Reporte de las deficiencias en el control interno de la entidad auditada
Para asegurar el cumplimiento de sus metas y objetivos las entidades cuentan con el control interno. Este, es un proceso, un conjunto de políticas y procedimientos que adopta una entidad y que fueron diseñados con el objetivo de asegurar la disponibilidad, integridad, y exactitud de los datos que necesitan ser reportados; promover la eficiencia y la eficacia en las operaciones (entre otros puntos, minimizando el apartamiento de los procedimientos aprobados) y garantizar el cumplimiento de las leyes y regulaciones que le aplican.
El propósito de una auditoria externa de estados financieros no es la revisión exhaustiva del sistema de control interno de la entidad sino expresar una opinión sobre los estados financieros. De todas formas, los auditores deben tener en cuenta el control interno, y principalmente aquellos controles que son relevantes para la preparación de estados financieros. Estos controles afectan directamente el riesgo de auditoria y deben ser tenidos en cuenta en el diseño de las pruebas de auditoria. Para conocer y evaluar el diseño y funcionamiento de este sistema existen diversas técnicas de relevamiento y análisis cómo por ejemplo: entrevistas con la Dirección y Gerencias, entrevistas con otro personal involucrado, revisión de documentos y manuales escritos, pruebas específicas sobre procesos, inspecciones, entre otras.
Como resultado de la aplicación de estas técnicas, pueden llegar a conocimiento del auditor deficiencias significativas en el control interno. La Norma Internacional de Auditoría N°265, trata acerca de la responsabilidad del auditor de comunicar adecuadamente a la Gerencia y Dirección de la entidad las deficiencias que haya identificado durante su trabajo.
La norma brinda orientación acerca de qué informar, cómo, a quién y cuándo.
Se deben informar las deficiencias en el control interno que, consideradas en forma individual o agregada, son significativas. Existe una deficiencia de control interno cuando no existe un control o el diseño y/o implementación de un control no es adecuado para prevenir, detectar o corregir errores en los estados financieros. Para estimar si una deficiencia es significativa se debe considerar no solo las incorrecciones que ya se detectaron, sino también la probabilidad de ocurrencia de una incorrección y la materialidad probable. El auditor deberá además hacer uso de su juicio profesional y considerar de si la deficiencia detectada requiere la atención de la Dirección y de la Gerencia.
La comunicación a la Dirección u órgano responsable del gobierno de la empresa debe realizarse en forma escrita. Explícitamente contextualizar y establecer que la auditoria no tiene por objetivo detectar deficiencias de control interno sino opinar sobre los estados financieros. Asimismo es importante expresar que las deficiencias han surgido durante los procedimientos de auditoría y que de aplicar otros podrían haber surgido otras distintas. Por último el auditor sólo debe comunicar aquellas que a su criterio son significativas y por lo tanto esto también debe comunicarse.
Independientemente de la comunicación a la Dirección (u órgano responsable del gobierno de la entidad) el auditor debe comunicar a la Gerencia que esté involucrada con el área en que se detectó la deficiencia informada. Esto siempre y cuando no se estime que la deficiencia es resultado de un posible fraude.
La emisión de la comunicación sobre aspectos significativos de control interno detectados durante la auditoría a la Dirección y Gerencia forma parte de la compilación final del trabajo de auditoría. Un período de 60 días luego de emitido el informe de auditoría se considera razonable para la compilación final de los trabajos de auditoría y por lo tanto para esta comunicación. De todas formas el auditor debe tener en cuenta cuestiones de importancia significativa y capacidad de la Dirección de cumplir con sus objetivos y puede llegar a comunicar deficiencias en forma previa a la emisión del informe de auditoría.
Como reflexión final las Normas Internacionales de Auditoría establecen que los auditores deben comunicar a la Gerencia en caso de detectar deficiencias significativas en el control interno. Asimismo más allá del cumplimiento normativo, creemos que la comunicación en sí misma mejora el proceso de auditoría y agrega valor a misma.
