El proceso de emisión de los Informes sobre los Exámenes de Auditoría

1. Objetivos

Comunicar:

• El proceso de emisión de los Informes sobre los Exámenes de Auditoría y de la correspondiente respuesta por parte de las unidades auditadas.
• Los calificativos que se asignarán como resultado de los exámenes de evaluación efectuados por la Gerencia de División Auditoría.
• Que los calificativos emitidos por la Gerencia de División Auditoría, serán tomados en consideración para las evaluaciones de los responsables de las Gerencias de División, Gerencias de Área, Gerencias, Subgerencias o Unidades examinadas.
• Que las Unidades de Auditoría Interna o UAI (conforme es definida por la Resolución SBS 11699-2008 y otras normas aplicables) de Credicorp y sus subsidiarias y afiliadas, reconocen la naturaleza obligatoria de la Definición de Auditoría Interna, el Código de Ética y las Normas del Marco Internacional para la Práctica Profesional (“MIPP”) de la Auditoría Interna del Instituto de Auditores Internos Global (“IIA” por sus siglas en inglés), y también tendrán en cuenta sus  Guías de Implementación / Consejos para la Práctica, así como los documentos de Posicionamiento y Guías Prácticas regularmente publicadas por el IIA. Asimismo, el BCP ha incorporado el cumplimiento del “Marco Global de Competencias de Auditoría Interna 2014” definido por el IIA.

2. Alcance

Corporación Credicorp Limited y subsidiarias y afiliadas.

3. De los Exámenes de Auditoría

1. De la Reunión Preliminar

La Jefatura de la Gerencia de División y/o las Jefaturas de las Gerencias que integran la Gerencia de División, presentarán a la unidad auditada y/o dueño/ owner / responsable del proceso auditado (en adelante indistintamente “unidad auditada”), el equipo de trabajo designado para desarrollar el Examen de Auditoría, un resumen del objetivo principal y los objetivos secundarios, el alcance de trabajo, los principales aspectos metodológicos, los recursos necesarios y el tiempo estimado para realizar el trabajo.

La unidad auditada prestará su colaboración para el desarrollo de las funciones encargadas al equipo de trabajo.

1. De la Reunión Final

Al finalizar la visita de Auditoría, se convocará a una reunión de trabajo con los responsables de la unidad auditada, para exponer los resultados de la misma.

Concluida la reunión de trabajo, la Jefatura de la unidad auditada, podrá solicitar una copia de las principales observaciones del resultado de la visita.

La unidad auditada, si lo considerara pertinente, podrá alcanzar a la Gerencia de División Auditoría en un plazo no mayor de 5 días útiles posteriores a la reunión de trabajo, sus comentarios a las observaciones para ser incluidas en el Informe.

4. De la Emisión de los Informes de Auditoría

Antes de la emisión del Informe sobre el resultado del Examen de Auditoría, se remitirá a la unidad auditada el Borrador del Informe, para que, en un plazo no mayor de 3 días útiles, alcance su conformidad o sus comentarios finales. Transcurrido los 3 días útiles y de no haber recibido la conformidad o los comentarios finales, se asumirá la conformidad respectiva.

La Gerencia de División Auditoría emitirá el Informe sobre el resultado del Examen de Auditoría en un plazo no mayor a 30 días desde la entrega del Borrador de Informe por parte del Jefe de Equipo al Supervisor.

El Informe incluirá en forma detallada los objetivos y alcance del trabajo así como el resultado del examen, todas las observaciones y deficiencias administrativas, financieras y operacionales detectadas durante el Examen de Auditoría, así como las recomendaciones y aspectos de mejora encontrados durante el trabajo de campo, y los planes de acción para superarlas; en concordancia con la Norma 2410 del IIA.

El contenido general de los Informes de Auditoría será el siguiente:

• Objetivo del examen
• Información relevante
• Resultado del examen
• Resultados de los principales controles evaluados
• Gerencias responsables
• Alcance del trabajo realizado y procedimientos aplicados
• Riesgos y controles evaluados en la presente auditoria, se detallan en el Anexo A.
• Aspectos del Control Interno conforme a la metodología  COSO (Committee Of Sponsoring Organizations of the Treadway Commission) o COBIT (Control Objectives for Information and related Technology) según corresponda, se detallan en el Anexo B.
• Seguimiento de observaciones y oportunidades de mejora de años anteriores, se detallan en Anexo C.
• Observaciones y sus recomendaciones
• Oportunidades de mejora

Asimismo, si durante el trabajo de auditoría se encuentra una deficiencia, falta de control o error de diseño que pone en riesgo inminente y sustancial el resultado de las actividades de la unidad y/o proceso auditado, el auditor responsable deberá informar de este hecho inmediatamente al Gerente de la División de Auditoría para tomar las acciones correctivas necesarias. Entre estas acciones se encuentran, sin carácter limitativo, informar al jefe de la unidad o proceso auditado y/o a su línea de reporte directo, informar a la Gerencia General, informar al Presidente del Comité de Auditoría.

1. Valoraciones dadas a los hallazgos/ observaciones

Las deficiencias u observaciones pueden ser de riesgo residual crítico, alto, relevante, moderado o bajo y ellas se identifican como tal en la relación de las observaciones del informe. El riesgo residual es una combinación del impacto, la frecuencia y la efectividad de los controles.

Impacto: extensión de la pérdida ocasionada, del desgaste de la imagen de la Compañía, de la reducción de sus negocios, de su rentabilidad y liquidez y de su valor patrimonial o de mercado, provocado por un evento determinado, no siempre sensible de medición financiera, y está subdividido en las siguientes categorías:

[pic 1]

[pic 2]

Frecuencia: dice respecto a la probabilidad de ocurrencia de cierto evento de riesgo, considerando la frecuencia de ejecución de la actividad en la cual está insertada, en un determinado espacio de tiempo (hora, día, semana, mes y año), y está subdividida en las siguientes categorías:

[pic 3]

El Riesgo Inherente es el resultado del producto del impacto y la frecuencia a las que el riesgo está asociado, independientemente de los aspectos a los cuáles el Banco tiene implementados para su mitigación como son: procesos, ambiente de control, estructura organizacional, tecnología, entre otros.

...