CHECK LIST DE CONTROL INTERNO PARA REPORTE FINANCIERO – COSO III
Enviado por cristian_meri • 19 de Agosto de 2018 • Apuntes • 9.258 Palabras (38 Páginas) • 2.485 Visitas
CHECK LIST DE CONTROL INTERNO PARA REPORTE FINANCIERO – COSO III
Propósito:
Realizar una evaluación del control interno desde la perspectiva del Reporte Financiero, identificando riesgos y oportunidades de mejora que contribuyan en el fortalecimiento del control interno de la compañía.
Las actividades enunciadas no pretenden abarcar todas las situaciones. Es necesario que se realice un análisis y se determine la actividad desarrollada de acuerdo con la naturaleza del negocio y según los requerimientos de COSO.
Actividad | SI | NO | N/A | Observaciones |
Principio1: La organización demuestra compromiso con la integridad y los valores éticos. | ||||
La alta dirección refleja con su ejemplo su compromiso en el cumplimiento de los estándares de conducta establecidos. | x | |||
La alta dirección ha definido y divulgado los estándares de conducta esperados para la organización, para lo cual ha definido una estrategia de comunicación. | x | |||
Los estándares de conducta incluyen las expectativas legales y éticas asociadas con el Reporte Financiero y del negocio. | x | No se encuentran documentados | ||
Los estándares de conducta han sido incluidos en el Código de Ética de la organización. | x | No se encuentran documentados | ||
Los estándares de conducta permiten que los colaboradores puedan identificar comportamientos y acciones que van en contra de los mismos, y por tanto puedan tener criterios para cuestionar su aplicación y/o reportar situaciones anómalas. | C | Se dividen las tareas entre los tres socios y la utilidad al final del contrato se reparten en cantidades iguales, tipo de contratación es por prestación de servicios a terceros. | ||
Se tienen definido los niveles responsables de atender las preguntas de los colaboradores frente a la aplicación de los estándares. |
x | |||
La estrategia de comunicación se asegura que todos los niveles de la organización conocen las consecuencias que pueden traer la desviación y/o el incumplimiento de los estándares de conducta establecidos. | x | |||
Se cuenta con un plan de inducción y capacitación continua, tanto para colaboradores nuevos como antiguos sobre los estándares de conducta esperados y el Código de Ética. |
X | Se hacen capacitaciones en forma verbal, aun no encuentran documentados | ||
La organización desarrolla evaluaciones desempeño que permiten hacer un seguimiento al comportamiento de los colaboradores en la consecución de los objetivos. | x | La empresa hace evaluaciones de acuerdo al desempeño teniendo en cuenta el desarrollo de la actividad hasta la culminación de la misma | ||
Se cuenta con un plan de incentivos que promueva tanto el buen comportamiento como el reporte de acciones que van en contra de la conducta esperada, frente al logro de los objetivos. |
| x | Si se les tiene en cuenta y se incentiva al personal cuando realizan logros que benefician la empresa y cuando van en contra de la empresa se les sanciona | |
Los controles diseñados en la organización contribuyen en el cumplimiento de los estándares de conducta esperados. | x | Si se cumplen pero aún no se encuentran diseñados no están documentados se hacen en forma verbal. | ||
La alta dirección realiza de manera oportuna las investigaciones pertinentes frente a cualquier presunta inconsistencia con los estándares de conducta de la entidad. | x | Se tienen en cuenta los estándares de conducta y calidad a la hora de resolver cualquier inconsistencia que se presente. | ||
Toda desviación de los estándares de conducta confirmada genera una acción correctiva inmediata. | x | Si se ejercen de forma inmediata, para aplicar los correctivos que se amerite | ||
Los proveedores son evaluados antes de su vinculación, validando su buen nombre y comportamiento ético en el mercado. | x | Se tiene muy en cuenta, la solidez del proveedor, certificación comercial reconocimiento y gran capacidad de cumplimiento. | ||
En la evaluación de los proveedores se consideran las desviaciones de los indicadores de desempeño y revisiones analíticas internas de la información operativa y financiera, las cuales pueden ser indicador potencial de reporte financiero fraudulento o malas conductas. | x | Se hacen compras a empresas reconocidas y que cumplen con los requerimientos de ley, aunque no están reglamentada aun | ||
Se consideran los resultados de las evaluaciones continuas e independientes de control interno, para evaluar tanto a los colaboradores, proveedores y socios. | x | Aun no hay implementado un control interno (está en proceso de implementar) | ||
La organización considerar y analizar los hechos y tendencias de las líneas de reporte y ayudas que puedan indicar fraudes o aspectos éticos. | x | Se debe cumplir con los requerimientos de Ley | ||
La organización solicita retroalimentación de los encuentros llevados a cabo con los proveedores de servicios externos y socios cuando se obtenga información que impacte el control interno sobre el reporte financiero de la entidad. | x | Si se hace, pero aún no tenemos un sistema de control interno que esta por implementar. | ||
Las investigaciones realizadas frente a las conductas cuestionadas son realizadas por personal independiente al área y/o a la organización, según se requiera. | x | Se hace con el personal interno. | ||
Las investigaciones realizadas frente a las desviaciones, son priorizadas. | x | Por parte de la parte administrativa encargada de hacerlo, teniendo en cuenta la gravedad del caso. | ||
Frente a las desviaciones de los estándares de conducta presentados, la organización considera realizar:
|
X | |||
Principio 2: El consejo de administración demuestra independencia de la dirección y ejerce la supervisión del desempeño del sistema de control interno | ||||
Supervisión de la efectividad del control interno del reporte financiero externo, incluyendo la evaluación de riesgos, deficiencias significantes y las debilidades materiales, si las hay. | X | Los controles internos no se encuentran documentados, sin embargo se implementan controles empíricos. | ||
Evaluación de la administración de cualquier hecho significante, considerando el impacto potencial en el reporte financiero y la necesidad de acciones correctivas. | X | |||
Establecimiento de la comunicación formal con la administración de la función de auditoria interna para facilitar la discusión de cualquier situación. | X | |||
Calidad del reporte financiero y revelaciones. |
X | |||
Contratación y pago de auditor externo. |
X | |||
La junta directiva y el comité de auditoría supervisan el desempeño de la administración del control interno.
| X | |||
La junta directiva revisa y aprueba políticas y prácticas que apoyan el desempeño del control interno a través del negocio en encuentros regulares entre la administración y la junta. | X | |||
El comité de auditoría cumple con :
| ||||
La junta directiva periódicamente evalúa y confirma su habilidad colectiva para proporcionar supervisión efectiva. A través de revisiones independientes y autoevaluaciones, la junta determina lo adecuado de su composición, si tiene suficientes miembros independientes y con la apropiada experiencia. | X | |||
Para cumplir con los objetivos de reporte financiero externo de la entidad, la junta directiva identifica candidatos independientes de la administración y la entidad, y que tiene la experiencia en reporte financiero necesaria. | X | |||
Los procedimientos que aseguran el potencial de los miembros de la junta son:
| X | |||
La Junta Directica demuestra un adecuado nivel de escepticismo de los juicios y afirmaciones de la administración, que puedan afectar el reporte financiero, a través de preguntas de prueba. | ||||
El comité de auditoría solicita en particular aclaraciones y justificaciones de los procesos de la compañía a través de:
| ||||
El comité de auditoría se reúne regularmente con auditores internos y externos, y revisores independientes para revisar y discutir temas como:
| x | No se encuentran documentados | ||
El Comité de Auditoria considera la información obtenida de las denuncias de la compañía y programas antifraude, para monitorear los riesgos de errores en el reporte financiero, e incluye dentro de los riesgos actos inapropiados del personal y la administración en la omisión de controles. | X | |||
El comité de auditoría revisa cualquier denuncia y evalúa el análisis de la administración sobre cualquier hecho, su posible impacto en el reporte financiero y las acciones correctivas a tomar. | x | La empresa no tiene comité de auditoria internas es insipiente | ||
Principio 3: La dirección estable con la supervisión del consejo, las estructuras, líneas de reporte y los niveles de autoridad y responsabilidad apropiados para la consecución de los objetivos. | ||||
La Alta Dirección define los organigramas para documentar, comunicar y hacer cumplir con la responsabilidad orientada frente a los objetivos de reporte financiero de la entidad. | x | |||
El organigrama establecido en la organización tiene como objetivo:
| x |
| ||
La Junta Directiva plantea su autoridad de supervisión para el reporte financiero sobre la Alta Dirección a través de su reglamento. | x | |||
La administración considera el impacto en el ambiente de control y la importancia de la efectividad de la segregación de funciones, cuando se establecen autoridades y responsabilidades. | x | |||
Las políticas establecidas definen en cascada los niveles de autoridad, revisiones, y balances para autorizar transacciones contables, así como el reporte de los resultados financieros. | x | No se cuenta con aun con políticas establecidas, se trabaja con direccionamientos aun no reglamentados. | ||
La responsabilidad y autoridad asignada es limitada para equilibrar la necesidad del cumplimiento de los objetivos y los riesgos que pueden conducir a acciones y conductas inapropiadas. | x | |||
De acuerdo a los niveles de autoridad delegados, la administración mantiene la descripción de los trabajos para plantear las responsabilidades del reporte financiero, y actualizarlos cuando sea necesario. | x | |||
La administración proporciona la suficiente guía y dirección para asegurar que los empleados entiendan y reconozcan su responsabilidad para el control interno y la importancia de aplicar apropiadamente la diligencia y juicio de negocios cuando llevan a cabo sus responsabilidades y funciones. | x | Aunque en la actualidad no contamos con control interno reglamentado, se le suministra direccionamiento para que los empleados que los empleados entiendan sus responsabilidades. | ||
La Junta Directiva revisa las descripciones realizadas por la administración, relacionada con las posiciones clave de reporte financiero y considera como estas pueden fortalecer el control interno sobre el reporte financiero externo. | x | Haciendo énfasis que no contamos aun con un sistema de control interno. | ||
Para los proveedores de servicios externos, se establecen sus responsabilidades mediante acuerdos que especifican tiempos y calidad de los reportes financieros generados. | x | |||
La Junta Directiva delega en el Comité de Auditoría su rol de supervisor frente a la Función de Auditoría Interna, asegurando que el plan de auditoria interna proporciona una seguridad adecuada en la idoneidad del cubrimiento de las áreas clave de riesgo. | x | Que si bien no se tiene un plan de auditoria interna, la empresa si está de acuerdo con la implementación de la auditoria que se planea ejecutar y el personal interno se cuenta presto a colaborar para que ella se efectué | ||
Principio 4: La organización demuestra compromiso para atraer, desarrollar y retener a profesionales competentes, en alineación con los objetivos de la organización. | ||||
El Comité de Auditoria revisa y aprueba los requerimientos de competencia para todas las personas que desempeñen un papel clave en el reporte financiero y de auditoria interna. Los requerimientos están de acuerdo a las leyes y regulaciones pertinentes y la experiencia necesaria para aplicar las políticas y prácticas de la entidad relacionadas con el reporte financiero externo. | x | |||
La descripción de los cargos contiene todas las expectativas en cuanto a conocimiento, habilidades, experiencia, y títulos necesarios para llevar a cabo efectivamente las responsabilidades en cada puesto de trabajo. | x | En cuanto no se cuenta aún con personal administrativo numeroso, el personal que se contrata por prestación de servicios es calificado. | ||
El área de recursos humanos periódicamente actualiza las políticas y procedimientos de la compañía para atraer, capacitar, entrenar, evaluar y retener el personal idóneo. | x | |||
Las políticas y prácticas que representan los estándares de competencia de la entidad para los cargos en el reporte financiero son usadas como base para las actividades de recursos humanos y el cumplimiento de los empleados, teniendo en cuenta:
| x | |||
La identificación y realización de capacitaciones relacionadas a reportes financieros, son diseñadas de acuerdo a los parámetros de regulación, estándares emergentes de contabilidad y reporte, y dentro de la empresa en las áreas que requieren mejoramiento. | x | Si se tienen en cuenta ciertos parámetro estándares de contabilidad emitidos por la persona encargada de la parte contable, las cuales están en proceso de implementación | ||
Las capacitaciones son priorizadas según sea necesario en respuesta a los cambios tanto internos como externos de la organización. | x | |||
La administración identifica las habilidades y experiencia necesarias para apoyar los objetivos de reporte financiero externo de la entidad, para lo cual evalúa si tiene personal con la experiencia y capacidades o contrata terceras partes. | x | |||
La contratación de terceros se determina teniendo en cuenta su experiencia y habilidades, así como las políticas y estándares de la organización.
| x | Aunque no se cuenta con políticas establecidas si se siguen esos lineamientos | ||
Los contratos celebrados con terceros incluyen todos los requerimientos con relación a experiencia, habilidades y conocimiento, así como establece las bases para evaluar periódicamente el compromiso y competencia de sus servicios. | x | Se siguen los lineamientos indicados. | ||
Para los estándares de competencia y comportamiento esperados, la administración comunica las expectativas a través de políticas y prácticas, y evalúa la adherencia de los empleados a estas a través de:
| x | |||
La junta directiva utiliza los estándares de competencia y comportamiento esperados, para evaluar las competencias individuales de las posiciones relevantes en el reporte financiero como el director ejecutivo, director financiero y el director ejecutivo de auditoria. | x | |||
La alta dirección evalúa la capacidad del personal que registra y reporta la información, diseña y desarrolla los sistemas de reporte financiero que incluyen tecnologías de información. | x | |||
Identificación y desarrollo de candidatos alternativos para cargos de reporte financiero claves, para los cuales la administración define planes de sucesión para facilitar cualquier transacción futura y mitigación de riesgos de incumplimiento con los objetivos de reporte financiero. | x | |||
La junta directiva supervisa el plan de sucesión, para asegurar que la administración ha evaluado y manejado adecuadamente los riesgos asociados a dicho plan. | x | |||
Principio 5: La organización define las responsabilidades de las personas a nivel de control interno para la consecución de los objetivos. | ||||
La administración desarrolla las descripciones de varios puestos de trabajo para reforzar su responsabilidad para llevar a cabo el control interno sobre el reporte financiero externo. | x | |||
La junta directiva y la alta dirección mantienen una filosofía y estilo operativo que demuestra un gran compromiso para la ética, integridad y competencia. | x | |||
Periódicamente, el director ejecutivo y el director financiero, son responsables del control interno, por lo cual solicitan al personal dentro de la entidad la confirmación de la responsabilidad de sus actos. | x | |||
La alta dirección define las medidas de desempeño, incentivos y compensaciones, que deben estar:
| X X X X x | |||
La junta directiva y la administración evalúan periódicamente lo apropiado de las medidas de desempeño usadas para determinar si tienen una influencia prevista sobre cómo responde el personal a la presión, incentivos y compensaciones. Esta evaluación puede incluir:
| X x x x | |||
La junta directiva supervisa las evaluaciones periódicas para asegurar que se han completado y están alineadas a los objetos de la entidad y de esta manera aprobar los planes de compensación. | x | |||
La administración diseña sistemas de evaluación y compensación de objetivo para los empleados que proporcionan compensaciones periódicamente al personal o acciones disciplinarias, según sea el caso. | x | |||
Principio 6: La organización define los objetivos con suficiente claridad para permitir la identificación y evaluación de los riesgos relacionados. | ||||
La administración determina los objetivos relacionados a la preparación de los estados financieros, incluyendo revelaciones, e identifica las cifras relevantes de los estados financieros con base en el riesgo de la comisión material y declaraciones erróneas. | x | |||
La administración identifica para cada cuenta y revelación, aseveraciones relevantes, transacciones y eventos subyacentes, y procesos que soportan estas cuentas de los estados financieros | x | |||
la administración especifica objetivos de reporte financiero de alto nivel que establecen la base para todos los sub-objetivos | x | |||
La administración debe documentar que los objetivos son específicos, medibles, alcanzables, relevantes y time band (smart), así como debe evaluar si los objetivos son acordes a los principios de contabilidad según las circunstancias de la entidad. | x | |||
La administración debe evaluar la materialidad de las cuentas relevantes, considerando factores cualitativos y cuantitativos, para lo cual la administración considera factores como:
| X x | |||
La administración revisa publicaciones de cuerpos profesionales, para actualizarse en los pronunciamientos de contabilidad relevantes para el negocio. | x | |||
Periódicamente, la administración presenta al comité de auditoría un análisis de los cambios publicados o hechos emergentes que pueden impactar significativamente el reporte financiero. | x | |||
La administración, con la supervisión del comité de auditoría, considera el rango de actividades de la entidad para evaluar si todas las actividades materiales están registradas apropiadamente en los estados financieros. | x | |||
Principio 7: La organización identifica los riesgos para la consecución de sus objetivos en todos los niveles de la entidad y los analiza como base sobre la cual determinar cómo se deben gestionar. | ||||
La administración incluye un proceso de identificación de riesgos que identifica el riesgo de omisión material y error, y la probabilidad de la ocurrencia de riesgos en las aseveraciones relevantes de los estados financieros para cada cuenta y revelación importante. | x | Lo hace de manera incipiente. | ||
La administración considera los procesos y unidades del negocio que soportan las cuentas y revelaciones de los estados financieros, lo que incluye discusiones y reuniones con los líderes de cada proceso y unidad del negocio, así como también considera la identificación de los sistemas de tecnología de información que soportan dichos procesos del negocio y que son relevantes para los objetivos de reporte financiero externo. | x | Se presentan estos procesos o actividades en forma deficiente. | ||
La administración identifica los riesgos para el cumplimiento de los objetivos de reporte financiero, a través de la consideración de los factores relacionados a cada cuenta relevante de los estados financieros y aseveraciones asociadas. | x | . | ||
El proceso de identificación y análisis de riesgos considera tanto factores cuantitativos como cualitativos, teniendo en cuenta:
| X | |||
El personal financiero se reúne regularmente con:
| X | |||
La administración analiza la importancia de los riesgos identificados con base en la probabilidad de la ocurrencia del riesgo y el riesgo inherente de una omisión material y error para los objetivos de reporte financiero externo de la entidad, determinando el manejo del riesgo en un nivel tolerable. | X | |||
La administración considera factores externos que pueden impactar la habilidad para cumplir con los objetivos de reporte financiero, tales como:
| X | |||
La administración considera factores internos que puedan impactar la habilidad para el cumplimiento de los objetivos de reporte financiero, tales como:
| ||||
La administración considera varias respuestas a los riesgos (rechazo, aceptación, reducción, compartir) cuando evalúa si los riesgos son reducidos a un nivel aceptable. | X | Cuando sean representativos para la empresa o haya o presente materialidad. | ||
Principio 8: La organización considera la probabilidad de fraude al evaluar los riesgos para la consecución de los objetivos. | ||||
La administración conduce una evaluación integral de riesgo al fraude para identificar las diferentes maneras en las que los fraudes y mala conducta pueden ocurrir. En este proceso se considera:
| ||||
La administración considera como el personal podría sobrepasar los controles destinados a prevenir o detectar el fraude. El personal de la entidad podría sobrepasar controles intencionalmente de diferentes maneras, como:
| ||||
El director ejecutivo de auditoria incorpora los resultados de la evaluación del riesgo al fraude en el plan de auditoria interna. El director revisa y confirma que el plan de auditoria interna este dirigido hacia los riesgos relevantes. | ||||
La junta directiva y la administración revisan los programas de compensación y procesos de evaluación del desempeño para identificar los posibles incentivos y presiones para los empleados que los motiven a cometer fraude. Esta revisión considera como los encuentros o no, el reporte financiero, posibles impactos, una evaluación individual, compensación y empleo continuo. | ||||
Principio 9: La organización idéntica y evalúa los cambios que podrían afectar significativamente al sistema de control interno. | ||||
La administración desarrolla enfoques para observar cambios en el mercado externo y evalúa el posible impacto en las operaciones de la entidad y reporte financiero. Este proceso incluye la revisión de:
| ||||
Frente a la decisión de una nueva estrategia, la administración lleva a cabo una evaluación detallada de riesgos, para considerar como los cambios podrían impactar en el cumplimiento de todos los objetivos a través de la entidad. | ||||
Para el proceso de sucesión, la administración revisa los cambios planeados en las posiciones de administración y liderazgo, las actitudes y valores representadas por los titulares a estas posiciones, a través de entrevistas con el personal dentro de la entidad. | ||||
El comité de auditoría interroga candidatos para conocer su visión sobre la importancia del control interno y como se podría balancear la necesidad de un control interno efectivo y otras presiones para el desempeño y consideraciones de costos. Igualmente, considera las actitudes hacia el riesgo, tolerancia al riesgo, controles internos, el historial de los candidatos en el mantenimiento del control y administración efectiva de la presión para el desarrollo, dentro del perfil para identificar al candidato ideal | ||||
Principio 10: La organización define y desarrolla actividades de control que contribuyen a la mitigación de los riesgos hasta niveles aceptables para la consecución de los objetivos. | ||||
Una vez los riesgos han sido identificados y estructurados para las aseveraciones relevantes de los estados financieros, la administración determina los procesos del negocio relevantes y selecciona y desarrolla actividades de control para direccionar cada riesgo. | ||||
La administración involucra a las partes interesadas para identificar las actividades de control apropiadas, lo que incluye al personal responsable de los riesgos en sus áreas, personal financiero responsable del reporte financiero, y otros expertos de control como auditores internos y demás que tengan el conocimiento especializado. | ||||
Un grupo centralizado responsable del reporte financiero o actividades de control, periódicamente revisa las matrices de control de riesgos para ayudar a asegurar que los riesgos al reporte financiero de la entidad estén siendo direccionados adecuadamente. | ||||
La selección y desarrollo de actividades de control se lleva a cabo a través de varios métodos y puede incluir:
| ||||
La administración considera la segregación de responsabilidades y una mezcla de actividades de control para las transacciones y revisiones de los procesos del negocio, y de la misma manera considera el uso de controles automatizados siempre y cuando los sistemas lo permitan. | ||||
Los controles son complementados por actividades de control manual cuando los controles automatizados no estén disponibles. | ||||
La administración es la responsable de diseñar, implementar y llevar a cabo un sistema de control interno efectivo y eficiente, cuando contrata a terceras partes para el desarrollo de algunas de sus operaciones. | ||||
La administración obtiene un entendimiento claro de las actividades de la organización que son realizadas por terceros, y si estas pueden afectar o tener un impacto en las clases de transacciones, cuentas o revelaciones en los procesos de reporte de la compañía, para lo cual se consideran los siguientes factores:
| ||||
Cuando la organización determina que los procesos del tercero son relevantes para el control interno sobre el reporte financiero externo, la administración debe:
| ||||
La administración determina los procesos de negocio relevantes y selecciona y desarrolla actividades de control para direccionar cada riesgo. | ||||
La administración considera una combinación de actividades de control de transacciones y revisiones del desempeño del negocio, y en este proceso la administración considera la probabilidad de que un control falle y no opere efectivamente. En la evaluación del riesgo de falla la administración evalúa factores, tales como:
| ||||
La administración identifica incompatibilidades en las funciones que necesitan una segregación de responsabilidades apropiada. | ||||
Las políticas son regularmente actualizadas para reflejar los cambios en responsabilidades y actividades. | ||||
Las funciones incompatibles se consideran en el desarrollo o revisión de políticas para otorgar el acceso a activos y sistemas. | ||||
Las políticas son regularmente actualizadas para reflejar los cambios en responsabilidades y actividades. | ||||
Principio 11: La organización define y desarrolla actividades de control a nivel de entidad sobre la tecnología para apoyar la consecución de los objetivos. | ||||
La administración documenta la tecnología que apoya las actividades de control en riesgos y matrices de control, organigramas o descripciones. Con el uso de esta información, la administración puede documentar el vínculo entre las actividades de control y la tecnología. | ||||
La administración conoce cuáles aspectos de la tecnología son importantes para una operación apropiada y continua de la tecnología y cualquier control automatizado asociado. | ||||
La administración desarrolla un entendimiento de como varias aplicaciones y tecnología se interrelacionan con cada una. | ||||
La administración evalúa el riesgo de declaraciones erróneas, o de errores en los resultados de las aplicaciones de los usuarios finales. | ||||
Con base en los niveles de riesgo, la administración selecciona, y desarrolla actividades de control general sobre la tecnología cubriendo los procesos relevantes sobre:
| ||||
La administración contrata ciertos aspectos de su infraestructura de TI a un proveedor de servicios externos, el cual puede o no tener un reporte sobre los controles de la organización de servicio, siguiendo un estándar local o internacional apropiado. Si el reporte está disponible, la administración lo usa para determinar que procesos de TI financieros relevantes están cubiertos, así como válida si los controles apropiados están establecidos en el proveedor del servicio, y que controles se requieren en su propia organización para mitigar los riesgos al reporte financiero externo a un nivel aceptable. En caso de no existir un reporte apropiado, la administración usa recursos internos para revisar los controles del proveedor, verificando que la combinación de los controles de la compañía y los del proveedor mitigan los riesgos al reporte financiero externo a un nivel aceptable. | ||||
Las aplicaciones, bases de datos, sistema operativos y redes que apoyan financieramente los procesos significativos están configurados para apoyar el acceso restringido a las aplicaciones financieras y datos consistentes con las políticas y procedimientos de la organización. La configuración incluye un medio para autenticar usuarios o sistemas y apoyar el acceso restringido, así como parámetros clave, como contraseñas de mínima longitud y la antigüedad de las contraseñas. | ||||
La administración selecciona y desarrolla las actividades de control para que el proceso de transacciones estén completas, exactas y validas en tiempo real, así como se revisan manualmente y por medio de alertas automatizadas cuando presentan problemas. | ||||
La administración financiera establece políticas que definen derechos de acceso apropiados para ser consistentes con las funciones de trabajo, incluyendo la segregación de responsabilidades, para las aplicaciones y procesos financieros relevantes. | ||||
Los nuevos requerimientos de acceso o cambios a los accesos son revisados en relación a las políticas por el titular funcional de los recursos de TI. | ||||
El dueño de los recursos de TI recertifica periódicamente el acceso para asegurar que está de acuerdo con las políticas. | ||||
Los problemas en los reportes son revisados regularmente y las acciones correctivas son tomadas cuando los problemas son identificados. | ||||
La administración considera varios factores cuando selecciona nuevos paquetes de software, incluyendo funcionalidad, controles de aplicación, características de seguridad, y requerimientos de conversión de datos. | ||||
La administración utiliza recursos internos competentes o realiza la contratación de proveedores para implementar el software siguiendo los requerimientos de la organización. | ||||
La administración en el proceso de cambio de controles definido para implementar un sistema de actualizaciones o correcciones, incluye la evaluación de la naturaleza de la actualización o corrección y si este es apropiado para implementar. Si se considera apropiado es evaluado a nivel de sistema y usuario en un ambiente de pruebas, de tal forma que las partes interesadas determinan el cambio antes de su implementación. Se mantiene documentación para proporcionar la evidencia de que los cambios se han realizado. | ||||
La administración desarrolla un proceso para los sistemas (SDLC) que cubre el arreglo de problemas a mayor implementación. El ciclo de vida cubre un numero de procesos y actividades de control, que incluyen:
| ||||
Principio 12: La organización despliega las actividades de control a través de políticas que establecen las líneas generales del control interno y procedimientos que llevan dichas políticas. | ||||
La Administración desarrolla y documenta políticas y procedimientos para todas las actividades de control relacionadas con el Reporte Financiero Externo. | ||||
Los procedimientos son documentados usando varios formatos como narrativos, diagramas de flujo y matrices de control. La administración desarrolla un formato estandarizado para las políticas y procedimientos, el cual incluye:
| ||||
Las unidades de negocios o líderes funcionales implementan actividades de control en sus áreas de responsabilidad a través de la construcción de políticas y procedimientos entre las actividades del día a día de la organización. | ||||
Las políticas y procedimientos son comunicados a través de diferentes formas, incluyendo programas de capacitación, encuentros, y distribución de documentos formales e informales. | ||||
Los dueños de las actividades de control, en conjunto con los expertos en reporte financiero y control, revisan la documentación de las actividades de control para verificar su relevancia y cambios significativos. Los cambios se realizan cuando se encuentran actividades de control redundantes, obsoletas o inefectivas. | ||||
Principio 13: La organización obtiene o genera y utiliza información relevante y de calidad para apoyar el funcionamiento del control interno. | ||||
La Administración define categorías comunes y tipos de información que están alineadas con los objetivos de reporte financiero externo y riesgos relacionados. A partir de estas categorías, la Administración Financiera identifica la información relevante tanto de fuentes internas como externas, que se adecuen a las necesidades de la Administración. | ||||
La Administración crea un inventario de la información y esquematiza cada ítem para uno o más miembros de la Administración que tengan una posición en el Reporte Financiero Externo, asignando responsabilidades al personal para recolectar la información requerida. | ||||
Las fuentes de datos e información varían de acuerdo con los roles específicos y las responsabilidades de cada individuo. Las fuentes de información pueden incluir:
| ||||
El personal financiero evalúa la información externa recolectada y la incorporación de eventos, tendencias y cambios en el reporte financiero del día a día o en las responsabilidades de control interno relacionadas. Además, el personal financiero asegura que cualquier pronunciamiento acerca de los cambios para actualizar los estándares contables y los requerimientos regulatorios, estén resumidos, revisados y difundidos a otros dentro de la organización de reporte financiero. | ||||
El personal de la Alta Dirección contable y financiera se reúne por lo menos mensualmente con la Administración y el personal de otras áreas del negocio. Durante estas reuniones la información sobre los eventos y tendencias del negocio es obtenida de forma verbal y escrita. Los aspectos a revisar pueden incluir:
Toda esta información es organizada y resumida para ser presentada a la Alta Dirección para evaluar el impacto en los estados financieros, en la efectividad de los controles internos, o en los cambios necesarios en las políticas y procedimientos. | ||||
La Alta Administración establece una política para manejar la información que es recolectada, producida y compartida a través de la compañía. La política es diseñada para facilitar la captura eficiente, uso, y reutilización de la información relevante proporcionada a la Administración y al personal en la compañía. | ||||
La Administración y empleados en los roles de reporte financiero externo siguen procedimientos para la identificación y categorización de la información. Estos procedimientos requieren que los atributos de cada pieza de información sean registrados antes de que la información sea aceptada en el almacén. Los atributos pueden incluir:
Toda esta información es organizada y resumida para ser presentada a la alta dirección para evaluar el impacto en los estados financieros, en la efectividad de los controles internos, o en los cambios necesarios en las políticas y procedimientos. | ||||
La administración diseña sus aplicaciones de cómputo para capturar datos de fuentes internas y externas, transformar los datos a información, y mantener la calidad de los datos y la información a través del procesamiento y reporte. | ||||
Las actividades relacionadas con la captura y el procesamiento de datos acerca de las transacciones financieras son documentadas en las políticas y procedimientos de la compañía. | ||||
El diseño de la aplicación incluye controles de aplicación automatizados como las revisiones de entradas para la existencia y validez, y las revisiones de salidas para la completitud y la exactitud. | ||||
La Alta Dirección establece un programa de gobierno de datos para apoyar los objetivos de la compañía asegurando la confiabilidad de la información usada en el soporte de controles internos y de Reporte Financiero Externo. | ||||
La Alta Dirección establece un programa de gobierno de datos para apoyar los objetivos de la compañía asegurando la confiabilidad de la información usada en el soporte de controles internos y de Reporte Financiero Externo. | ||||
El programa de gobierno de datos incluye procedimientos y políticas para:
| ||||
La Alta Dirección formaliza políticas, procedimientos y responsabilidades para los datos e información de la Administración, considerando el volumen, complejidad y demanda de las capturas rápidas y diseminación de fuentes múltiples. | ||||
La Alta Dirección de TI establece políticas para definir categorías de datos y asignar requerimientos para la seguridad y retención de los datos. Estas políticas apoyan las responsabilidades de la Administración y los empleados de la protección de la información de accesos o cambios no autorizados, y para cumplir con los requerimientos de retención y destrucción de datos. | ||||
El Alto Administrador de datos desarrolla procesos para llevar a cabo la política de clasificación de datos. | ||||
Los requerimientos de clasificación de datos son comunicados al personal responsable del procesamiento de transacciones a través de notificaciones periódicas sobre las responsabilidades importantes de control interno. | ||||
Principio 14: La organización comunica la información internamente, incluidos los objetivos y responsabilidades que son necesarios para apoyar el funcionamiento del sistema de control interno. | ||||
La Alta Administración comunica la información sobre los objetivos de reporte financiero de la entidad, requerimientos de control financiero, y políticas y procedimientos de control interno, y cómo estas apoyan las responsabilidades individuales a través de varios canales de comunicación | ||||
La documentación de control interno relacionada con los procesos y sistemas del negocio financiero significativo son guardados en un almacén compartido, al cual pueden acceder la Administración y el personal responsable del Reporte Financiero Externo. Este almacén contiene:
| ||||
El Departamento de Auditoría Interna revisa la información del almacén, como parte de las evaluaciones continuas e independientes. | ||||
Las actualizaciones de controles específicos son comunicadas tanto al desarrollador de controles como al revisor. | ||||
La Junta Directiva establece un reglamento que define los lineamientos para compartir la información con la Junta Directiva, las responsabilidades para las comunicaciones, y el método de comunicación. Algunos lineamientos son:
| ||||
El Director Financiero y el personal de apoyo presentan la información financiera en las reuniones y comités de la Junta Directiva, proporcionando un análisis de los resultados comparados con las expectativas, incluyendo actualizaciones en los pronósticos y mayores cambios en los presupuestos originales, y comunica otros hechos relevantes para el reporte financiero. | ||||
El Director Ejecutivo, el Director Financiero y el Director Ejecutivo de Auditoría presentan el borrador de los estados financieros externos, eventos materiales, cambios significativos en las estimaciones o afirmaciones, y nuevas revelaciones. El auditor externo también asiste a la reunión para presentar su punto de vista sobre los estados financieros. | ||||
Cada trimestre el Director Financiero y el Director Ejecutivo de Auditoría presentan un resumen de los cambios importantes en control interno, resultados de las evaluaciones, y las acciones en respuesta a cualquier desviación identificada. | ||||
El Comité de Auditoría se reúne con la Administración y los auditores externos para compartir la información sensible, y presentar cuestionamientos para facilitar las responsabilidades de cada parte en relación con el control interno. | ||||
La Administración y la Junta Directiva establecen un programa de denuncia anónima para que los empleados tengan una línea directa para comunicar hechos, instancias o asuntos de malas conductas relacionadas con el reporte financiero externo. Para dar a conocer el programa de denuncia a los empleados, se utilizan diferentes formas de comunicación, como publicaciones en cartelera, notificaciones, entre otros. El programa permite que los empleados presenten sus denuncias anónimamente, asegurando una comunicación confidencial | ||||
Los asuntos reportados en el programa de denuncias son evaluados por una parte objetiva y comunicados a la Junta Directiva o a un encargado apropiado, según sea el caso, para tomar las acciones necesarias | ||||
La Administración proporciona una alternativa para el reporte a un Director de línea. Esta alternativa incluye:
| ||||
La Administración desarrolla procesos de comunicación y foros multifuncionales y departamentales que permiten que el personal comunique asuntos de control interno a través de la entidad. | ||||
Representantes de cada departamento han definido roles y responsabilidades para la comunicación de asuntos de control interno a través de estos procesos y foros. El equipo se reúne periódicamente para discutir asuntos, tendencias y eventos futuros que puedan impactar los controles internos. La Administración y el personal pertinente evalúan y responden al impacto de estos asuntos y hechos. | ||||
Principio 15: La organización se comunica con los grupos de interés externos sobre los aspectos clave que afectan al funcionamiento del control interno. | ||||
La Administración considera todas las partes externas relevantes que solicitan información del control interno sobre el Reporte Financiero Externo de la compañía. El Comité de revelaciones de la compañía ha establecido un proceso para evaluar los eventos, políticas, y actividades de la compañía que impactan las partes externas que son importantes para los objetivos de la entidad. | ||||
El Comité de revelaciones determina la información que puede ser compartida con las partes externas, la cual puede incluir:
| ||||
La Administración encuesta a los clientes y vendedores acerca de su percepción de la integridad y valores éticos del personal de la compañía. Estas encuestas proporcionan un canal de comunicación para los clientes de la compañía, e información importante acerca de los compromisos con los clientes. Estas encuestas se pueden llevar a cabo de diferentes formas:
| ||||
La Administración proporciona una línea de denuncias anónima a los clientes, proveedores, y compañías contratadas y demás partes externas, para facilitar el reporte y retroalimentación sobre asuntos relevantes. La línea es comunicada a través de diferentes medios como la página de internet de la compañía o comunicaciones directas con las partes externas. | ||||
De acuerdo con las revisiones del auditor externo de la información financiera y las evaluaciones de la efectividad de control interno, la Administración recibe un reporte de los asuntos significativos identificados. La Junta Directiva se reúne con la Administración y Auditoría Externa para discutir estos asuntos, donde Auditoría Externa los presenta y la Administración propone las posibles acciones a tomar. | ||||
Principio 16: La organización selecciona, desarrolla y realiza evaluaciones continuas y/o independientes para determinar si los componentes del sistema de control interno están presentes y en funcionamiento. | ||||
La Alta Dirección se reúne periódicamente para revisar las asignaciones de esfuerzos entre las evaluaciones continuas e independientes usadas para llevar a cabo actividades de monitoreo. La combinación de actividades de monitoreo sobre el control interno y el Reporte Financiero Externo depende de las evaluaciones de la administración de:
| ||||
La Alta Dirección desarrolla un punto de referencia para el entendimiento del diseño y estado actual del Sistema de Control Interno de la entidad, a través de:
La Administración utiliza este punto de referencia para establecer cuáles evaluaciones continuas e independientes son más apropiadas. | ||||
La Administración identifica las métricas que correlacionan la completitud y exactitud de las transacciones financieras para proporcionar las evaluaciones continuas de las actividades de control establecidas. De esta manera, la Administración considera los procesos que deben ser monitoreados y desarrolla las medidas y frecuencia apropiadas para la evaluación. | ||||
La Administración desarrolla e implementa cuadros de mando para que los revisores los usen en sus actividades diarias. Estos cuadros pueden incluir:
| ||||
La Administración utiliza la tecnología para apoyar el monitoreo del sistema de control interno en el curso ordinario del negocio, a través de aplicaciones de monitoreo automatizadas. | ||||
La Administración lleva a cabo evaluaciones independientes del control interno sobre el Reporte Financiero Externo teniendo en cuenta:
| ||||
La Administración cuenta con personal apropiado y capacitado para las funciones de auditoría interna, y para proporcionar una perspectiva objetiva de los elementos de control interno sobre el Reporte Financiero Externo. | ||||
Los reportes de la auditoría interna son entregados a la Alta Dirección, a la Junta Directiva, y a las demás partes pertinentes. | ||||
La Administración obtiene y revisa periódicamente la información de los proveedores de servicios externos para identificar cualquier cambio en las actividades que puedan afectar el control interno sobre el Reporte Financiero Externo de la entidad. | ||||
Principio 17: La organización evalúa y comunica las deficiencias de control interno de forma oportuna a las partes responsables de aplicar medidas correctivas, incluyendo la alta dirección y el consejo, según corresponda. | ||||
La Administración desarrolla políticas y prácticas para evaluar periódicamente y comunicar los resultados de las actividades de monitoreo de la entidad | ||||
La Administración ha establecido que todas las deficiencias deben ser reportadas al personal responsable para tomar las acciones correctivas. Las deficiencias deben ser clasificadas para dar una respuesta oportuna a cada una. | ||||
La Administración establece prácticas para revisar el estado de las acciones correctivas tomadas para verificar que las deficiencias han sido remediadas oportunamente. | ||||
La Junta Directiva desarrolla expectativas con la Alta Dirección sobre los tipos de deficiencias en los controles que han sido reportadas a la Junta. La Junta analiza cada deficiencia y supervisa las acciones desarrolladas por la Administración para remediar dichas deficiencias. |
...