Este documento resume el Marco para el Gerenciamiento del Riesgo Empresarial (ERM) recientemente desarrollado por COSO. El marco busca proveer una definición común y un proceso comprensivo para identificar, medir, priorizar y responder a los riesgos a nivel empresarial. El marco enfatiza la importancia de gerenciar los riesgos desde una perspectiva integral de la empresa y de portafolio de riesgos. Además, vincula el ERM con el Marco Integral de Control Interno de COSO de 1992 para asegurar que ambos

1. AREA AUDITORIA VIII
8111-1
PRIMERAQUINCENA-ENERO2004
ACTUALIDAD EMPRESARIAL | N° 54
I
N
F
O
R
M
E
E
S
P
E
C
I
A
L
C
O
N
T
E
N
I
D
O
INFORME ESPECIAL
Trayendo ERM dentro del Foco de Análisis ...................................................................................................................... VIII-1
DEFINICIONES
Tipos de Auditorías .................................................................................................................................................................................... VIII-4
VIIIAREA AUDITORIA
Trayendo ERM dentro del Foco de Análisis
cación y análisis de riesgo desde una pers-
pectiva amplia e integral en la compañía.
Ha estado circulando como un concepto
de negocios por muchos años. Aunque
muchas organizaciones son conocedoras
de ERM, pocas tienen una clara figura de
exactamente como vincular los procesos.
Aun más, pocas poseen un plan sólido
para implementar ERM dentro de sus or-
ganizaciones. The Committee of
Sponsoring Organizations of the
Treadway Commission (COSO) procura
cambiar todo esto. La Asamblea venera-
ble, compuesta por The American
Accounting Association, Financial
Executives International, The Institute of
Internal Auditors y the Institute of
Management Accountants, espera aliviar
alguna de estas ambigüedades alrede-
dor del riesgo con su último estudio,
Enterprise Risk Management Framework
- ERM («Marco para el
gerenciamiento del riesgo empre-
sarial»).
«Aunque mucha gente esté hablando
acerca de riesgos, no hay una definición
comúnmente aceptada del
gerenciamiento de riesgos y un marco
comprensivo diseñado de cómo el pro-
ceso debería trabajar, haciendo la comu-
nicación del riesgo a lo largo de los miem-
bros del directorio y gerencia difícil y frus-
trante», menciona John J. Flaherty, presi-
dente de COSO y auditor general retira-
do de la PepsiCo Inc. «La junta de COSO
siente que esta situación era similar a la
que existía antes de la publicación del
Internal Control Integrated Framework
(Marco Integral del Control Interno). En
su momento este estudio ayudó a conse-
guir que todos cantaran de la misma hoja
de canciones cuando se traía a discusión
el tema de control interno, nuestra meta
es que el ERM Framework (Marco para el
gerenciamiento de riesgos) ofrezca al di-
rectorio y la gerencia un modelo común-
mente aceptado para la discusión y eva-
luación de los esfuerzos de
gerenciamiento de riesgos en una orga-
nización».
La iniciativa empieza a inicios del 2001,
cuando COSO comisionó a un grupo de
profesores de la Universidad de Virginia
para determinar si (o no) un marco de
gerenciamiento de riesgos aun era nece-
sario. «Nosotros no deseamos perder el
tiempo inventando la rueda» , decía
Flaherty. «Después de mucho estudio li-
terario, el equipo, el cual estaba compues-
to de expertos en el área de
gerenciamiento de riesgos, regresó y con-
firmó que una guía clara era realmente
necesaria para ayudar a las organizacio-
nes a construir programas efectivos para
identificar, medir, priorizar y responder
ante el riesgo».
Una vez que esta necesidad fue identifi-
cada, COSO convocó a su Concilio de
Consejeros de Proyectos con representan-
tes de sus cincos organizaciones miem-
bros y contrató a PricewaterhouseCoopers
para escribir el documento marco. Un
borrador fue publicado para comentario
público en julio 2003, con una versión
final del marco que será publicada en el
primer trimestre del año 2004.
Una Necesidad identificada
En un grado amplio, el trabajo de COSO
es una respuesta al estado de necesida-
des del directorio y la gerencia senior. Es
difícil, sino imposible, para la mayoría de
las organizaciones gastar los recursos re-
queridos para desarrollar su propio pro-
ceso de ERM desde el inicio. «En esta época
y año de organizaciones tambaleantes y
medianas, la mayoría lucha solo para
acompañar sus actividades del día a día,».
Flaherty dice, «ellos simplemente no tie-
nen el tiempo, talento, energía, o dinero
para emprender tal masivo proyecto so-
bre ellos.»
Aun más, El mandato de ERM es claro. En
las encuestas a los miembros del directo-
rio y comités de auditoría, el riesgo cor-
porativo y el riesgo de gobierno
consistentemente encabezan la lista de
preocupaciones. En adición, los recientes
encabezados de negocios han hecho de
conocimiento cuan peligroso es vigilar o
ignorar los riesgos potenciales. «Algunos
eventos han acontecido en recientes años,
y nosotros hemos venido a percibir que
no podemos considerar el riesgo en un
mismo silo más» , dijo Andrew Jackson,
un miembro del Concilio de Consejeros
de Proyectos para COSO y asistente del
auditor general en Motors Corp. «Lo que
nosotros estamos viendo es que ustedes
tienen que considerar al riesgo a lo largo
de la empresa, y ustedes observar las
interdependencias entre esos riesgos. De
otra manera, el gerenciamiento de ries-
gos no es efectivo».
Muchas organizaciones están solo pro-
curando construir información sobre ries-
go dentro del proceso de toma de deci-
siones en sus fronteras. «Esto es espe-
cialmente verdadero cuando se trata de
la distribución de capital,» Jackson men-
ciona. «Para compañías que procuran
proveer valor, el racionalizar capital des-
de un punto de vista retorno-riesgo es
crecientemente importante. Pero, para
hacer esto, los líderes senior y el directo-
rio necesitan mas información amplia de
la empresa, incluyendo la medida de ries-
gos a lo largo de la entidad».
RESPONDIENDO AL LLAMADO
ERM, como diseño por el Marco COSO,
esta bien ordenado para responder a es-
tas necesidades. Por ejemplo, el marco
enfatiza en la importancia de identificar y
gerenciar los riesgos a lo largo de la em-
presa desde una perspectiva de portafo-
lio. Muchas organizaciones desarrollan
el gerenciamiento de riesgos dentro de
cada subdivisión, pero parte de la visión
total de ERM es que el riesgo que ocurre
en la subunidad y en subniveles de la
entidad son agregados y vistas desde lo
alto como un portafolio total de riesgos.
«Esto es importante por muchas razo-
nes,» dice Douglas F. Pratwitt, miembro
del Concilio de Consejeros de Proyectos
para COSO y profesor asociado a la Uni-
versidad Brigham Young. « Algunas ve-
ces podrían haber riesgos que magnifican
a otro sobre el cual tu deseas conocer».
En otros tiempos podrían haber riesgos
en diferentes unidades que se compen-
sen con otros. Como resultado, la orga-
nización podría estar mas o menos de-
seosa para permitir a una subunidad to-
mar un nivel de riesgo, porque otros as-
pectos dentro una parte diferente de la
organización podría mitigarlo o
magnificarlo. Es también importante de-
sarrollar una respuesta integral para los
riesgos, de suerte que, la mano derecha
no conozca lo que la parte izquierda esté
haciendo».
En adición, el marco toma en considera-
ción las oportunidades estratégicas fre-
cuentemente asociadas con el riesgo,
mientras al mismo tiempo define clara-
mente al riesgo como una ocurrencia
negativa. Haciendo esto, el marco clarifi-
ca sobre su marcha un debate acerca de
la definición de riesgos.
«Responsabilidades y conocimientos in-
dividuales dentro de una organización
realmente direccionan la definición indi-
vidual de riesgos,» Jackson menciona. Si
tu hablas a un líder de una unidad de
negocios quien ha generado ganancias
para la compañía, el o ella podrían ver el
riesgo como una oportunidad. Sin em-
bargo, si tu hablas con los auditores o
C.P.C. Armando Villacorta Cavero
Miembro de la Comisión Técnica de Auditoría de la Asociación Interamerica de Contabilidad (AIC)
Past-presidente del Comité de Auditoría del Colegio de Contadores Públicos de Lima
E
nterprise Risk Management –ERM
(gerenciamiento de riesgos empre-
sariales), es el proceso de identifi-

2. VIII
8111-2 INSTITUTO DE INVESTIGACIÓN EL PACÍFICO
PRIMERAQUINCENA-ENERO2004
INFORMEESPECIAL
tesoreros, ellos probablemente vean ries-
gos de exposición desde su lado que ellos
necesitan gerenciar. Como resultado, ha
habido una tendencia por insistir en que
ninguna definición de riesgos incluye tan-
to la idea de oportunidad y adversidad.
El marco, sin embargo, no pretende que
el riesgo sea positivo o negativo. En lugar
de ello, el riesgo es claramente definido
como « la probabilidad de que un evento
ocurra y afecte adversamente el logro de
los objetivos.» El marco cubre la parte
positiva del riesgo urgiendo a la gerencia
a identificar todos los eventos potencia-
les que podrían afectar la habilidad de la
organización para implementar con éxito
su estrategia y el logro de sus objetivos.
Aquellos eventos con consecuencias po-
tenciales negativas representan riesgos a
ser direccionados a través de los procesos
de gerenciamiento de riesgos. Aquellos
eventos que podrían tener resultados
positivos, sin embargo, son definidos
como oportunidades, las cuales el marco
indica deberían reprocesarse dentro de la
estrategia de la organización y en el pro-
ceso del establecimiento de objetivos.
Respecto a los eventos potenciales que
podrían tener un resultado positivo o
negativo, el marco soporta a ambos indi-
viduos, los que ven una amenaza o aque-
llos que ven una oportunidad y también
a aquellos que están dedicados a gerenciar
los aspectos internos.» Prawitt dice.» To-
davía, mantiene su enfoque sobre el ries-
go como un proceso para gerenciar los
posibles resultados negativos y sus im-
pactos. Eso es importante, porque si tu
tratas de poner juntos a un marco que
incorpore los aspectos positivos y negati-
vos en la definición de riesgos, la discu-
sión de gerenciamiento de riesgos caería
pesado. Adicionalmente, no se ajusta
realmente con la concepción de mucha
gente de lo que constituye el riesgo.
RIESGO Y CONTROL
Una clave fuerte de el marco, al menos a
los ojos del directorio de COSO y el Con-
cilio de Consejeros de Proyectos, es que
este incorpora, mas que reemplaza, el es-
tudio COSO de 1992, Marco Integral de
Control Interno. « Muchas organizacio-
nes han adoptado el marco COSO, varios
estándares de auditoría confían en este
marco, y vemos como los reportes de con-
trol interno requeridos bajo Sarbanes-
Oxley están fuertemente basados sobre
el modelo de Control Interno COSO,»
anota Prawitt. « Entonces fue absoluta-
mente crítico que el nuevo marco de ries-
gos no minara el reciente trabajo de
COSO».
En adición, no toda organización está
buscando implementar ERM. «dado el
tamaño y la naturaleza de ciertas compa-
ñías, podría no ser de costo/beneficio
migrar a un proceso de ERM», Jackson
menciona, « Ellos pueden, sin embargo,
aun asegurar al directorio y accionistas
que el ambiente de control es efectivo,
porque es posible tener un ambiente de
control efectivo sin un modelo de
gerenciamiento de riesgos empresariales.
El modelo de control original necesita ser
mantenido intacto para servir a aquellas
organizaciones.
El marco de ERM-COSO es sin embargo
lo suficientemente extenso para ser am-
pliamente aceptado como un punto de
referencia común todavía aun ligado den-
tro del modelo de Control Interno COSO.
En vez de simplemente construir ERM
dentro del componente de evaluación de
riesgos del modelo de control – un movi-
miento que fue visto como un acercamien-
to y limitación – el equipo de proyecto
decidió construir el marco ERM alrededor
del modelo de control existente. El nuevo
modelo ERM contiene ocho componen-
tes: ambiente interno, establecimiento de
objetivos, identificación de eventos, eva-
luación de riesgos, respuesta al riesgo,
actividades de control, información y co-
municación, y supervisión.
No obstante que cinco de los ocho com-
ponentes fueron tomados desde el Mar-
co Integral de Control Interno, el marco
ERM es sin embargo muy diferente. El
autor Pricewaterhousecoopers estima
que el 60% del nuevo documento es res-
catado desde el primer trabajo de COSO.
Pero, porque el riesgo es mas un tópico
complementario (acompañante) que un
control interno, la discusión resultante
encontrada en el nuevo marco es mucho
más comprensible que su predecesor.
«Nosotros vimos al marco de ERM como
una turbo-carga o una versión lujosa de
la versión del Marco Integral de Control
Interno», Jackson explicó. «el marco ERM
incluye no solo tres componentes adicio-
nales ( establecimiento de objetivos, iden-
tificación de eventos y respuesta al ries-
go), sino que también los cinco tomados
del modelo de control son mas extensos
en sus descripciones y en términos de
guías prácticas».
USANDO EL MARCO
El directorio de COSO y el Concilio de
Consejeros de Proyectos ven al producto
final ERM como una herramienta extre-
madamente útil para el directorio y la
gerencia senior. A nivel organizativo, por
ejemplo, el marco es diseñado para:
• Ayudar a la gerencia a alinear sus ape-
titos de riesgo y estrategias.
• Hacer al apetito de riesgo de la orga-
nización explícito y asegurar que el
alineamiento existe entre los riesgos
que actualmente están siendo toma-
dos y el nivel de riesgos deseados por
la organización.
• Asegurar que las decisiones de res-
puestas al riesgo efectivas están sien-
do hechas.
La clave para la utilidad del marco en es-
tas áreas será una guía de aplicación prác-
tica mas detallada, la cual se espera acom-
pañe la versión final del marco a mas tar-
dar en el primer trimestre de este año.
El uso del marco es también esperado
para mejorar los esfuerzos de auditoría
interna. Además, el marco llama a los ge-
rentes de las unidades de negocios, fun-
ciones, o de algún nivel de procesos a
desarrollar sus propias evaluaciones com-
puestas de riesgos de sus áreas. «Los au-
ditores internos desearán comparar sus
propias evaluaciones de riesgos de una
área con aquellos desarrollados por la
gerencia del área para ver si deberían rea-
lizar ajustes a su plan de auditoría,»
Jackson comenta. «En algunas instancias,
los auditores internos podrían evitar re-
dundancia realizando pruebas sobre la
evaluación del gerenciamiento de riesgos
de un área que es digna de confianza, y
entonces basar su trabajo de auditoria
sobre el trabajo realizado por dicha área,
en vez de desarrollarlo sobre su propia
evaluación de riesgos del área.»
El desarrollo de una amplia entidad de
portafolio de riesgos, la cual es la piedra
angular de cualquier programa ERM, de-
bería también ayudar al auditor interno.
«Si la gerencia ha compilado buena infor-
mación en términos de una amplia pers-
pectiva de la entidad, podría alterar la vi-
sión del auditor del último impacto o ex-
posición de un tema a un nivel de proce-
so o funcional,» dice Jackson. «Un reto
que es consistentemente hecho al Direc-
tor Ejecutivo de Auditoría por la gerencia
senior, el comité de auditoría, y el directo-
rio es explicar que significa un hallazgo
de auditoría para ellos – poner un tema
en el contexto de la organización entera.
En el pasado, ha sido muy difícil para los
auditores proveer esa perspectiva amplia
y entera. Nosotros tradicionalmente lo
buscamos en actividades y funciones in-
dependientes, haciendo difícil ver la
interrelación de riesgos a lo largo de toda
la entidad. Con ERM, el equipo de
auditoría puede poner mas de sus hallaz-
gos de auditoría dentro del contexto de
riesgos a lo largo de la organización vin-
culando sus resultados de auditoría con
una evaluación de riesgos mas amplia a
nivel de la entidad.»
Desde una amplia perspectiva, el marco
es esperado para ser una herramienta útil
que los directorios y otros accionistas
puedan usar para medir cuan bien sus
equipos gerenciales están manejando los
riesgos que ellos enfrentan. «La pregun-
ta, tenemos un programa de
gerenciamiento de riesgos establecido en
nuestra organización? esta siendo escu-
chada mas y mas,» Flaherty dice. « Este
marco puede ser útil para responder a la
pregunta, evaluando la organización fren-
te a los principios diseñados en el docu-
mento y luego usando esa evaluación para
comunicar al directorio y otros accionis-
tas que hay realmente un programa efec-
tivo para identificar, medir, priorizar y res-
ponder al riesgo.
LIMITACIONES

3. AREA AUDITORIA VIII
8111-3
PRIMERAQUINCENA-ENERO2004
ACTUALIDAD EMPRESARIAL | N° 54
Aquellos envueltos con el proyecto son
cuidadosos en apuntar que ni ERM ni su
marco son una panacea. « No importa
cuan bien este diseñada y opere, ERM, no
puede asegurar el éxito a una organiza-
ción o garantizar el logro de sus objeti-
vos,» Jackson comenta con prudencia, «
No provee de la bala de plata proverbial
contra los malos juicios y las fallas huma-
nas.»
Esto quiere decir, que mucho cuidado se
ha estado tomando para asegurar que el
marco es tan robusto y efectivo como es
posible. «El Concilio de Consejeros com-
prende personas de diferentes experien-
cias (académicos, auditores internos, con-
tadores, gerentes de finanzas y propieta-
rios de empresas), cada uno de los cuales
trae una cierta perspectiva y fortalezas a
la mesa,» dice Jackson. «Ha sido increíble
ver la sinergia entre esta mixtura de gen-
te en la sala.»
COSO también espera que la exposición
del marco a los comentarios públicos
ayuden a validar su fuerza y poder. « No-
sotros no estamos suficientemente sa-
tisfechos para pensar que tenemos todas
las respuestas,» Flaherty dice, «El riesgo
es tal vez un tópico tan importante que
nosotros deseamos conseguir la mayor
información que podamos, y desde tan-
tas personas como podamos.»
«Es un reto obtener el consenso desde
todos los elementos,» Jackson dice, «Pero
al final, esto de dar y tomar se hace para
obtener un mejor producto.»
Definición de ERM
De acuerdo al nuevo marco COSO,
enterprise risk management - ERM
(gerenciamiento de los riesgos empresa-
riales) es un proceso, que afecta a la junta
de directores de una entidad, la gerencia
y otro personal, que es aplicado en el es-
tablecimiento de la estrategia y a lo largo
de toda la empresa. Su meta es proveer
seguridad razonable relacionada con el
logro de los objetivos organizacionales
para identificando eventos que podrían
afectar a la entidad y el gerenciamiento
de riesgos dentro del apetito de riesgos
de la entidad.
El marco divide los objetivos
organizacionales en cuatro categorías: (1)
objetivos estratégicos, los cuales son re-
lativas a metas de alto nivel, alineados
con y soportados por la misión de la enti-
dad, (2) objetivos operacionales, el cual
se relaciona al eficiente y efectivo uso de
los recursos de la entidad, (3) objetivos
de reportes, los cuales se relacionan a la
confiabilidad de todos los reportes de la
entidad para partes internas o externas, y
(4) objetivos de cumplimiento, los cuales
se relacionan al cumplimiento por parte
de la entidad de las leyes y regulaciones.
Cuando el ERM es efectivo, de acuerdo al
marco, la junta de directores y la gerencia
tienen razonable seguridad de que ellos
entienden la dimensión en la cual la enti-
dad esta logrando los objetivos estraté-
gicos y operativos, son preparados repor-
tes efectivos internos y externos, y se cum-
plen con leyes y regulaciones aplicables.
El marco diseñado presenta algunos ele-
mentos claves que lo caracterizan. Por
ejemplo, estados en que ERM:
• Toma nota de las interrelaciones e
interdependencias a lo largo de los
riesgos.
• Ofrece habilidades mejoradas para
gerenciar riesgos dentro y a lo largo
de las unidades de negocios.
• Mejora la capacidad de la organiza-
ción para identificar y capturar opor-
tunidades inherentes en eventos fu-
turos.
• Considera a los riesgos en la formu-
lación de su estrategia.
• Aplica el gerenciamiento de riesgos
en cada nivel y unidad de una enti-
dad.
• Facilita la comunicación al proveer un
lenguaje de riesgos común.
• Toma una visión de portafolio de los
riesgos a través de la empresa.
En adición a establecer una definición
básica de ERM, el marco identifica todos
los componentes que deberían presen-
tarse en el programa de gerenciamiento
de riesgos y describe como estos debe-
rían ser coordinados parar asegurar la
efectividad del programa. Hay una rela-
ción directa entre las cuatro categorías
de objetivos, los cuales representan los
esfuerzos de una entidad por alcanzar-
los, y los componentes, los cuales repre-
sentan que es necesario para alcanzar los
objetivos. Los ocho componentes son:
Ambiente interno - el ambiente interno
refleja en una entidad la filosofía e in-
fluencia del riesgo y la conciencia de con-
trol de su gente. La gerencia formula una
filosofía para gerenciar el riesgo, para fa-
cilitar al personal de la entidad un enten-
dimiento de cómo gerenciar el riesgo. La
gerencia establece la relación a lo largo
de ERM, desempeños y valores, integran-
do a ERM con las iniciativas relacionadas,
las formas de los deseos de la cultura de
riesgos, y el establecimiento de los apeti-
tos de riesgos de la organización.
Establecimiento de objetivos - la mi-
sión de la entidad establecida en un am-
plio término de lo que la entidad aspira a
lograr. Desde este punto, la gerencia es-
tablece sus objetivos estratégicos, formu-
la su estrategia, y establece objetivos re-
lacionados. Los objetivos estratégicos re-
flejan la elección de la gerencia de cómo
la entidad procura crear valor. Para
focalizarnos primero sobre los objetivos
estratégicos y la estrategia, una entidad
es posicionada para desarrollar objetivos
relacionados a los niveles operacionales,
el cumplimiento de los cuales creará y
preservará su valor.
Identificación de eventos – la gerencia
identifica eventos potenciales que afec-
tan la habilidad de la entidad para
implementar exitosamente su estrategia
y lograr sus objetivos. Aquellos eventos
que pueden tener un efecto positivo re-
presentan oportunidades, los cuales la
entidad los canaliza hacia su estrategia y
el proceso de establecimiento de objeti-
vos. Los eventos con potenciales impac-
tos negativos representan riesgos, los
cuales la entidad debe direccionar a tra-
vés de sus procesos de gerenciamiento
de riesgos. La gerencia debe considerar
el contexto dentro del cual la entidad
opera y determinar su tolerancia al ries-
go. También debe considerar la variedad
de factores internos y externos que
influencian para que aquellos eventos
puedan ocurrir, incluyendo el ambiente
de competencia, tendencias, fuerzas so-
ciales y económicas, capacidad de los
empleados, y los niveles del proceso de
automatización.
Evaluación de riesgos – la evaluación
de riesgos permite a una entidad consi-
derar como los eventos potenciales po-
drían afectar el logro de sus objetivos. La
evaluación de la gerencia de los eventos
desde dos perspectivas – probabilidad e
impacto, usando una combinación de
métodos cuantitativos y cualitativos. Hay
usualmente un rango de resultados po-
sibles asociados con un evento poten-
cial, y la gerencia considera estas posibili-
dades una base para desarrollar una res-
puesta al riesgo. A través de la evaluación
del riesgo, la gerencia considera las con-
secuencias positivas y negativas de los
eventos potenciales, individualmente o
por categorías, a lo largo de la entidad.
Respuesta al riesgo - la gerencia identi-
fica opciones de respuestas al riesgo y
considera sus efectos sobre la probabili-
dad e impacto de los eventos, en relación
a la tolerancia al riesgo y el costo versus el
beneficio. Las respuestas al riesgo inclu-
yen evitar, reducir, compartir y aceptar el
riesgo. La evaluación de las respuestas al
riesgo y la seguridad de que una respuesta
al riesgo es seleccionada e implementada
es un componente integral de ERM; sin
embargo, la selección por parte de la ge-
rencia de una respuesta particular no lo
es. La efectividad de ERM no significa que
la mejor respuesta fue seleccionada, solo
que la respuesta seleccionada se espera
que traiga al impacto y la probabilidad
dentro de los apetitos de riesgo de la
entidad.
Actividades de control – las actividades
de control son los procedimientos y polí-
ticas que ayudan a asegurar que las res-
puestas al riesgo apropiadas sean ejecu-
tadas. Las actividades de control ocurren
a través de la organización, en todos lo
niveles, y en todas las funciones. Ellos
incluyen un rango de actividades tales
como aprobaciones, autorizaciones, veri-
ficaciones, reconciliaciones, revisión de
desempeño de operaciones, salvaguarda

4. VIII
8111-4 INSTITUTO DE INVESTIGACIÓN EL PACÍFICO
PRIMERAQUINCENA-ENERO2004
de activos y segregación de funciones.
Información y comunicación – la perti-
nente información de fuentes internas y
externas deben ser identificadas, captu-
radas y comunicadas dentro de una for-
ma y marco de tiempo que permita al
personal llevar a cabo sus responsabili-
dades. La comunicación efectiva también
ocurre en un amplio sentido, fluyendo de
abajo hacia arriba, a lo largo y desde arri-
ba de la entidad. En adición, la comunica-
ción efectiva y el intercambio de informa-
ción relevante ocurre a lo largo de partes
externas, tales como clientes, proveedo-
res, entidades reguladoras y accionistas.
Supervisión – ERM es supervisado – un
proceso que evalúa a la vez la presencia y
funcionalidad de sus componentes, tan-
to como la calidad de su desempeño en
el tiempo.
Una evaluación en marcha o una supervi-
sión separada aseguran que ERM es apli-
cado en todos los niveles y a lo largo de la
entidad.
De acuerdo al Marco ERM puede ser juz-
gado efectivo cuando los ocho compo-
nentes están presentes y funcionando
correctamente. En adición, el marco ERM
reclama que el concepto básico diseñado
debe estar presente en cada entidad, sin
descuidar su tamaño. A pesar de que en
algunas pequeñas y medianas organiza-
ciones podrían implementar factores
componentes diferentes que en una com-
pañía grande, ellos pueden mantener
efectivo el ERM.
Hoy en día, con la evolución experimentada por el
hombre en muchos campos, especialmente en la
tecnología, las comunicaciones y en la forma de
hacernegocios,laAuditoría,aligualqueotrascien-
cias, debió especializarse, diferenciándose enton-
ces en el objetivo de su quehacer.
Así tenemos hoy la Auditoría de Estados Financie-
ros (tradicional), Auditoría Tributaria, Auditoría
Computacional ( Auditoría Informática, Auditoría
alasTecnologíasdelaInformaciónyotrosnombre
similares ), Auditoría Operativa u Operacional,
Auditoría de Gestión, y otras. Podemos tener los
siguientes tipos:
AuditoríadeCumplimiento
Es la comprobación o examen de operaciones fi-
nancieras, administrativas, económicas y de otra
índole de una entidad para establecer que se han
realizadoconformealasnormaslegales,reglamen-
tarias y de procedimientos que le son aplicables.
Esta auditoría se practica mediante la revisión de
documentosquesoportanlegal,técnica,financie-
ra y contablemente las operaciones para determi-
nar si los procedimientos utilizados y las medidas
decontrolinternoestándeacuerdoconlasnormas
que le son aplicables y si dichos procedimientos
están operando de manera efectiva y son adecua-
dos para el logro de los objetivos de la entidad.
AuditoríaAdministrativa
Eselrevisaryevaluarsilosmétodos,sistemasypro-
cedimientos que se siguen en todas las faces del
procesoadministrativoaseguranelcumplimientode
políticas,planes,programas,leyesyreglasquepue-
dantenerunimpactosignificativoenoperaciónde
losreportesyasegurarquelaorganizaciónlosesté
cumpliendoyrespetando.Eselexamenmetódicoy
ordenado de los objetivos de una empresa de su
estructuraorgánicaydelautilizacióndelelemento
humanoafindeinformarloshechosinvestigados.Su
importanciaradicaenelhechodequeproporciona
alosejecutivosdeunaorganizaciónunpanorama
sobre la forma que esta siendo administrada esta
labor por los diferentes niveles jerárquicos y
operativos, señalando aciertos y desviaciones de
aquellasáreascuyosproblemasadministrativosde-
tectadosexigenunamayoroprontaatención.
Auditoría de gestión operativa u operacional,
auditoríaintegral
Es el examen integral de la gestión de un Ente o
Empresa (o de una parte de ellos) con el propósito
deevaluarlaeficienciadelosresultados,tomando
en cuenta para ello:
• Las metas y objetivos fijados.
• Losrecursoshumanos,financierosymateriales
empleados.
• La organización y coordinación de dichos re-
cursos y los controles establecidos.
Para:
• determinar los defectos y proponer mejoras
• determinar las causas de los desvíos y propo-
ner correcciones
• determinar el origen de los problemas y pro-
ponersoluciones.
Todoellosetraduceenuninformedondesesumi-
nistranlasrecomendaciones,elprofesionalpresta-
rá la colaboración necesaria para alcanzar ese fin.
La Auditoría Operativa o integral es un examen in-
tegral de una empresa o de una parte de ella, en
todos sus aspectos y en todos sus niveles, para es-
tablecer los defectos existentes e indicar mejoras.
Es el examen integral de la gestión de un ente, en
todossusaspectosyentodossusniveles.tomando
enconsideraciónloselementoshumanos,materia-
les y económicos utilizados, la organización de los
mismos y los controles establecidos, para lograr
alcanzar las metas y objetivos con economía, efi-
ciencia y eficacia.
La acción busca determinar los defectos y propo-
ner mejoras, establecer las causas de los desvíos y
proponer correcciones, encontrar el origen de los
problemasyproponersoluciones.
AuditoríaAmbiental
La creciente necesidad de controlar el impacto
ambiental que generan las actividades humanas,
haprovocadoqueenmuchossectoresindustriales
se produzca un incremento de la sensibilización
respecto al medio ambiente. Debido a esto, las
empresas para asegurar el cumplimiento legislati-
vo han dado paso a nuevos sistemas de gestión
medioambientales que permiten estructurar e in-
tegrar todos los aspectos involucrados en sus pro-
cesos productivos, coordinando los esfuerzos que
se realizan para lograr los objetivos planificados.
Es entonces necesario analizar y conocer en todo
momentolosfactoresdecontaminaciónquegene-
ran las actividades de la empresa, y por este mo-
tivoseránecesarioquedentrodelequipohumano
se disponga de personas calificadas para evaluar
el posible impacto negativo en el medio ambiente
y la sociedad. La aplicación permanente del con-
cepto mejora continua, es un referente que en el
campomedioambientaltieneunaincidenciaprác-
tica constante, y por este motivo la revisión de to-
doslosaspectosrelacionadosconlaminimización
del impacto ambiental tiene que ser una acción
realizada sin interrupción.
AuditoríaInformática
Funciónqueconsisteenlarevisióndelaseguridad
y control de los sistemas de información en una
organización,efectuadamedianteunametodolo-
gía de trabajo y ejecutada por un profesional.
Es el examen y validación de los controles y proce-
dimientos utilizados por el área de informática, a
fin de verificar que los objetivos de continuidad de
servicio, confidencialidad, seguridad de la infor-
mática y la integridad y coherencia de la informa-
ción se estén cumpliendo satisfactoriamente y de
acuerdoalanormativavigente(internayexterna).
Hoy, la importancia creciente de las telecomunica-
ciones ha llevado a que las comunicaciones, líneas
y redes de instalaciones informáticas, se auditen
por separado, aunque formen parte del entorno
general de sistemas de información. Su finalidad
es examinar y analizar los procedimientos admi-
nistrativos y los sistemas de control interno de la
empresa auditada. Al finalizar el trabajo realiza-
do, los auditores exponen en su informe aquellos
puntos débiles que hayan podido detectar, así
comolasrecomendacionessobreloscambioscon-
venientes a introducir al interior de la empresa.
Normalmente, las empresas funcionan con políti-
casgenerales,perohayprocedimientosymétodos,
que son más operativos y, por lo tanto, se podrían
realizar las sugerencias propuestas por los audito-
res.
AuditoríaFinanciera
• Estas tienen como objetivo por parte del audi-
tor conocer con certeza cual es la situación fi-
nancierarealdelaempresaauditada.Paraello
el auditor ejecuta un exhaustivo análisis sobre
los estados financieros y las notas aclaratorias
quelosacompañan,preparadosporlaempre-
sa a auditar en relación con las operaciones
efectuadas durante un periodo determinado.
• Esunprocesocuyoresultadofinaleslaemisión
de un informe, en el que el auditor da a cono-
cer su opinión sobre la situación financiera de
la empresa, este proceso solo es posible llevar-
lo a cabo a través de un elemento llamado evi-
dencia de auditoría, ya que el auditor hace su
trabajo posterior a las operaciones de la em-
presa.
• Revisióndelosestadosfinancierosconbaseen
las normas internacionales de auditoría (NIAs)
o las normas de auditoría generalmente acep-
tadas (NAGAS), con objeto de emitir una opi-
nión independiente sobre la razonabilidad de
las cifras presentadas en dichos estados finan-
cieros,complementandoconunestudioyeva-
luación del control interno de las empresas.
AuditoríaTributaria
Control crítico y sistemático, que usa un conjunto
de técnicas y procedimientos destinados a verifi-
car el cumplimiento de las obligaciones formales
y sustanciales de los contribuyentes. Se efectúa
teniendo en cuenta las normas tributarias vigen-
tes en el periodo a fiscalizar y los principios de
contabilidad generalmente aceptados, para es-
tablecer una conciliación entre los aspectos le-
gales y contables y así determinar la base
imponible y los tributos que afectan al contribu-
yente auditado.
Tipos de Auditorías
INFORMEESPECIAL
Edited by Foxit Reader
Copyright(C) by Foxit Software Company,2005-2008
For Evaluation Only.