La debacle de ENRON II Estructura de la Auditoría Interna

Transcripción

1 Publicaciones presenta: Canaudit Perspective ENRON IIII Estructura de lla Audiitoríía IInterna La debacle de ENRON II Estructura de la Auditoría Interna (Traducido al Castellano por: SAFE Consulting Group, ) por Gordon Smith, Presidente, Canaudit Inc. La reacción a mi artículo sobre ENRON en el número de Canaudit Perspective fue increíble (por favor descargue su ejemplar de este mismo sitio si no lo ha recibido). He recibido mas de 800 mails, muchos de los cuales planteaban temas similares. Muchos de los que respondieron querian conocer la major estructura de reporte para un Departamento de Auditoria Interna. Algunos querían conocer la mejor forma para formar el departamento de Auditoria Interna, mientras que otros estaban preocupados porque habían tercerizado la función de Auditoría de TI y querían conocer la mejor manera de traerla de nuevo a casa. Unos pocos (muy pocos) dijeron que las palabras eran baratas, y que iba a ser yo, Gordon Smith, quien iniciara el rejuvenecimiento de la Auditoria Interna. Comence a responder a cada uno de ellos usualmente dentro de las 24 horas. Luego comence a organizar y sumarizar los comentarios para que identificar los aspectos de mayor preocupación. Al final de este artículo vera que voy a poner algunos fondos de mi bolsillo en línea para lanzar el Siglo del Auditor Interno. Muchos de los que respondieron me pidieron que escriba mas artículos sobre temas similares. Dado que tratamos de escuchar a nuestros clientes, dedicaremos cada año muchos números del Canaudit Perspective a estos o a otros temas similares. Adicionalmente prepararemos una o dos ediciones especiales al año sobre aquellos temas calientes que requieren difusión inmediata a la comunidad de auditoría. Para empezar ya hemos dicho suficiente para el preámbulo, ahora vamos a los temas!

2 Estructura de Reporte La mayor parte de los que respondieron indicaron que el Departamento de Auditoría reportaba al CFO (Chief Financial Officer - Director de Finanzas) y estaban preocupados por su independencia. En general reportar al CFO es una falta de independencia, particularmente si el departamento de auditoria interna se enfoca en la auditoria de los sistemas financieros. Dicho esto, veamos las áreas principales en el universo de auditoría de manera que podamos determinar si reportar al CFO puede causar un conflicto de intereses. Por favor observe con cuidado mientras recorremos el universo de auditoría. Una vez que lo examinemos, entonces veremos mas clara la estructura de reporte sugerida. Al menos 20 por ciento de los departamentos de esfuerzos de los departamentos de auditoría interna deberían estar dirigidos a la Tecnología Informática. Estas auditorías deberían incluir pero no limitarse a, desarrollo de sistemas, operaciones, sistemas operativos, redes, bases de datos, mesas de ayuda y call centers, sistemas de telefonía (PABX, etc), continuidad de negocios y preparación ante desastres. Los reportes de auditoría normalmente deben dirigirse al CIO (Chieff Information Officer Director de Sistemas de Información) o a alguno de los gerentes claves del CIO. Otro 20 por ciento del tiempo de auditoría debería dedicarse a auditorías operativas, que nosotros llamamos auditorías para la rentabilidad (auditing for profit). Estas auditorías incluyen compras, distribución, logística de entradas y salidas, manufacturas, soporte y servicio al cliente, investigación y desarrollo de productos, operaciones, instalaciones y seguridad de ejecutivos, viajes, eventos y gastos de esparcimiento, y procesamiento de ítems (o transacciones), para nombrar algunos ejemplos. Los reportes de auditoría deberían dirigirse normalmente a la gerancia de operaciones, el Chief Technology Officer (CTO Director de Tecnología), el Vicepresidente de manufactura o el Chief Operating Officer (COO Director de Operaciones). Otro 20 por ciento del presupuesto de auditoría interna debería enfocarse a operaciones de negocios. Estas auditorías incluyen a las aplicaciones financieras, tales como pagos, ventas y cuentas a cobrar, nómina, protección de activos, cash management, tesorería y otras actividades financieras. Estos reportes de auditoría deberían dirigirse al CFO (Director de Finanzas) y como tal, podrían resultar en una pérdida de independencia. Otro 10 por ciento de las auditorías debería dirigirse a los servicios corporativos. Estos incluyen, recursos humanos, servicios legales, fusiones y adquisiciones (incluyendo due diligence), inversiones, relaciones con accionistas, relaciones públicas, publicidad y aspectos regulatorios. Los reportes de auditoría deberían dirigirse normalmente al responsable de cada unidad de negocios, sin embargo también podrían dirigirse al CEO (Director Ejecutivo).

3 Los proyectos especiales deberían ocupar otro 20 por ciento de la carga de trabajo de Auditoría. Esos son proyectos que usualmente se realizan por solicitud directa del CEO, el COO, el CFO o la Junta Directiva. Esta es un área donde los auditores pueden brillar realmente, particularmente desde el colapso de Enron. Los ejecutivos Senior ahora reconocen que el asesoramiento por el que pagaron fue limitado, en tanto los consultores solo raspan la superficie para identificar problemas que todos ya sabían. Pueden haber incorporado el trabajo de auditores internos sin darle el crédito que a menudo su trabajo merece. En algunos casos, estos consultores utilizan staff recién salido de la Universidad con muy poca experiencia que se facturan a mas de US$ la hora. Estoy seguro de que han visto algun informe de estos consultores. Yo también, y déjenme decirles que los buenos auditores internos, con conocimiento del negocio, independientes y con el poder necesario pueden superar a estos consultores en todo momento! Es en los proyectos especiales en donde asignamos los auditores mas experimentados. Podemos formar equipos con auditores con menor experiencia para que obtengan los datos, construyan planillas de cálculo y preparen el formato de las presentaciones. Los reportes de auditoría que resultan de proyectos especiales en general se dirigien al CEO o a la Junta Directiva y pueden tener impacto inmediato en los negocios. Nadie comprende su negocio mejor que sus propios auditores internos. Ellos recorren la compañía, visitan lugares lejanos a la actividad diaria de los altos ejecutivos, siguen el flujo de los datos de negocios en tanto se transforman en información gerencial. Los auditores en estos proyectos deben tener la máxima independencia. Bueno ahora estoy en el 90 por ciento, y usted probablemente se pregunta en donde entra el trabajo para el auditor externo. Yo digo que le asignen un 5 por ciento o menos. Si, dije un 5 por ciento o menos. Y debería resultar en una reducción significativa de los honorarios! Despues de todo, si el Auditor General o el Chief Audit Officer (CAO) va a desviar valiosos recursos a la auditoría externa, esto debería permitir observar un retorno sustancial sobre la inversión. También los auditores externos presupuestan por lo general un honorario fijo por la auditoría, por lo tanto, porque debería la auditoría interna realizar las tareas de trabajo intensivo cuando ellos estan auditando para la rentabilidad y buscando nuevas fuents de flujo de fondos para la corporación?. El último 5 por ciento de los recursos de auditoría debería dedicarse a la prevención e investigación de fraude. El fraude erosiona los recursos de capital y, si no esta controlado puede también erosionar los controles. También la búsqueda e investigación del fraude le brinda un elevado perfil al departamento de auditoría ante los ejecutivos. Después de todo, todos sufren si los empleados deshonestos, o peor aún, los ejecutivos senior vacían las arcas del efectivo que estaban asignadas a los accionistas de la compañía. Bueno, ahora que hemos recorrido esta larga lista, a quien debería reportar la Auditoría Interna? La respuesta es: donde este mejor respaldada y tenga el mayor poder para realizar las tareas requeridas. Mi primera opción siempre sería que reporte directamente al comité de Auditoría de la Junta Directiva. Esto brinda visitiblidad y asegura que los temas serios serán considerados en forma apropiada. Entiendo que algunas veces debería haber necesidad de establecer un reporte indirecto (línea de puntos) a los Ejecutivos Senior para propósitos administrativos. El COO debería ser un reporte administrativo adecuado para el Auditor General porque, como podemos ver en mi lista de apertura del universo de Auditoría, el COO (Director de Operaciones) esta mejor ubicado para manejar cualquier aspecto que surja de las Auditorias. El Director de Legales (Chief Legal Counsel CLC) es otro buen lugar para ubicar el reporte administrativo. Existen normalmente pocos conflictos entre el Auditor General o el Director de Auditoria (CAO) y el Director de Legales. En algunso casos, el Director de Finanzas (CFO) es el mejor lucgar para el reporte del Director de Auditoria. Esto depende también de las actitudes del CAO y del CFO. En tanto el CAO sea independiente, los Auditores podrán tambien ser independientes. Solo recuerde que la independencia es un estado mental: Un buen Director de Auditoria (CAO) sera independiente cualquiera sea la estructura de reporte.

4 Restaurando la función de Auditoría de TI Este tópico merece un número completo, pero tocaremos este tema para cubrir la estrucutra del departamento de Auditoria Interna, sin embargo en el próximo número de Canaudit Perspective cubriremos este tema. Ahora, quisiera cubrir la restauración de la Auditoria de TI, debido a que ha sido la gran víctima de las batallas de outsourcing. Mientras que muchas companías tercerizaron la Auditoria Interna en la última década, aún mas afectaron la auditoría de TI que ha sido atomizada dado que tercerizaron o co-tercerizaron la función. Las companias fallaron o tuvieron éxito en su habilidad para brindar información oportuna a la gerencia. Cada función en una organización utiliza la Tecnología Informática, por lo tanto tiene mas sentido recuperar la función tan pronto como usted pueda. Si su función de auditoría de TI ha sido atomizada, este es un buen momento para contratar nuevo personal. Existen muchos excelentes auditores de TI caminando las calles debido a que se ha enfriado un poco el boom tecnológico y se han producido despidos producto de fusiones de empresas. Este es el momento de contratar lo mejor del mercado y hacer que trabajen para usted. Debe comenzar con un buen Gerente de Auditoría de TI. Un buen Gerente de TI está actualizado en tecnología, tiene buena comunicación con la gente y también se siente bien realizando presentaciones a la dirección. Conozco mucha gente que cubriría esta descripción y que actualmente estan buscando ubicarse en nuevas posiciones. Estoy seguro de que usted también conoce alguna persona con estas características. Una vez que usted a ubicado un buen Gerente de Auditoría de TI, es tiempo de contratar al staff. Aquí, mi sugerencia depende del tamaño de su organización y del propio departamento de auditoría. En una compañía promedio, del 20 al 30 por ciento de los Auditores Internos deberían ser Auditores de TI. En un gran Banco o Entidad Financiera, el ratio debería ser aún mas elevado. Personalmente prefiero lo que yo llamo un grupo de Auditoría de TI sal y pimienta. Lo que quiero decir es que debería haber auditores de TI muy actualizados, que conozcan la empresa y tengan buenas habilidades de Auditoria de TI, estos son la sal. La pimienta (o el fuego, dependiendo de la analogía), viene de los profesionales de Tecnología Informática, los Auditores de TI con menos de tres años de experiencia, y los Auditores Financieros que estan realizando su ciclo en Auditoria de TI como parte de su desarrollo de carrera. En grandes departamentos de Auditoria me gustaría ver a varios miembros dedicados a realizar extracción de datos ó programación. Estos deberían ser becarios o graduados recientes del college o la universidad de una carrera de Sistemas de Información o Auditoria de TI. La idea aquí es bajar el costo del software de auditoría asegurando que los auditores de TI capaces no estan molestos con su responsabilidad. Esto sigue la primera regla de Gordon El trabajo fluye al menor nivel dispuesto a aceptarlo. También asegura que sus auditores de TI de elevado costo aplican sus habilidades donde se logra el mayor retorno. Si usted quisiera experimentar con esto, llame a su college o universidad local para establecer un programa de becas. Comience con una persona y si luego está satisfecho con los resultados, expanda el programa.

5 Ahora, quisiera tocar el tema de los auditores de TI sin suficientes habilidades. Esto es particularmente difícil para mi, ya que conozco a mucho de ellos por largo tiempo. Estos son los Auditores de TI que sobrevivieron las reducciones, tercerizaciones y co-tercerizaciones en años recientes. No solo están temerosos de nuevas batallas, sino que también a menudo estan subentrenados. Por años, han mirado como se cortaban los presupuestos, se eliminaban posiciones de staff o se reducían los presupuestos de capacitación y entrenamiento. De alguna manera ellos crecieron con esto, obtenían su entrenamiento leyendo libros ó artículos, yendo a eventos de bajo costo en el capítulo o invirtiendo su propio dinero en cursos externos o universitarios. Usted tiene que dar crédito a estos individuos dedicados! Pero pese a sus esfuerzos, sus habilidades han envejecido, y peor aún, la gerencia no se da cuenta de sus contribuciones y lo que es más importante cuanto más podrían contribuir si se les diera una oportunidad. Este es el momento para revisar su conjunto de habilidades actuales y diseñar programas de entrenamiento para ellos. Cada centavo que invierta en estos Auditores de TI, le dara un excelente retorno sobre la inversión. Ellos podrán realizar mas auditorías, traer las auditorias tercerizadas de nuevo a la empresa y ahorrarle dinero en el largo plazo. Esto no significa que ellos sean capaces de realizar todas las auditorias de TI. Algunas auditorías son tan especializadas que no es realista descansar en los recursos del staff propio para realizarlas. Todavía será necesario utilizar consultores para realizar ciertas tareas de Auditoria de TI. Yo no considero esto co-sourcing (o co-tercerización), en lugar de ello, se trata del gerenciamiento de habilidades. Si usted no puede realizar las auditorias a un costo razonable con su staff, entonces utilice consultores cuando sea costo-efectivo. Asegúrese de que los consultores transfieren sus habilidades a su staff interno de auditoria de TI como parte del proyecto. Esto permite qu elos Auditores de TI trabajen a la par de los consultores, aprendiendo nuevas habilidades en tanto gerencian la consultoria. Si, dije gerencian la consultoría, ellos son Consultores de Auditoria Interna, no terceros o co-sourcers.

6 Comencemos con Canaudit! Muchos de los s que recibí luego de haber publicado el artículo sobre Enron indicaban que era mas fácil para mi realizar estos comentarios que lo que resulta para los Auditores Internos del staff presentar los temas a la Gerencia. También, es facil para Gordie hablar acerca del entrenamiento, pero en la vida real, no existe dinero disponible para el entrenamiento. La última semana recibí un mail de una Auditora pidiendo si podia obtener un descuento en el entrenamiento ya que su compañía ya no le pagaba entrenamiento o gastos de viaje. Encontramos para ella una ubicación de bajo costo que le permitiera asistir al curso que le interesaba. Pero esto aún no fue suficiente, si nosotros vamos a cambiar la profesión de Auditoría de TI, todos tenemos que trabajar juntos. IT Audit Boot Camp Muchos clientes sugirieron que creemos un IT Audit Boot Camp (Campamento de Entrenamiento en Auditoria de TI) de 1 Semana. Si quiere actualizar sus habilidades o entrenar nuevos Auditores de TI, este seminario es para usted. Para ver el contenido detallado por favor vaya a Como siempre las ideas que se expresan arriba son mías y solo mías. Si desea realizar algun comentario por favor envíenme un mail en ingles a (Gordon@canaudit.com) o en Español a Daniel Ramos (dramos@safecg.com ). Importante: Las opiniones expresadas representan los puntos de vista del autor de las mismas.- Canaudit Inc. Printed with permission Canaudit, Inc Por información adicional no dude en contactarnos en: info@safecg.com SAFE Consulting Group AMÉRICA: ARGENTINA, BRASIL, CHILE, MEXICO, PARAGUAY, URUGUAY EUROPA: ESPAÑA