AUDITORÍA INTERNA INFORME AOP ESTUDIO SOBRE EL SEGUIMIENTO DEL CONTROL INTERNO EN EL REGISTRO NACIONAL

Transcripción

1 AUDITORÍA INTERNA INFORME AOP ESTUDIO SOBRE EL SEGUIMIENTO DEL CONTROL INTERNO EN EL REGISTRO NACIONAL Enero 2016

2 ÍNDICE Pág. A. Introducción Origen del Estudio Objetivo del Estudio Objetivos Específicos Alcance Marco Legal y Normativo.. 4 B. Resultados 4 1. Verificación del Cumplimiento de la Ley General de Control Interno, Directrices establecidas por la CGR y demás normas 5 2. Verificar la aplicación de la Metodología y la Guía de Usuario del Sistema Específico de Valoración del Riesgo Institucional (SEVRI).. 3. Seguimiento de Recomendaciones. 10 C. Conclusiones 11 D. Recomendaciones 11 6 Estudio de Seguimiento del Sistema Específico de Valoración de Riesgo Institucional SEVRI, del Registro Nacional 1

3 INFORME DE AUDITORÍA N AOP Estudio de Seguimiento del Sistema Específico de Valoración de Riesgo Institucional SEVRI, del Registro Nacional A. INTRODUCCIÓN 1. Origen del Estudio Este estudio se origina para dar cumplimiento al Plan Anual de Trabajo de la Auditoria Interna, correspondiente al periodo 2015, con el propósito de evaluar la aplicación del Sistema Específico de Valoración del Riesgo (SEVRI) en la Institución. Ley General de Control Interno No [ ] SECCIÓN IV Informes de auditoría interna Artículo 35. Materias sujetas a informes de auditoría interna Los informes de auditoría interna versarán sobre diversos asuntos de su competencia, así como sobre asuntos de los que pueden derivarse posibles responsabilidades para funcionarios, ex funcionarios de la institución y terceros. Cuando de un estudio se deriven recomendaciones sobre asuntos de responsabilidad y otras materias, la auditoría interna deberá comunicarlas en informes independientes para cada materia. Los hallazgos, las conclusiones y recomendaciones de los estudios realizados por la auditoría interna, deberán comunicarse oficialmente, mediante informes al jerarca o a los titulares subordinados de la administración activa, con competencia y autoridad para ordenar la implantación de las respectivas recomendaciones. La comunicación oficial de resultados de un informe de auditoría se regirá por las directrices emitidas por la Contraloría General de la República. Artículo 37. Informes dirigidos al jerarca Cuando el informe de auditoría esté dirigido al jerarca, este deberá ordenar al titular subordinado que corresponda, en un plazo improrrogable de treinta días hábiles contados a partir de la fecha de recibido el informe, la implantación de las recomendaciones. Si discrepa de tales recomendaciones, dentro del plazo indicado deberá ordenar las soluciones alternas que motivadamente disponga; todo ello tendrá que comunicarlo debidamente a la auditoría interna y al titular subordinado correspondiente. Estudio de Seguimiento del Sistema Específico de Valoración de Riesgo Institucional SEVRI, del Registro Nacional 2

4 Artículo 38. Planteamiento de conflictos ante la Contraloría General de la República Firme la resolución del jerarca que ordene soluciones distintas de las recomendadas por la auditoría interna, esta tendrá un plazo de quince días hábiles, contados a partir de su comunicación, para exponerle por escrito los motivos de su inconformidad con lo resuelto y para indicarle que el asunto en conflicto debe remitirse a la Contraloría General de la República, dentro de los ocho días hábiles siguientes, salvo que el jerarca se allane a las razones de inconformidad indicadas. La Contraloría General de la República dirimirá el conflicto en última instancia, a solicitud del jerarca, de la auditoría interna o de ambos, en un plazo de treinta días hábiles, una vez completado el expediente que se formará al efecto. El hecho de no ejecutar injustificadamente lo resuelto en firme por el órgano contralor, dará lugar a la aplicación de las sanciones previstas en el capítulo V de la Ley Orgánica de la Contraloría General de la República, N 7428, de 7 de setiembre de [ ]. 2. Objetivo General Evaluar el cumplimiento del Sistema Específico de Valoración de Riesgo Institucional SEVRI, establecido en la Ley General de Control Interno, Ley No. 8292, publicada en La Gaceta No. 169 del 04/09/2002 y las Directrices Generales para el Establecimiento y Funcionamiento del Sistema Específico de Valoración del Riesgo Institucional (SEVRI), D CO-DFOE, publicado en la Gaceta N 134 del 12 de julio del Objetivos Específicos I. Verificar el cumplimiento de la Ley General de Control Interno, y las directrices establecidas por la Contraloría General de la República y demás normas aplicables sobre el Sistema de Valoración de Riesgos (SEVRI). II. Verificar la aplicación de la Metodología y la Guía de Usuario del Sistema Específico de Valoración del Riesgo Institucional (SEVRI). III. Preparar y documentar toda la información recopilada, y las pruebas realizadas, mediante cédulas e informes definidos para tal fin. 4. Alcance del Estudio El estudio abarca lo realizado por la administración activa en el año 2014, para dar cumplimiento a la Ley General de Control Interno y a las Directrices Generales del SEVRI, emitidas por la Contraloría General de la República. Además, el estudio será realizado de Estudio de Seguimiento del Sistema Específico de Valoración de Riesgo Institucional SEVRI, del Registro Nacional 3

5 acuerdo con lo estipulado en la Ley General de Control Interno, (Ley Nº 8292), y las Directrices Generales para el Sistema de Valoración del Riesgo (SEVRI), emitidas por la Contraloría General de la República, así como las Normas para el ejercicio de la Auditoría Interna del Sector Público y cualquier otra normativa atinente a este estudio. 5. Marco Legal y Normativo Ley General de Control Interno No. 8292, publicada el 27 de agosto del 2002: Artículo 14. Valoración del Riesgo. Artículo 18. Sistema específico de valoración del riesgo institucional. Artículo 19. Responsabilidad por el funcionamiento del sistema. Normas de control interno para el Sector Público (N CO-DFOE), publicadas el 06 de febrero del 2009: 3.2 Sistema específico de valoración del riesgo institucional (SEVRI). Directrices Generales para el Establecimiento y Funcionamiento del Sistema Específico de Valoración del Riesgo Institucional (SEVRI) D CO- DFOE, publicadas en el Diario Oficial La Gaceta el 12 de julio del Normativa Interna del Registro Nacional: Metodología del Sistema Específico de Valoración de Riesgos Institucional, 3ra edición, Guía de usuario Sistema Específico de Valoración de Riesgos Institucional. B. RESULTADOS La valoración de los riesgos institucionales es fundamental para un buen desarrollo y desempeño de los procesos, facilita la planificación estratégica, evidentemente es una valiosa herramienta orientada a ubicar a la institución en un nivel de riesgos aceptable. Debe estar presente en toda organización y requiere la participación activa de los niveles superiores, la de todos los funcionarios y la de los sujetos interesados a los que afecta. Dada la necesidad de toda institución ya sea pública o privada de mantener sus riesgos en niveles aceptables, la Contraloría General de la República (CGR), emitió normativa que promueve una valoración de riesgos a la cual se le denomina Sistema Específico de Valoración del Riesgo Institucional (SEVRI). Estudio de Seguimiento del Sistema Específico de Valoración de Riesgo Institucional SEVRI, del Registro Nacional 4

6 1. Verificación del Cumplimiento de la Ley General de Control Interno, directrices establecidas por la CGR y demás normas. Para verificar el cumplimiento de la Ley General de Control Interno y las directrices establecidas por la Contraloría General de la Republica y demás normas aplicables al SEVRI, fue necesario hacer un análisis de ellas individualmente, las cuales son detalladas a continuación. 1.1 Ley General de Control Interno La Ley General de Control Interno establece que todo órgano o institución debe identificar y analizar los riesgos en sus procesos, los impactos que podría tener la materialización de dichos riesgos y los mecanismos necesarios para mitigarlos. Además, indica que se debe contar con un Sistema Específico de Valoración de Riesgos, regulado por las directrices que emita la Contraloría General de la Republica. Se verificó que la institución cuenta con las siguientes herramientas, que son la base para la aplicación del SEVRI: Metodología del Sistema Específico de Valoración de Riesgos Institucional, 3ra edición, Guía de usuario Sistema Específico de Valoración de Riesgos Institucional. La metodología tiene elementos que coadyuvan al cumplimiento de lo establecido por la ley, puesto que facilita al jerarca y titulares subordinados la identificación, análisis, determinación de impactos y la creación de mecanismos para la mitigación de los riesgos que afectan a las unidades o procesos. 1.2 Normas de Control Interno para el Sector Público Al igual que la Ley General de Control Interno, las Normas de Control Interno para el Sector Público, establecen que debe existir un Sistema Específico de Valoración de Riesgos (SEVRI) que contemple la normativa aplicable. Para el cumplimiento de lo establecido en las normas y al igual que se determinó en la revisión de lo estipulado en la Ley de General de Control Interno, existe una metodología institucional para la aplicación del SEVRI y una guía que apoya la utilización de la herramienta. Con respecto a las revisiones y perfeccionamiento continuo que debe tener la metodología y demás herramientas del SEVRI, la UDEI indicó en correo electrónico del 02 de octubre del 2015 lo siguiente: Desde el 2007, y hasta la fecha la metodología del SEVRI, ha sido ajustada en tres oportunidades [ ]. 1.3 Directrices Generales para el Establecimiento y Funcionamiento del Sistema Específico de Valoración del Riesgo Institucional Estudio de Seguimiento del Sistema Específico de Valoración de Riesgo Institucional SEVRI, del Registro Nacional 5

7 Las Directrices Generales para el Establecimiento y Funcionamiento del Sistema Específico de Valoración del Riesgos Institucional, indican una serie de elementos con que debe contar la metodología de SEVRI institucional. Se realizó una verificación de cada uno de los elementos indicados en las directrices y no se logró ubicar puntos que debieran ser sujetos a mejora. Se puede ver el detalle en el Papel de Trabajo. Como puntos importantes a denotar, la Unidad de Desarrollo Estratégico Institucional (UDEI) 1 indica que se concientiza y unifica el concepto de riesgo y la importancia del SEVRI en los funcionarios, a través de charlas considerando los conceptos del tema. También se coordinan campañas con el Departamento de Proyección Institucional y a través de este medio se publicó la Política de Valoración de Riesgos. Además, se utilizó el medio impreso institucional Entre Tomos para realizar publicaciones sobre el tema. Se indica que la actitud proactiva se promulga con la coordinación del Departamento de Proyección Institucional y con la aplicación de la metodología SEVRI en cada una de las Direcciones del Registro, proceso mediante el cual participan los titulares subordinados en la definición de acciones, metas, indicadores, con la correspondiente asignación de responsables de las medidas propuestas. Además, se verificó que la UDEI está coordinando con la Dirección de Informática un nuevo Sistema automatizado del SEVRI en donde se involucra tanto el Jerarca como a los Titulares Subordinados en la identificación, funcionamiento, evaluación y perfeccionamiento del SEVRI, al igual que en las matrices actuales. 2. Verificar la aplicación de la Metodología y la Guía de Usuario del Sistema Específico de Valoración del Riesgo Institucional (SEVRI) La herramienta utilizada para el análisis y seguimiento del SEVRI establecida por la Unidad de Desarrollo Estratégico Institucional (UDEI) y aprobada por la Junta Administrativa consta de las siguientes matrices: Identificación del Riesgo y el Análisis del Riesgo Evaluación del Riesgo y la Administración del Riesgo Seguimiento del Riesgo Además se cuenta con las siguientes tablas y anexos de ayuda, para sustentar las matrices anteriores: 1 La UDEI es el órgano encargado por la Dirección General según oficio DGRN-1459/07, de la instauración del Sistema de Control Interno Institucional. Estudio de Seguimiento del Sistema Específico de Valoración de Riesgo Institucional SEVRI, del Registro Nacional 6

8 Tabla 1 Tabla 2 Tabla 3 Tabla 4 Tabla 5 Tabla 6 Tabla 7 Tabla 8 Anexo 1 Anexo 2 Estructura del Riesgo Probabilidad Ocurrencia del evento Efectividad de la Medidas de Administración del Riesgo Análisis Costo/Beneficio Clasificación Riesgo Residual Grado de Afectación a las Causas Atención del Riesgo Capacidad instalada Consideraciones Generales Bitácora de Modificaciones Las matrices, tablas y anexos utilizados para cumplir con el SEVRI, reúnen las directrices indicadas por la Contraloría General de la República y la Ley General de Control Interno, de conformidad con los documentos y datos suministrados por la UDEI, según lo verificado por esta Auditoría Interna por mediante la revisión, análisis y cumplimiento de la respectiva Ley. 2.1 Direcciones o Unidades en donde se verificó el Seguimiento del SEVRI para el periodo Los seguimientos del SEVRI para el 2014 según oficio UDEI , fueron los siguientes: Auditoría Interna Dirección General Archivo Central Almacén de Suministros Departamento Financiero Instituto Geográfico Nacional Dirección de Servicios Dirección de Informática Dirección de Registro Inmobiliario Dirección de Propiedad Industrial Dirección de Personas Jurídicas Dirección de Bienes Muebles Dirección de Derechos de Autor y Conexos La UDEI aporta como prueba los riesgos analizados y su seguimiento en las matrices por medio de documentos escaneados, en donde se puede observar la aplicación del SEVRI realizada para el periodo 2014 por las Direcciones y su entrega a la UDEI. Estudio de Seguimiento del Sistema Específico de Valoración de Riesgo Institucional SEVRI, del Registro Nacional 7

9 2.2 Participación del Personal en la Aplicación del SEVRI De la documentación proporcionada se desprende, que algunas de las Direcciones o Unidades aportan copia de los registros de asistencia del ejercicio de aplicación del SEVRI, sin embargo, en el caso de otras Direcciones, no se adjuntan las bitácoras respectivas en los documentos entregados a la UDEI, lo cual dificulta evidenciar elementos importantes, como lo son los responsables de las tareas y la fecha del ejercicio. Conforme a la conversación sostenida con el funcionario Oscar Jiménez Sánchez, Analista de la UDEI, en reunión del viernes 07 de agosto de los corrientes; este hecho se resolverá con el nuevo sistema informático del SEVRI, puesto que al indicarse los riesgos y su evaluación, quedan consignados los responsables y la fecha del evento. 2.3 Seguimiento y actualización del SEVRI para el periodo En concordancia con los Lineamientos de la Política del Sistema Específico de Valoración del Riesgo Institucional (SEVRI), el análisis de Riesgos se realiza de forma integral a cada Dirección, siendo cada Dirección la responsable de realizar el seguimiento y actualización del SEVRI. De conformidad con la revisión de las matrices de aplicación del SEVRI, se pudo constatar que la mayoría de las Direcciones o Unidades, han actualizado sus riesgos para el periodo 2014, a excepción de la Junta Administrativa y la Dirección Administrativa. La revisión se llevó a cabo verificando las fechas de los ejercicios en los casos en que éstos estaban presentes y por medio de los documentos que facilitó la UDEI a esta Auditoría Interna. 2.4 Revisión de la Programación de la Actualización del SEVRI Según el cuadro Programación Actualización SEVRI, se refleja que la Dirección Administrativa, actualizó por última vez sus Riesgos en julio del Se realizó la consulta a la Dirección Administrativa a través del oficio AI-RN sobre las razones por las cuales no se ha realizado el seguimiento del SEVRI de los años subsiguientes al 2011, a lo que se obtiene como respuesta el oficio DARN del 31 de agosto de los corrientes que indica: Como producto de que la Unidad de Desarrollo Estratégico cuenta en la actualidad con un nuevo sistema para el SEVRI, se aprovechará esta oportunidad para la actualización de los riesgos de la Dirección Administrativa y sus Departamentos. [ ] Los demás Departamentos de la Dirección Administrativa están a la espera de la aplicación del nuevo sistema de SEVRI implementado por la UDEI para actualizar sus matrices de riesgos. El artículo 39, de la Ley N 8292 Ley General de Control Interno, establece las Causales de Responsabilidad administrativa para el jerarca y los titulares subordinados que incumplan injustificadamente los deberes asignados en esta Ley. Estudio de Seguimiento del Sistema Específico de Valoración de Riesgo Institucional SEVRI, del Registro Nacional 8

10 Se tiene el conocimiento de los esfuerzos realizados en varios departamentos de la Dirección Administrativa en cuanto al seguimiento del SEVRI, en donde la Auditoria Interna ha recomendado realizarlo en dichas áreas, sin embargo esto no exime a esa Dirección de la valoración y seguimiento de sus propios riesgos y de los riesgos que se desprendan de las gestiones de los departamentos de esa dependencia. 2.5 Revisión del Informe de Riesgos año 2014 (fecha 01/12/2014) En las tablas 2 y 4 del Informe de Riesgos 2014 entregado por la UDEI, se indica que la Dirección Administrativa no realizó la actualización del SEVRI para el periodo 2014 y que la Junta Administrativa no lo hizo en los periodos 2013 y En correo del 21 de agosto de los corrientes, se hace la siguiente consulta a la UDEI, sobre la información contemplada en el Informe de Riesgos del 01 de diciembre 2014: Si es posible conocer cuál es el estado actual de las Direcciones o Unidades que se señalan en el Informe de Riesgos 2014, que no realizaron la actualización del SEVRI y se obtuvo la siguiente respuesta: Mediante Acuerdo J , de la Sesión Ordinaria N 04, celebrada el 22 de enero del La Junta Administrativa dispone que que se haga una revisión integral de los riesgos Situación que la UDEI, está atendiendo según lo programado, para incluir en el nuevo Sistema automatizado de los riesgos de cada Unidad.. En oficio UDEI recibido el 27 de agosto del presente, la UDEI hace la aclaración de la información contemplada en las tablas 2 y 4 del Informe de Riesgo 2014 e indica que la Dirección de Inmobiliario mediante oficio RIM-RN del 11 de mayo de los corrientes, remitió a la UDEI, la matriz de Seguimiento de los Riesgos asociados a su gestión. Por consiguiente la Dirección de Inmobiliario ha cumplido con el seguimiento del SEVRI. El oficio AI-RN del 26 de agosto de los corrientes se consulta a la Junta Administrativa sobre el seguimiento del SEVRI a lo que a la fecha de este informe no se ha recibido respuesta a la consulta realizada. Se extrae Tabla 2 del Informe de Riesgos del 01 de diciembre 2014, emitido por la UDEI en donde se resumen aquellas Direcciones que no han realizado el seguimiento o actualización del SEVRI y el nivel de aceptabilidad de los riesgos establecidos por cada Dirección. Estudio de Seguimiento del Sistema Específico de Valoración de Riesgo Institucional SEVRI, del Registro Nacional 9

11 Tabla 2 Riesgos por Unidad Organizativa Según nivel de aceptabilidad Sin Actualizar al 2014 Fuente: Unidades organizativas del Registro Nacional. 2.6 Consulta sobre sanciones a raíz de incumplimientos en la aplicación y seguimiento del SEVRI Se consultó a la UDEI en oficio AI-RN , la aplicación de alguna sanción a raíz de incumplimientos o de acciones que debiliten la implementación, seguimiento, perfeccionamiento y evaluación del SERVRI, a lo que la UDEI indicó que a la fecha no ha habido ninguna sanción relacionada con el tema consultado. 3. Seguimiento de Recomendaciones El informe AOP , emanó 3 recomendaciones, a saber: IV. Recomendaciones A la Unidad de Desarrollo Estratégico Institucional 1. Propiciar la aplicación del SEVRI, en el área institucional faltante, a saber el Instituto Geográfico Costarricense. 2. Incluir, dentro del informe que se remite a conocimiento de Junta Administrativa, un recordatorio al máximo jerarca, donde se le indique su responsabilidad de velar porque todas las áreas institucionales efectúen el seguimiento anual o semestral respectivo, con el objetivo de que se haga un llamado de atención a las direcciones que no cumplan con esta condición. 3. Priorizar los esfuerzos concernientes a la coordinación requerida, a nivel institucional, para lograr brindar continuidad en el servicio a los usuarios, en caso de un evento de emergencia.. La UDEI facilitó los documentos correspondientes que prueban la ejecución de las recomendaciones 1 y 2, las cuales fueron satisfactorias, quedando dichas recomendaciones como cumplidas. Estudio de Seguimiento del Sistema Específico de Valoración de Riesgo Institucional SEVRI, del Registro Nacional 10

12 Para efectos de la valoración de la recomendación #3, el día 24 de agosto de los corrientes, se realizó una reunión con la Licda. Adelita Abarca Ortega, y con el Lic. Oscar Jiménez Sánchez, Jefe y Analista de la UDEI respectivamente; con la finalidad de consultar sobre aspectos relacionados a la continuidad de los servicios, a lo que se indicaron: La UDEI para este año 2015 está trabajando en la planeación y actualización de las Políticas vigentes de la Continuidad de los Servicios, y se espera para el año 2016, iniciar con la implementación respectiva una vez finalizada la etapa de la Planeación, comprendiéndose que se tienen cuatro etapas: Planeación, Implementación, Ejecución y Seguimiento. El tiempo estimado para la Implementación una vez finalizada la Etapa de Planeación en este año, es relativo, ya que depende de la respuesta de las diferentes Direcciones y Unidades del Registro Nacional, por tanto es difícil proyectar un tiempo estimado dado las variables que se pueden presentar en la Etapa de la Implementación; nos comenta la Licda. Adelita Abarca, Jefe de la Unidad de Desarrollo Institucional. El Lic. Oscar Jiménez, comenta que los riesgos es la base de la Continuidad, para ello es importante definir zonas sensibles de riesgos y su impacto. Dadas las características de la tercera recomendación citada, esta queda en proceso. C. CONCLUSIONES La gestión de riesgos es una herramienta importante en toda institución, a fin de mantener en niveles mínimos, aquellos elementos que podrían interferir con el buen desempeño, eficacia y eficiencia de los procesos. Para efectos de la gestión de riesgos institucional, el Registro Nacional por medio de la UDEI, ha realizado esfuerzos importantes para cumplir con la normativa establecida por la Contraloría General de la República, a fin de orientar, controlar, integrar y realimentar el SEVRI. Con respecto a la evaluación del apego de la metodología y demás herramientas del SEVRI institucional a la normativa, se verificó que se incluye lo establecido en la Ley General de Control Interno, en sus artículos 14, 18 y 19 y Directrices Generales para el Establecimiento y Funcionamiento del Sistema Específico de Valoración del Riesgo Institucional (SEVRI). En relación a la aplicación del SEVRI, se determinó que la Junta Administrativa y la Dirección Administrativa, no realizaron las respectivas actualizaciones de sus riesgos para el año El resto de Direcciones, cumplieron con lo establecido en la metodología. La UDEI tiene como proyecto la automatización de la aplicación del SEVRI con un Estudio de Seguimiento del Sistema Específico de Valoración de Riesgo Institucional SEVRI, del Registro Nacional 11

13 Sistema Informático, en donde se podrán evidenciar los responsables del análisis de los riesgos establecidos. Asimismo, según lo asegura la UDEI, el sistema tendrá una bitácora que almacenará eventos de modificación, inclusión y eliminación de riesgos y otros movimientos. A pesar de que la UDEI ha promovido una cultura institucional para concientizar sobre la importancia de la gestión de riesgos, no han existido sanciones a los incumplimientos que se han dado a lo largo del tiempo. D. RECOMENDACIONES A la Dirección General 1. Realizar el seguimiento del SEVRI de forma integral, en acatamiento de lo dispuesto en la normativa aplicable, para aquellas Direcciones que no han actualizado el SEVRI. A la Dirección Administrativa 2. Realizar el seguimiento del SEVRI de forma integral, en acatamiento de lo dispuesto en la normativa aplicable, y gestionar lo que corresponda, en los departamentos de esa dependencia, que no han actualizado el SEVRI. A la Unidad de Desarrollo Estratégico Institucional 3. Continuar con la atención de la recomendación en proceso del informe AOP a saber: Priorizar los esfuerzos concernientes a la coordinación requerida, a nivel institucional, para lograr brindar continuidad en el servicio a los usuarios, en caso de un evento de emergencia.. 4. Considerar la importancia de plasmar con mayor relevancia en el Informe de Riesgos semestrales, aquellas Direcciones que no están cumpliendo con el seguimiento y actualización del SEVRI. Estudio de Seguimiento del Sistema Específico de Valoración de Riesgo Institucional SEVRI, del Registro Nacional 12