La Comisión de Auditoría desempeña un papel fundamental a la hora de supervisar los procesos de control interno de una organización. Pero ¿cuáles son las cuestiones clave para una supervisión eficaz?
En el desempaño de su función, la Comisión de Auditoría debe ir más allá de verificar que los controles existen. Su reto es determinar si siguen siendo eficaces frente a riesgos cada vez más dinámicos, tecnológicos y complejos.
La supervisión de los sistemas de control interno es una de las principales responsabilidades de la Comisión de Auditoría. Sin embargo, el contexto empresarial actual plantea nuevas exigencias. La irrupción de la inteligencia artificial, el incremento de las amenazas cibernéticas, la creciente complejidad regulatoria, la resiliencia operativa o los riesgos geopolíticos están transformando el entorno de riesgos de las organizaciones y obligan a revisar cómo se evalúa la eficacia de los controles.
La función de las comisiones más eficaces consiste en proporcionar al Consejo una visión independiente sobre si la organización está gestionando adecuadamente sus riesgos y si dispone de controles capaces de responder a los desafíos actuales y futuros.
“La Comisión de Auditoría es el puente entre el Consejo y el sistema de control interno: no solo supervisa que los controles existan, sino que sean eficaces frente a los riesgos reales del negocio”, afirma Yolanda Pérez, socia del área de Gobierno, Riesgo y Cumplimiento (GRC) de KPMG en España.
La dirección es responsable de diseñar y mantener un sistema de control interno efectivo, mientras que la Comisión de Auditoría debe supervisar su funcionamiento y revisar periódicamente su adecuación.
Un control efectivo debe contribuir a la consecución de los objetivos de la organización, garantizar la fiabilidad de la información financiera y no financiera, facilitar el cumplimiento normativo y mantener los riesgos dentro de los niveles de tolerancia establecidos por el Consejo.
Tradicionalmente, la evaluación del control interno se ha centrado en verificar que los controles estaban correctamente diseñados y se ejecutaban según lo previsto. Hoy la cuestión fundamental es otra: ¿siguen siendo esos controles adecuados para los riesgos a los que se enfrenta la organización?
La evaluación debe analizar la ejecución de los controles y también su efectividad real. Esto implica verificar si permiten prevenir, detectar y responder a los riesgos para los que fueron concebidos y si se adaptan a la evolución del entorno. En palabras de Yolanda Pérez, «la eficacia de un sistema de control no se mide por el número de controles implantados, sino por su capacidad para prevenir, detectar y responder a los riesgos más relevantes».
Para ello, resulta necesario combinar actividades de monitorización continua con evaluaciones independientes realizadas por auditoría interna u otras funciones de aseguramiento. Además, los procesos de supervisión deben integrarse en la actividad habitual de la organización y evolucionar al mismo ritmo que los riesgos.
Una de las cuestiones que la Comisión de Auditoría debe plantearse es si la organización está preparada para identificar riesgos que hace apenas unos años no figuraban entre sus principales preocupaciones.
La digitalización, la sostenibilidad, la resiliencia operativa o la incertidumbre geopolítica han adquirido una relevancia creciente y exigen una revisión constante de los sistemas de control. Las organizaciones más avanzadas están evolucionando desde modelos basados en revisiones periódicas hacia esquemas de monitorización continua que permiten actualizar el mapa de riesgos con mayor frecuencia y capacidad de respuesta.
“Los riesgos evolucionan más rápido que los ciclos tradicionales de control; por eso la capacidad de anticipación se ha convertido en un factor diferencial”, explica Yolanda Pérez.
La transformación digital ha ampliado el alcance del control interno. Aunque muchas organizaciones han reforzado sus controles tecnológicos, la aparición constante de nuevas amenazas obliga a revisarlos de forma permanente.
Además de supervisar los aspectos relacionados con la ciberseguridad, las organizaciones deben evaluar la resiliencia de sus procesos críticos, la fiabilidad de los sistemas automatizados y la adecuada gobernanza de las soluciones basadas en inteligencia artificial. El objetivo es proteger la organización frente a incidentes y asegurar su capacidad para operar y recuperarse ante situaciones adversas.
“En un entorno digital, el control interno y la resiliencia tecnológica son dos caras de la misma moneda”, añade Yolanda Pérez.
La calidad de la información que recibe la Comisión de Auditoría es un factor determinante para ejercer una supervisión eficaz. Normalmente, gran parte de los informes han estado orientados a explicar incidencias ya producidas o debilidades detectadas. Sin embargo, las mejores prácticas demandan una aproximación más predictiva.
Indicadores tempranos, mapas dinámicos de riesgos, análisis de tendencias y alertas sobre factores emergentes permiten a la Comisión identificar posibles problemas antes de que se materialicen y adoptar un enfoque más estratégico y preventivo.
“Una Comisión de Auditoría excelente no se limita a analizar incidencias; detecta señales tempranas que le permiten anticipar riesgos y orientar la toma de decisiones”, destaca la socia del área de Gobierno, Riesgo y Cumplimiento (GRC) de KPMG en España.
Estos podrían ser algunos indicios de que el control interno no está funcionando según lo previsto y deberían actuar como señales de alerta:
En la supervisión de los procesos de control interno, la Comisión de Auditoría debería plantearse, entre otras, las siguientes cuestiones:
La capacidad para responder a estas preguntas determinará en buena medida la fortaleza del sistema de control interno y la contribución de la Comisión de Auditoría a la resiliencia y sostenibilidad de la organización.
Deja un comentario