Auditar a quienes administran la principal función de auditoría interna

La auditoría interna ocupa una posición singular dentro de la organización. Forma parte de ella, utiliza sus recursos y necesita mantener una relación cotidiana con la administración, pero simultáneamente debe conservar suficiente objetividad para revisar decisiones, procesos y controles de quienes ocupan posiciones superiores. Esa tensión explica por qué la independencia funcional constituye uno de los elementos centrales de un sistema efectivo de auditoría.

El problema no consiste solamente en definir a quién reporta el responsable del área. Puede existir un organigrama impecable y, al mismo tiempo, una función debilitada porque la administración controla su presupuesto, modifica unilateralmente el plan de trabajo, impide revisar determinadas operaciones o decide qué hallazgos pueden comunicarse al consejo. La independencia se observa menos en la línea dibujada en el organigrama que en la capacidad real de investigar, informar y escalar sin interferencias indebidas.

Auditoría interna tampoco debe confundirse con auditoría externa ni con vigilancia societaria. Cada función responde a objetivos y responsabilidades distintas. La auditoría interna evalúa procesos, controles, riesgos y gobierno desde dentro de la organización; el auditor externo desarrolla su encargo profesional conforme al marco aplicable y el comisario, cuando corresponda, ejerce las atribuciones que le reconoce la legislación societaria.

La LGSM y la función de vigilancia

La Ley General de Sociedades Mercantiles (LGSM) no obliga con carácter general a toda sociedad anónima a establecer un departamento denominado “auditoría interna”. Su estructura tradicional de vigilancia se articula alrededor de uno o varios comisarios.

El artículo 164 establece que la vigilancia de la sociedad anónima estará a cargo de los comisarios, mientras que el artículo 166 les reconoce, entre otras facultades y obligaciones, obtener información financiera y efectuar exámenes de operaciones, documentación, registros y demás evidencias necesarias para realizar la vigilancia encomendada.

Esto no convierte al comisario en auditor interno. La distinción debe preservarse. El primero es un órgano societario de vigilancia previsto por la LGSM; auditoría interna constituye una función organizacional que puede establecerse voluntariamente o derivar de regulación específica según la entidad.

Ambas funciones pueden coexistir y coordinarse. Precisamente por ello conviene evitar duplicidades: tener comisario, auditor interno y auditor externo no garantiza tres niveles efectivos de supervisión si nadie ha definido claramente qué revisa cada uno y cómo intercambian información.

La LMV reconoce expresamente la relevancia de la auditoría interna

La Ley del Mercado de Valores (LMV) contiene una arquitectura más desarrollada para las sociedades comprendidas en su régimen. Tratándose de sociedades anónimas bursátiles, el artículo 43 exige que el informe anual del comité que desempeñe funciones de auditoría considere, entre otros aspectos, el estado que guarda el sistema de control interno y auditoría interna, sus deficiencias, desviaciones y aspectos que requieran mejoría.

La disposición es significativa porque sitúa a auditoría interna dentro de la supervisión del órgano de gobierno. No la presenta solamente como una herramienta administrativa del director general, sino como una fuente relevante para que el comité y el consejo comprendan el funcionamiento de controles.

Reporte administrativo y reporte funcional no son lo mismo

Una estructura razonable suele distinguir entre reporte administrativo y funcional. El primero cubre asuntos cotidianos: instalaciones, procesos de recursos humanos, gastos y soporte operativo. El reporte funcional se relaciona con las materias que determinan la independencia de auditoría: aprobación del plan, alcance, comunicación de hallazgos, evaluación del responsable y suficiencia de recursos.

Cuando el director general o el director financiero controlan unilateralmente ambas dimensiones, aparece un conflicto evidente. Auditoría puede quedar impedida para revisar determinadas áreas o comunicar observaciones sensibles.

Auditoría interna pierde buena parte de su utilidad cuando la persona que determina qué puede revisarse es precisamente aquella cuya gestión podría necesitar ser examinada.

En una estructura más madura, el comité de auditoría o el consejo participa en las decisiones funcionales esenciales. Esto permite que auditoría mantenga relación operativa con la dirección sin depender completamente de ella para determinar qué puede revisar. La función debe estar suficientemente cerca de la administración para entender el negocio y suficientemente cerca del consejo para poder cuestionar a la administración.

El plan de auditoría debe construirse sobre riesgos

Una auditoría interna eficaz no puede revisar todo con la misma profundidad. Sus recursos deben concentrarse en exposiciones relevantes.

Tesorería, compras, inventarios, tecnología, operaciones con partes relacionadas, ingresos, cumplimiento, ciberseguridad o proyectos estratégicos pueden recibir distinta prioridad según el modelo de negocio.

El plan anual debe surgir de una evaluación de riesgos y permitir ajustes cuando aparezcan exposiciones nuevas. Un programa rígido pierde utilidad si continúa revisando procesos menores mientras ocurre una adquisición, fraude significativo o incidente tecnológico que modifica sustancialmente el perfil de riesgo.

El consejo o comité debe conocer qué temas quedaron fuera por falta de recursos. Esa información resulta tan relevante como las auditorías realizadas, porque permite identificar si la capacidad de supervisión es suficiente.

El Código recomienda fortalecer objetividad e independencia

El Código de Principios y Mejores Prácticas de Gobierno Corporativo (Código) recomienda que la función de auditoría sea apoyada por un órgano intermedio que procure que tanto auditoría interna como externa se desarrollen con la mayor objetividad e independencia posible. También destaca la coordinación entre auditoría interna, auditor externo, demás participantes y, en su caso, el comisario.

Asimismo, la Mejor Práctica 45 contempla lineamientos y planes de trabajo de auditoría interna dentro de la función de auditoría del consejo.

Estas recomendaciones son particularmente útiles porque colocan el énfasis en la estructura de supervisión y no únicamente en la existencia del área. El Código constituye una referencia de mejores prácticas, sin sustituir las obligaciones que deriven de la legislación o regulación sectorial correspondiente.

Acceso irrestricto dentro de un alcance autorizado

Auditoría necesita acceso a información, personas, sistemas y documentación suficientes para realizar sus revisiones. Una función a la que se niegan documentos relevantes difícilmente puede emitir conclusiones confiables.

Esto no significa acceso indiscriminado sin controles. La información puede contener datos personales, secretos empresariales o documentos sujetos a restricciones específicas. Deben existir protocolos sobre confidencialidad, custodia y uso.

Lo importante es evitar que el responsable del proceso auditado determine unilateralmente qué información podrá examinarse. Las restricciones deben contar con fundamento y, cuando impidan completar una auditoría material, comunicarse al órgano competente.

Una limitación de alcance significativa constituye por sí misma información de gobierno.

Los hallazgos deben clasificarse por riesgo

No toda observación merece llegar al consejo. Auditoría puede identificar cientos de oportunidades de mejora; saturar al comité con cada una disminuiría su capacidad para distinguir lo verdaderamente importante.

Conviene clasificar hallazgos según impacto, probabilidad, urgencia y naturaleza. Las deficiencias materiales, reincidentes o relacionadas con altos directivos requieren mayor atención.

Un reporte útil debería explicar qué ocurrió, cuál es el riesgo, quién debe remediarlo y cuándo. La descripción técnica puede acompañarse de anexos, pero la comunicación al órgano de gobierno debe permitir comprender las consecuencias.

El hallazgo que nadie comprende difícilmente produce una corrección adecuada.

La independencia se prueba cuando aparece un hallazgo incómodo

Es relativamente sencillo mantener autonomía cuando auditoría identifica errores administrativos menores. La verdadera prueba ocurre cuando observa una irregularidad que involucra al director general, a un miembro del consejo o a una persona cercana al accionista controlador.

El protocolo debe permitir comunicación directa con el presidente del comité o con quien corresponda, sin obligar al auditor a obtener autorización previa de la persona involucrada.

También puede ser necesario recurrir a asesores externos cuando la investigación exceda las capacidades internas o exista riesgo de conflicto.

Si el responsable de auditoría teme consecuencias laborales por comunicar una observación material, la independencia funcional existe únicamente en el papel.

Seguimiento: un hallazgo abierto indefinidamente es un problema de gobierno

La auditoría pierde valor cuando sus reportes se acumulan sin remediación. Cada observación relevante debería contar con responsable y fecha comprometida.

El comité necesita conocer particularmente los hallazgos vencidos, las reincidencias y aquellos respecto de los cuales la administración decidió aceptar el riesgo. Aceptar un riesgo puede ser perfectamente legítimo. Lo importante es que la decisión corresponda al nivel de autoridad adecuado y se encuentre documentada.

Una deficiencia que permanece abierta durante años deja de ser exclusivamente una falla operativa. Se convierte en evidencia de que el sistema de rendición de cuentas no está funcionando.

Auditoría interna no debe diseñar los controles que después evaluará

La experiencia del auditor puede ser útil para formular recomendaciones, pero existe un límite importante. Si auditoría diseña y opera directamente un control, posteriormente tendrá dificultades para evaluarlo con objetividad.

La administración debe conservar responsabilidad sobre diseño y ejecución del sistema de control interno. Auditoría proporciona evaluación independiente y puede formular recomendaciones.

La diferencia parece sencilla, pero en organizaciones pequeñas suele confundirse porque se pide al auditor “resolver” el problema encontrado. Puede asesorar sobre alternativas; no debería convertirse permanentemente en propietario del proceso.

La relación con auditoría externa requiere coordinación, no subordinación

Auditoría interna y externa pueden intercambiar información y evitar duplicidades innecesarias. El auditor externo puede considerar determinados trabajos internos dentro del marco profesional aplicable, mientras auditoría interna puede conocer asuntos detectados durante la revisión externa.

Sin embargo, una función no sustituye automáticamente a la otra. Sus objetivos y alcances son diferentes. El Código recomienda precisamente coordinación entre ambas funciones y, en su caso, el comisario.

El comité de auditoría constituye un punto natural para integrar esas perspectivas y asegurarse de que los principales riesgos no queden sin cobertura porque cada participante asumió que otro los revisaría.

El responsable de auditoría debe tener acceso directo al órgano de gobierno

Una de las prácticas más importantes consiste en permitir reuniones privadas entre el responsable de auditoría interna y el comité, sin presencia de la administración ejecutiva.

Estas sesiones no deben interpretarse como señal de desconfianza. Proporcionan un espacio para comunicar limitaciones, presiones, conflictos o preocupaciones difíciles de plantear ante quienes administran los procesos revisados.

La independencia no exige separar a auditoría interna de la organización; exige impedir que su juicio profesional pueda ser neutralizado por quienes son objeto de su supervisión.

El presidente del comité debería poder comunicarse directamente con auditoría y viceversa cuando exista un asunto material. Este acceso constituye uno de los indicadores más claros de independencia funcional.

El consejo debe evaluar también la calidad de auditoría

La existencia de independencia no garantiza competencia. El consejo debe preguntarse si la función cuenta con capacidades, metodología y recursos suficientes.

Tecnología, análisis de datos, ciberseguridad, fraude y nuevos modelos de negocio requieren conocimientos diferentes de los utilizados tradicionalmente para revisar procesos financieros.

Puede recurrirse a especialistas externos cuando resulte necesario. La función debe evolucionar junto con los riesgos. También es conveniente evaluar periódicamente su desempeño. ¿El plan cubre riesgos materiales? ¿Los reportes son útiles? ¿Las recomendaciones producen mejoras? ¿Los hallazgos se comunican oportunamente?

Independencia para decir lo que necesita ser escuchado

Auditoría interna no debería medirse por el número de reportes emitidos ni por la cantidad de deficiencias encontradas. Su verdadero valor radica en proporcionar al consejo y a la administración una evaluación suficientemente objetiva sobre aquello que puede no estar funcionando como se espera.

Eso requiere conocimiento del negocio y una relación constructiva con quienes administran. Pero también exige una frontera clara: la búsqueda de una buena relación no puede convertirse en autocensura.

Auditoría interna es verdaderamente independiente cuando puede revisar a cualquier nivel de la organización, comunicar aquello que encuentre y saber que un hallazgo material llegará al órgano capaz de exigir su atención.

Su función no consiste en demostrar que la administración está equivocada ni en perseguir errores. Consiste en proporcionar aseguramiento y perspectiva sobre controles, riesgos y procesos, permitiendo que los problemas sean conocidos antes de convertirse en pérdidas, incumplimientos o crisis.

En esa capacidad para decir oportunamente lo que la organización necesita escuchar, aunque no sea aquello que desea escuchar, se encuentra la verdadera independencia funcional de auditoría interna.