Es importante recordar que ISACA promulga tres tipos de documentos que orientan la función del auditor de sistemas: los estándares, los cuales son obligatorios en el cumplimiento de la función de Auditoría de sistemas (en especial para el auditor que cuenta con la certificación internacional CISA); las guías o directrices, las cuales proporcionan asesoría y apoyo en la aplicación de los estándares de Auditoría de sistemas; y los Procedimientos, proporcionan ejemplos

de procedimientos que puede seguir un Auditor de Sistemas para cumplir con los estándares. Tabla 7. Fases de la Auditoría Continua de acuerdo a ISACA 1. Priorizar las áreas a cubrir y seleccionar un enfoque adecuado de Auditoría Continua la disponibilidad de personal clave del cliente. 2. Asegurar 3. Seleccionar la herramienta de análisis adecuada, estas podrían ser rutinas escritas en la empresa o software proporcionado por un proveedor. 4. Desarrollar rutinas de Auditoría Continua para evaluar controles e identificar las deficiencias. 5. Determinar la frecuencia de la aplicación de rutinas de Auditoría Continua. 6. Definir los requisitos de salida. 7. Desarrollar un proceso de reportes. 8. Establecer relaciones con la línea relevante y la gestión de TI. 9. Evaluar la integridad de los datos y preparar los datos. 10. Determinar las necesidades de recursos, es decir, el personal, el ambiente de procesamiento (instalaciones de la empresa de TI o instalaciones de la auditoría de TI). 11. Entender la medida en la cual la administración está llevando a cabo su función de supervisión (monitoreo continuo). Fuente: (ISACA, 2010)

El Instituto de Contadores Públicos de Australia (The Institute of Chartered Accountants in Australia) liberó en Julio de 2010, un documento titulado “Continuous Assurance for the Now Economy” cuyo objetivo, como lo plantea en su prólogo, es promover la discusión sobre el aseguramiento continuo como un concepto, y en donde no solo las profesiones de contador y auditor se encuentran involucrados, sino otras instancias tales como los organismos de normalización, los reguladores, los usuarios gubernamentales y demás stakeholders relacionados con este concepto. Figura 3. Fases de Auditoría Continua, de acuerdo al Instituto de Contadores Públicos de Australia.

Fuente: (Vasarhelyi et al., 2010, 59)

Por último, el Instituto de Auditores Internos de España, en Octubre de 2014 dio a conocer a través de su programa “La Fábrica del Pensamiento” un documento titulado “Guía para Implantar con éxito un modelo de Auditoría Continua” donde se presenta a la comunidad de auditores un esquema de implementación del modelo de Auditoría continua de acuerdo a la cultura de cada entidad.

Tabla 8. Fases de Auditoría Continua de acuerdo al Instituto de Auditores Internos de España.

1.1. 1.2. 1.3. 1.4. 1.5. 2.1. 2.2.

1. Arranque del Proyecto Definición de Objetivos Estrategia de desarrollo de indicadores Impactos en la organización Costes y Presupuesto Presentación del proyecto a la Dirección 2. Diseño de la plataforma Arquitectura Inicial Indicadores iniciales, parámetros y pesos

1. Arranque del Proyecto 2.3. Herramienta Comercial/Desarrollo Interno 3. Desarrollo 3.1. Atributos de la Información Recopilada 3.2. Desarrollo de la plataforma/ Adaptación herramienta comercial 3.3. Conexión con aplicaciones/repositorios 3.4. Conexión con otras herramientas 3.5. Gestión de incidencias 3.6. Pruebas 4. Despliegue 4.1. Implantaciòn 4.2. Comunicación a la Organización 4.3. Análisis tras el despliegue - Factores de éxito y fracaso. 5. Administración de la plataforma 6. Medición de la rentabilidad 7. Cambios en el Área de Auditoría Interna Fuente: (Instituto de Auditores Internos de España, 2014a)

4.1.

Armonización de los modelos de Auditoría Continua.

La Auditoría Continua se integra al proceso de auditoría en todos sus aspectos, desde el desarrollo y mantenimiento del plan de auditoría empresarial, hasta la realización y el seguimiento de auditorías específicas (Coderre, 2005), de allí que la armonización de las guías de Auditoría Continua propuestas por las organizaciones antes mencionadas, pretende establecer los elementos comunes alrededor de las fases generalmente aceptadas de auditoría, a fin de realizar una aproximación a un guía genérica que integre los elementos generalmente propuestos en cada uno de ellos y disminuya la complejidad para el área de auditoría de atender varios modelos al momento de emprender el proceso de implementación.

Para lograrlo, se llevará a cabo la siguiente metodología:

-

Definición del modelo base

-

Análisis de cada una de las actividades propuestas por las diferentes guías

-

Relación de cada actividad con el modelo base

-

Conteo número de veces en que se presenta la actividad en los modelos de referencia.

-

Estimación porcentual del número de veces en que se presenta la actividad, sobre el número de modelos objeto de análisis.

El resultado del cálculo porcentual, es lo que denominaremos índice de cohesión, cuyo significado determina la similitud metodológica que tienen en general todos los modelos, con el modelo base de referencia y que servirá de base para establecer la metodología de Auditoría Continua a proponer.

Estos valores utilizarán como base de interpretación, la escala de calificación planteada por (Pino, Baldassarre, Piattini, & Visaggio, 2010) dada la similitud del proceso y se complementará con su significado en función de la inclusión o no en el modelo de referencia y la asignación de colores a cada nivel para una visualización más amigable, como se puede apreciar en la tabla 8. Tabla 9. Niveles de valoración del índice de cohesión de los modelos. Nivel

Rango del índice

Nivel de

Decisión de

de cohesión

relacionamiento

inclusión como parte del modelo.

MUY ALTO

ALTO

PARCIAL

86-100%

51-85%

21-50%

Fuertemente

Incluir como parte

relacionado

del modelo.

Relacionado en gran Incluir como parte medida

del modelo.

Parcialmente

Incluir como parte

relacionado

del modelo.

DEBIL

SIN

1-20%

0%

Débilmente

No

Incluir

relacionado

parte del modelo.

No relacionado

No

Incluir

como

como

parte del modelo. Fuente: Elaboración propia.

Una vez confrontados los 4 modelos guía de Auditoría Continua, los resultados por son los siguientes: ETAPA

FASE 1.1.Definición de personal, recursos clave y gestión de 1.Definición de competencias del auditor Recursos y Análisis de Costos 1.2.Evaluación de costos y beneficios 2.1.Obtener el respaldo de la alta dirección 2.Relaciones con 2.2.Estado actual del monitoreo la Administración continuo 2.3.Desarrollar relaciones con la gestión de TI 3.Plan Anual de Auditoría 3.1.Establecer áreas prioritarias 4.1.Comprender los procesos de negocio 4.2.Definición de Objetivos y alcance de Auditoría Continua 4.3.Identificar Riesgos e Indicadores de Riesgo 4.4.Identificar Controles e Indicadores de Control 4.5.Identificar y Comprender 4.Planeación Sistemas de Información clave Detallada 4.6.Conocer y comprender las fuentes de datos 4.7.Conexión con aplicaciones/repositorios 4.8.Depurar y preparar los datos 4.9.Desarrollar rutinas de auditoría para evaluar controles e identificar ocurrencia de riesgos

Índice de cohesión

Nivel de relación Parcial

50% Parcial 50% Alto 75% Parcial 50% Parcial 50% Alto 75% Parcial 50% Alto 75% Alto 75% Parcial 50% Parcial 50% Parcial 50% Parcial 25% 50%

50%

Parcial Parcial

4.10.Determinar la frecuencias de los procesos 4.11.Seleccionar y adquirir herramientas de análisis 5.1.Configurar los parámetros de aseguramiento continuo 5.Ejecución 5.2.Ejecutar pruebas de manera regular y oportuno para identificar excepciones 6.1.Supervisar permanentemente los Resultados de Auditoría 6.Comunicación Continua (Identificar desviaciones de Resultados o deficiencias de control) 6.3.Informar a la Dirección 7.1.Seguimiento a la implementación de las acciones recomendadas 7.Seguimiento 7.2. Garantizar la continuidad del proceso de Auditoría Continua. Índice promedio de cohesión

Alto 75% Alto 75% Parcial 25% Parcial 50% Alto

75% 100%

Muy Alto Parcial

50% Parcial 50% 58%

Alto

En resumen, el índice promedio de cohesión de las diferentes etapas y fases de los 4 modelos de auditoría analizados es de un 58%, lo que representa un nivel de cohesión alto, de acuerdo a los parámetros establecidos para tal fin, lo que permite establecer un modelo aplicable a cualquier organización, respaldado por las guías de las principales organizaciones que agrupan profesionales de auditoría y contaduría a nivel internacional.

4.2.

Aspectos relevantes a tener en cuenta en algunas fases del modelo de Auditoría Continua integrado.

Si bien el objetivo del presente ensayo, no es presentar en detalle cada una de las etapas y fases del modelo de Auditoría Continua integrado resultante, sino

demostrar el valor que puede llegar a agregar la Auditoría Continua para la función de auditoría en su búsqueda de competitividad y pertinencia, y para la organización en general, es necesario para el propósito del ensayo resaltar y explicar algunos aspectos que a juicio del autor son importantes tener en cuenta al momento de llevar a la práctica este modelo. Entre ellos se encuentran los siguientes:

4.2.1. Recursos clave para la Auditoría Continua

La norma 2030 Administración de recursos del IIA establece que el director ejecutivo de auditoría debe asegurar que los recursos de auditoría son apropiados, suficientes y eficazmente asignados para cumplir con los planes de auditoría, lo que incluye una mezcla adecuada de conocimientos, aptitudes y otras competencias requeridas.

Es necesario, que el área de auditoría, además de los recursos

tradicionales con que cuenta para desarrollar su labor y de acuerdo a su nivel de madurez y a su disponibilidad de recursos financieros, incorpore plataformas y herramientas tecnológicas especializadas que faciliten la labor de Auditoría Continua, en especial herramientas de software, que pueden ir

desde

complementos de las herramientas ofimáticas tradicionales tales como Power pivot pasando por software especializado en análisis de datos (ej. ACL, IDEA….) que si bien no cumple la labor específica de Auditoría Continua, puede ser el inicio del proceso; hasta llegar a las herramientas especializadas en Auditoría Continua (ej. Caseware monitor, ACL Auditexchange…), siendo estas últimas las más costosas del mercado. 4.2.2. Competencias del auditor para afrontar los retos de la Auditoría Continua

Los auditores requieren contar con las competencias necesarias para desarrollar la Auditoría Continua en la organización, lo que implica además de claridad conceptual y metodológica en el tema, requiere contar con competencias tecnológicas para desarrollar el proceso.

De acuerdo con el IIA (2005a), el Comité Internacional de Tecnología Avanzada del IIA, ha identificado tres categorías de conocimiento de TIC para los auditores internos: Categoría 1: Todos los Auditores: Es el conocimiento de TIC necesario para todos los auditores profesionales, desde las nuevas incorporaciones hasta el director de auditoría interna. El conocimiento de TIC abarca entender conceptos, como las diferencias en el software usado en aplicaciones, sistemas operativos y software de sistemas y redes. Esto implica entender los componentes básicos de seguridad de TI y de control, tales como seguridad perimetral, detección de intrusos, autenticación y controles de los sistemas de aplicación. El conocimiento básico incluye entender cómo los controles de negocio y los objetivos de aseguramiento pueden verse afectados por vulnerabilidades en las operaciones de negocio y lo relacionado con los sistemas de soporte y los componentes de redes y datos.

Es fundamental asegurar que los auditores tienen suficiente conocimiento para centrarse en el entendimiento de los riesgos de TI, sin necesariamente tener conocimientos técnicos significativos.

Categoría 2: Supervisores de Auditoría: Se aplica al nivel de supervisión de auditoría. Además de tener el conocimiento básico en TIC, los supervisores de auditoría deben entender los aspectos y elementos de TIC, de forma suficiente para considerarlos en las tareas de auditoría de planificación, pruebas, análisis, informe y seguimiento y en la asignación de las habilidades de los auditores a los proyectos de auditoría. Esencialmente, el supervisor de auditoría debe: 

Entender

las

amenazas

y vulnerabilidades

asociadas

a

procesos

automatizados de negocio. 

Entender los controles de negocio y la mitigación del riesgo que debe ser proporcionada por la TIC.



Planificar y supervisar las tareas de auditoría para considerar las vulnerabilidades y los controles relacionados con la TIC, así como la eficacia de la TI en la provisión de controles para las aplicaciones y entornos de negocio.



Asegurar que el equipo de auditoría tiene competencia suficiente, incluidas las habilidades en TIC, para las tareas de auditoría.



Asegurar el uso eficaz de las herramientas de TIC en los trabajos de auditoría y en las pruebas.



Aprobar los planes y las técnicas para probar los controles y la información.



Evaluar los resultados de las pruebas de auditoría para evidenciar las vulnerabilidades o debilidades de control de la TIC.



Analizar los síntomas detectados y relacionarlos con las causas que pueden tener su origen en el negocio o en la misma TIC, como planificación,

ejecución, operaciones, gestión de cambios, autenticación, u otras áreas de riesgo. 

Proporcionar recomendaciones de auditoría basadas en los objetivos del aseguramiento del negocio, centrándose en los orígenes de los problemas observados, más que en divulgar simplemente los problemas o los errores detectados.

Categoría 3: Especialistas en Auditoría Técnica de TIC: Esta categoría aplica al especialista en auditoría de sistemas. Aunque los auditores de TIC pueden funcionar a nivel de supervisión, deben entender la tecnología subyacente que respalda a los componentes del negocio y estar familiarizados con las amenazas y vulnerabilidades asociadas a las tecnologías. Los auditores de TI también pueden especializarse en ciertas áreas de la tecnología.

Son los auditores los que pueden impulsar la Auditoría Continua en la organización y ello depende en gran medida de las competencias que en el ámbito tecnológico posean cada uno de los integrantes del equipo de auditoría.

4.2.3. Los beneficios de la Auditoría Continua La relación costo beneficio, siempre presente en las diferentes actividades de gestión de una organización, no es ajena a la Auditoría Continua, y si bien los costos de formación y actualización del personal de auditoría, sumados a los costos

tecnológicos pueden llegar a ser representativos, los beneficios obtenidos serán muy superiores en el mediano y largo plazo.

Los beneficios de la Auditoría Continua, como complemento de la labor tradicional de auditoría son múltiples, y muchos de ellos ya se han mencionado a lo largo del documento, sin embargo a efectos de compilar algunos de los más significativos se enuncian a continuación los siguientes:

Tabla 10. Cinco (5) formas de agregar valor de la Auditoría Continua 1. La ubicuidad del auditor El tiempo y espacio son dos variables que condicionan la función de auditoría. En este sentido la Auditoría Continua, una vez consolidada, permite que las tareas de auditoría se logren realizar en menor tiempo, obteniendo una mayor cobertura y una menor repitencia del proceso auditor, por el mayor nivel de efectividad en la identificación de riesgos y en la detección del incumplimiento de controles. De igual forma, el poder hacer presencia de forma simultánea en diferentes partes de la organización, sin necesidad de la presencia física del auditor, hace de la Auditoría Continua una potente herramienta de expansión de la función de aseguramiento. 2. Incremento de la efectividad del control La esencia del proceso auditor es evaluar la efectividad de los controles internos, y aunque esta labor se está cumpliendo, de acuerdo a lo establecido por PWC (2014) donde establece que el 80% de los directivos consideran que esta labor

se está cumpliendo, es menos cierto el tiempo en el cual perdura la efectividad del control, la cual se atenúa con el tiempo, sufriendo altibajos de acuerdo a la periodicidad de su revisión y a la tipología de control, como se puede observar en la Figura 3. La Auditoría Continua incrementa la efectividad de los controles, dada la tipología del control su frecuencia de revisión y la garantía que proporciona un control automático que no depende de una persona en particular.

Figura 1. Jerarquía de Controles. Desde la detección manual hasta la prevención automatizada

Fuente: Traducido de (Klein Tank, 2011) 3. Un auditor más analítico El auditor debe dejar de ser un profesional que dedica una gran parte de su tiempo a labores operativas, enfocadas en la búsqueda de evidencia que permita respaldar sus hallazgos de auditoría a ser un profesional más analítico que sea el

constructor de un control con mayor perdurabilidad, haciendo uso de su experiencia y delegando muchas de sus labores operativas a la Tecnología. Para ello debe mejorar sus competencias, incorporando no solo adecuados esquemas de identificación de riesgos en la estrategia de auditoría orientada a riesgos, sino en tener capacidades para el análisis de datos, lo que es corroborado por la encuesta de PWC (2014) donde establece como una de las áreas en las que se espera mayor participación por parte de los Auditores internos en “Big data y análisis de datos empresariales” con un 71.5% en promedio .

Un estudio reciente llevado a cabo por Lombardi, Bloch, & Vasarhelyi (2014), producto del consenso entre expertos, utilizando el método Delphi, en un periodo de seis (6) meses, concluye entre otros aspectos, “La automatización puede ser utilizada para tareas más tediosas, de manera que los auditores puedan usar su juicio experto para asuntos más apremiantes”(p. 29). 4. Disminución de la latencia entre los procesos organizacionales y los procesos de control La Auditoría continua disminuye la latencia existente entre el momento en que ocurre un evento adverso en la organización y el momento en que es detectado por el auditor. 5. Incremento del autocontrol Para explicar la forma como la Auditoría Continua aporta al autocontrol, se acudirá a una teoría desarrollada por el filósofo Jeremy Bentham, quien en 1791 acuño el término Panóptico, pensado inicialmente para reducir el costo de operación de las

cárceles británicas. El propósito de dicha teoría era la observación de los presos de una cárcel que superaban en número a los vigilantes de ésta, desde un punto único sin que estos se dieran cuenta. Una analogía interesante para explicar el autocontrol, si se tiene en cuenta que la implementación de la Auditoría Continua, provee un efecto panóptico sobre el control, al poder observar desde un punto único (la tecnología de Auditoría Continua) las acciones que desarrolla la administración, sin que estos se den cuenta. Sin embargo si se divulga la existencia de controles embebidos que están monitoreando constante los procesos organizacionales, seguramente aquellas personas que deseen cometer un fraude o incumplir reglas de control se inhibirán y ejercerán el autocontrol.

Como ejemplo de aplicación de este concepto, se puede acudir a los comparendos electrónicos, a través de los cuales los organismos de transito instalan cámaras en sitios estratégicos de la ciudad para detectar en línea y de forma electrónica aquellos infractores de tránsito, quienes al momento de conocer la ubicación de las cámaras en los diferentes puntos de la ciudad, se inhiben de cometer la infracción, por el comparendo que ello genera, creando conciencia e incrementando el autocontrol en los conductores.

4.2.4. Plan Anual de Auditoría continua

El plan anual de Auditoría Continua hace parte del plan anual de auditoría que debe elaborar la función de auditoría interna, y no es que sea otro plan independiente, es

parte del plan, tal como lo promulga el numeral 5 del consejo para la práctica 23204 sobre aseguramiento continuo del IIA, donde establece: ”el plan anual de auditoría debe identificar áreas potencialmente sujetas a Auditoría Continua”(IIA, 2013,1).

Un aspecto importante a considerar en esta fase es tratar de iniciar con un proyecto de Auditoría Continua, cuyos procesos hubieren sido auditados de forma tradicional previamente, y que hayan sufrido alguna transformación, debido a su automatización o informatización, dado el conocimiento que ya se tiene del proceso, de sus riesgos y de sus controles.

Para cumplir con este propósito se requiere establecer los criterios de Auditoría Continua para ser parte del plan, y si bien esto es propio de cada organización, se recomienda tener en cuenta las siguientes variables, además de las que son propias del plan anual de auditoría : nivel de automatización del proceso sujeto de control, nivel de importancia del proceso, nivel de importancia del riesgo, experiencia previa en la auditoría del proceso (como una alternativa evolutiva de los procesos actuales).

4.2.5. Identificación de los riesgos, controles y sus respectivos KRI y KCI

Siendo coherentes con el actual enfoque de auditoría, y dado que ya es una práctica generalizada por parte de la comunidad de auditores, se toma como base el enfoque RBA (Risk Based Approach), ello lleva a identificar los riesgos relacionados y la identificación a partir de ellos de los KRI (Key Risk Indicators) o indicadores claves

de riesgo, definido de forma general por el comité de organizaciones patrocinadoras de la comisión Treadway (COSO) a través de (Beasley, Branson, Hancock, & Landes, 2010) como métricas usadas por las organizaciones para proveer una señal temprana de incremento de la exposición al riesgo en varias áreas de la empresa; y definidos desde una perspectiva financiera por (Delfiner & Pailhé, 2008) como variables de carácter financiero u operacional que ofrecen una base razonable para estimar la probabilidad y severidad de uno o más eventos de riesgo operacional.

Los KRI tienen una cualidad muy específica que ningún otro programa de riesgo operacional ofrece y es información sobre la exposición al riesgo en “tiempo real”, similar a la forma en que el combustible, la presión de aceite, los indicadores de temperatura del motor y el velocímetro de un coche proporcionan información vital acerca de la seguridad en un viaje por carretera, y los KRI son el único mecanismo de gestión para obtener información en tiempo real, necesaria para realizar los ajustes cuando se requieran. Esto es esencial para el logro de los objetivos de negocio y la seguridad de la organización (KRIEX, 2015). Lo anterior conlleva a que los KRI deben estar asociados a datos que son gestionados por sistemas de información.

Uno de los sectores que más ha desarrollado este tema es la industria bancaria, quienes a través una iniciativa denominada “KRI Library and Services” reúne información referida a KRI de las entidades participantes, y cuyo marco de referencia y KRI’s puede ser consultada en http://www.kriex.org/.

En general existen dos tipos de KRI, predictivos y detectivos, los primeros están basados en información histórica y modelos de regresión y correlación que pueden generar tendencias a través del cual se generarán las alarmas respectivas, de acuerdo a los umbrales definidos. Los KRI detectivos son más puntuales y están basados en el aspecto puntual que genera la alarma bajo el umbral definido.

Con respecto a los controles, es importante tener en cuenta que el control es una variable dependiente del riesgo, es decir, la razón de ser de los controles es aportar en la mitigación del riesgo, por lo tanto se deben identificar los controles, con base en los riesgos y a partir de los controles identificar los KCI (Key Control Indicators) definidos como indicadores que miden el posible incumplimiento de un control, de forma tal que el deterioro de una KCI puede indicar un incremento en la probabilidad o impacto de un riesgo.

4.2.6. Diseño y desarrollo de rutinas de auditoría para evaluar controles e identificar ocurrencia de riesgos.

Para el diseño de las rutinas de auditoría que se implementaran sobre el sistema objeto de análisis, existen dos métodos tradicionalmente usados en los diferentes modelos de Auditoría Continua: el primero denominado Módulos embebidos de auditoría (EAM por sus siglas en inglés, de Embedded Audit Modules) y el segundo como una capa de monitoreo y control externa denominada (MCL por sus siglas en inglés, de Monitoring and Control Layer).

El método de módulos embebidos de auditoría (EAM), consiste en insertar código de control en el sistema de información que soporta el proceso de negocio que es objeto de auditoría, el cual se puede albergar como parte del código del sistema de información o en la capa de base de datos en el cual se soporta el sistema de información.

La Capa de Monitoreo y Control es una solución de software independiente, no integrada con el sistema de información, para lo cual se usa middleware para extraer datos y realizar análisis, frente a unas reglas previamente definidas (Best, Rikhardsson, & Toleman, 2009), este enfoque surgió como una alternativa a EAM, propuesto por una gran cantidad de modelos. Este tipo de técnica, es un módulo de software que opera de forma independiente al sistema objeto de monitoreo.

La selección de uno u otro método depende del nivel de acceso que podemos tener al sistema de información, de la disponibilidad del código fuente y del tipo de equipo auditor con que se cuenta. Sin embargo, el método más utilizado actualmente por la arquitectura con la cual se construyen los sistemas de información y por las complejidades de diversa índole, que conlleva acceder al código fuente de una aplicación, en cualquier organización, es el MCL.

5. Conclusiones

El ensayo pone de manifiesto los planteamientos realizados por diferentes estudios acerca de los retos y expectativas que generan las Tecnologías de Información y Comunicaciones para agregar valor a la función de auditoría. En contraste se realiza una breve retrospectiva de las normas y las posiciones académicas acerca de cómo las TIC han venido siendo incorporadas en la función de auditoría, para finalmente y una vez establecidas las bases de lo que es considerado por algunos autores como el nuevo paradigma de auditoría, proponer un modelo de Auditoría Continua que integre las 4 guías de auditoría continua propuestas por el IIA global, ISACA, el Instituto de Contadores públicos de Australia y el Instituto de Auditores Internos de España, con el fin de presentar un modelo guía unificado que facilite la labor de las áreas de auditoría, ante la proliferación de modelos, y pueda agregar el valor esperado y la integración entre la auditoría continua y el monitoreo continuo, con el efecto panóptico esperado.

A partir de esta integración de conceptos se puede concluir lo siguiente:

1. La sociedad moderna impone constantemente la necesidad de cambios, cambios innovadores que agreguen valor y que se ajusten a las realidades que impone el medio a las organizaciones, y la Auditoría Continua es uno de esos cambios necesarios y requeridos que adecuadamente implementados y de manera progresiva, llevarán a la función de auditoría a agregar valor y alinearse con los retos tecnológicos que afrontan las organizaciones.

2. El futuro de la auditoría depende en gran medida del aprovechamiento del poder de la tecnología, y el concepto de Auditoría Continua explota al máximo las posibilidades que proporciona la tecnología, sin embargo, se debe concebir como una forma alterna y a la vez complementaria de la auditoría tradicional, concebida no simplemente como una serie de técnicas modernas basadas

en

tecnología,

sino

como

un

concepto

que

potencia

tecnológicamente todas las fases de auditoría. 3. La auditoría continua debe ser concebida como un modelo complementario y no sustituto de la auditoría tradicional, por lo que puede ser incorporado como parte del Plan Anual de Auditoría que desarrolla cualquier organización. 4. Existe un alto nivel de integración entre las cuatro (4) guías de auditoría continua propuestas por las entidades que sumados sus miembros representan la mayor cantidad de profesionales de auditoría en el mundo, y como tal la guía final puede ser aplicada, con la garantía que integra las mejores prácticas de Auditoría Continua. 5. La búsqueda del autocontrol puede avanzar a partir del efecto panóptico esperado que representa la implementación de la Auditoría Continua y su integración al monitoreo continuo.

BIBLIOGRAFIA.

ACL. (2005). Auditoría permanente: Implicancias para el aseguramiento, el monitoreo y la evaluación de riesgos. Baksa, R., & Turoff, M. (2010). The Current State of Continuous Auditing and Emergency Management ’ s Valuable Contribution. In 7th International ISCRAM Conference (pp. 1–10). Beasley, M. S., Branson, B. C., Hancock, B. V, & Landes, C. (2010). Developing Key Risk Indicators To Strengthen Enterprise Risk Management. Risk Management. COSO. Retrieved from http://www.coso.org/documents/COSOKRIPaperFullFINALforWebPostingDec110.pdf Best, P. J., Rikhardsson, P., & Toleman, M. (2009). Continuous Fraud Detection in Enterprise Systems through Audit Trail Analysis. Journal of Digital Forensics, Security and Law, 4(1), 39–61. Blundell, A. (2007, July). Continuous auditing technologies and models. Computers & Security. NELSON MANDELA METROPOLITAN UNIVERSITY. Retrieved from http://linkinghub.elsevier.com/retrieve/pii/S0167404806000964 Braun, R. L., & Davis, H. E. (2003). Computer-assisted audit tools and techniques: analysis and perspectives. Managerial Auditing Journal, 18(9), 725–731. doi:10.1108/02686900310500488 Cerullo, M. V., & Cerullo, M. J. (2003). Impact of SAS No. 94 on Computer Audit Techniques. Information Systems Control Journal, 1(94). Chan, D. Y., & Vasarhelyi, M. A. (2011). Innovation and practice of continuous auditing. International Journal of Accounting Information Systems, 12(2), 152– 160. doi:10.1016/j.accinf.2011.01.001 Delfiner, M., & Pailhé, C. (2008). Técnicas cualitativas para la gestión del riesgo operacional. González Tallón, J. M. (2011). ¿ Puede la auditoría realizarse al mismo tiempo que la gestión auditada y seguir siendo auditoría ? Auditoría Pública, 54, 33 – 42. Retrieved from http://www.auditoriapublica.com/hemeroteca/Pag 33-42 no 54.pdf Heffes, E. (2006). Theory to practice; continuous auditing gains. Financial Executive, 17–18. Retrieved from http://scholar.google.com/scholar?hl=en&btnG=Search&q=intitle:Theory+to+P ractice:Continuous+Auditing+Gains#0

IIA. (2005a). GTAG 1. Controles de Tecnología de la Información (No. 1a Edición). Altamonte Springs (Florida). IIA. (2005b). Guide 3: Continuous Auditing: Implications for Assurance, Monitoring, and Risk Assessment. The Institute of Internal Auditors. IIA. (2013). Practice Advisory 2320-4 : Continuous Assurance. Retrieved from https://na.theiia.org/standards-guidance/Member Documents/PA_2320-4.pdf Instituto de Auditores Internos de España. (2014a). Guía para implantar con éxito un modelo de Auditoría Continua. Instituto de Auditores Internos de España. (2014b). Retos y Expectativas de Futuro para la Auditoría Interna de las Entidades de Crédito Retos y Expectativas de Futuro para la Auditoría Interna de las Entidades de Crédito. ISACA. (2010). IS Auditing Guideline: G42 Continuous Assurance. ISACA. Retrieved from http://www.isaca.org/KnowledgeCenter/Standards/Documents/G42-Continuous-Assurance-18Feb10.pdf Klein Tank, K. (2011). Continuous Auditing & Continuous Monitoring in a Broader Perspective The Performance Management Potential of CA & CM. Risk Management. University of Twente. Kogan, A., Alles, M. G., & Vasarhelyi, M. A. (2010). Analytical Procedures for Continuous Data Level Auditing : Continuity Equations. Accounting and Finance. KPMG. (2013). Encuesta Global a directores miembros de Comités de Auditoría. Retrieved from www.kpmg.com/aci KPMG, & Instituto de Auditores Internos de España. (2015). Visión 2020. Desafìos de Auditorìa Interna en el horizonte 2020. KRIEX. (2015). Setting Up a Key Risk Indicator Program. Retrieved from http://www.kriex.org/Public.KRIServices.aspx Loh, S. (2002). Using Continuous Assurance to Detect Fraud in e-commerce Transactions. Design. The University of New South Wales. Lombardi, D., Bloch, R., & Vasarhelyi, M. A. (2014). The future of Audit. Journal of Information Systems and Technology Management, 11(1), 21–32. Louwers, T. J., Ramsay, R. J., Sinason, D. H., Strawser, J. R., & Thibodeau, J. (2011). Auditing & Assurance Services (4th ed.). New York: McGraw-Hill.

Millage, A. (2014). La Auditoría Interna en el 2015. Nota del Editor. Internal Auditor, LXXI(VI). Murcia, F. D. (2008). Continuous Auditing : A Literature Review Auditoria Contínua : uma revisão da literatura. Organizações Em Contexto, 4(7), 1–17. Pinilla Forero, J. D. (1997). Auditoría de Sistemas en funcionamiento (1a ed., p. 278). Santafé de Bogota: ROESGA. Pino, F. J., Baldassarre, M. T., Piattini, M., & Visaggio, G. (2010). Harmonizing maturity levels from CMMI-DEV and ISO/IEC 15504. Journal of Software Maintenance and Evolution: Research and Practice., (22), 279–296. doi:10.1002/spip Protiviti. (2014). Assessing the Top Priorities for Internal Audit Functions. PWC. (2014). Estudio sobre el estado de la profesiòn de Auditorìa Interna de 2014. Searcy, D., Woodroof, J., & Behn, B. (2003). Continuous audit: the motivations, benefits, problems, and challenges identified by partners of a Big 4 accounting firm. In 36th Annual Hawaii International Conference on System Sciences (Vol. 00, pp. 1–10). Ieee. doi:10.1109/HICSS.2003.1174565 Senft, S., & Gallegos, F. (2009). Information Technology Control and Audit (3a ed., p. 767). Taylor & Francis Group LLC. Smieliauskas, W., & Bewley, K. (2010). APPENDIX 9A : U NDERSTANDING I NFORMATION S YSTEMS AND INTERNAL CONTROL , INFORMATION SYSTEMS , AND THE AUDIT PLAN. In Auditing: An International Approach (5th ed., pp. 1–28). Retrieved from http://highered.mcgrawhill.com/sites/dl/free/0070968292/815271/smi68292_app9A.pdf Texeira, C. R. (2009). A Importância atribuída pelos Empresários da da Rocha Alves da Silva Grande Lisboa ao Controlo Interno. Thomson Reuters. (2014). State of Internal Audit Survey 2014 – Adapting to Complex Challenges? Thornton, G. (2011). Looking to the future : Perspectives and trends from internal audit leaders. Risk Management (p. 20). Valencia Duque, F. J. (2012). La Auditorìa Continua, gènesis, evoluciòn, estado actual y aplicaciòn en el sector pùblico Colombiano. In Congreso Latinoamericano de Auditoría Interna 2012. Asunciòn (Paraguay): Federaciòn Latinoamericana de Auditorìa Interna.

Vasarhelyi, M. A. (1984). Automation and changes in audit process. Auditing: A Journal of Practice & Theory, 4(1). Vasarhelyi, M. A., Alles, M. G., & Williams, K. (2010). Continuous Assurance for the Now Economy (First Edit.). Sidney (Australia): The Institute of Chartered Accountants in Australia.

*Curriculum Vitae Francisco Javier Valencia Duque c.c. 10’280.374 [email protected]

Certificaciones Internacionales Certified Information Systems Auditor (CISA) Certified in Risk and Information Systems Control (CRISC) COBIT Foundations Datos académicos Magister en Administraciòn de Tecnologìas de Informaciòn Instituto Tecnològico de Estudios Superiores de Monterrey. 2008 Especialista en Diseño de Sistemas de Auditorìa Universidad Nacional de Colombia. 1998 Ingeniero de Sistemas Universidad Antonio Nariño. 2004. Tarjeta Profesional 17255136083 Administrador de Empresas Universidad Nacional de Colombia. 1994. Tarjeta Profesional 18761 Datos Profesionales Docente/Investigador Universidad Nacional de Colombia (sede Manizales) 2010- a la fecha Director del programa de Especialización en Auditoría de Sistemas Universidad Nacional de Colombia 2010- a la fecha Auditor de Sistemas de Información/Experto en gestión de riesgos Independiente. 2008-2010

Coordinador de Auditoría y Verificación UNE EMTELSA S.A. E.S.P. 1999-2008