Consideraciones de Auditoría Interna en respuesta al COVID-19 

Navegar por el cambio: un desafío sin precedentes 

Tras el brote del nuevo coronavirus, las organizaciones, su forma de trabajar y el entorno en el que operan están evolucionando rápidamente y de una manera no prevista. Este documento describe la perspectiva de alto nivel de Deloitte sobre ciertas consideraciones clave de Auditoría Interna (AI), dada la escala masiva en la interrupción de los negocios causada por el COVID-19. 

La auditoría interna, como tercera línea de defensa, está en una posición única para desempeñar un papel clave en la respuesta a la crisis del COVID-19, esto partiendo de un correcto conocimiento organizacional y con un conjunto de habilidades muy relevantes. A medida que las organizaciones se adaptan para hacer frente al impacto inicial del COVID-19, las funciones de AI tienen un papel importante que desempeñar para seguir proporcionando un aseguramiento crítico, ayudar a asesorar a la Dirección y al máximo órgano de gobierno (Consejo/Directorio/ Junta Directiva) sobre el cambiante panorama de riesgos y los controles, así como a anticipar los riesgos emergentes. 

Es probable que los planes que las organizaciones están poniendo en marcha para contener y responder al brote se mantengan durante un periodo de tiempo. Como AI, debemos estar preparados para adaptarnos a este periodo y a esta “nueva normalidad” de manera sostenible. Las situaciones de cada país difieren enormemente y están cambiando rápida y dramáticamente, por lo que es imperativo que las funciones de AI se mantengan atentas a los anuncios gubernamentales y reglamentarios, así como a seguir las respuestas organizativas coordinadas centralizadamente al diseñar el trabajo específico de AI. 

A medida que la pandemia COVID-19 continúa, las comunidades de Directores Ejecutivos de Auditoría (DEA) y Jefes de Auditoría Interna (JAI) están considerando nuevas ideas y, para contribuir con ellas, hemos establecido una serie de consideraciones clave, junto con las posibles respuestas. Las consideraciones se agrupan de la siguiente manera: 

El rol de Auditoría Interna. 

Desafíos para Auditoría Interna.

Áreas de riesgos emergentes que Auditoría Interna debe considerar 

Es importante que Auditoría Interna sea proactiva y esté preparada, sin dejar de ser pragmática, a medida que la situación siga evolucionando. Por ello, el contenido de este documento no debe considerarse completo o definitivo. Nuestra intención es contribuir a estas consideraciones, a medida que el entorno se modifique con el paso de las semanas. 

El rol de Auditoría Interna 

1. ¿Cómo recalibra AI su enfoque para la planificación de auditorías cíclicas y la cobertura del riesgo? Considere la posibilidad de adoptar un enfoque de gestión ágil del portafolio, por ejemplo, la planificación ágil de la auditoría. Adopte una priorización a corto plazo, así como revisiones/actualizaciones periódicas del Plan de Auditoría, para reflejar el ritmo cambiante de las necesidades de riesgo y aseguramiento. 

1. ¿Cómo ajusta AI su cobertura para asegurar que toma una consideración pragmática y equilibrada del riesgo? El objetivo principal de AI es centrarse en las cosas que realmente importan, proporcionar un mayor nivel de aseguramiento y aportar conocimiento. Debido al cambiante panorama de riesgos, es imperativo que AI colabore con las partes interesadas clave para comprender cualquier riesgo nuevo y/o que presente aumento, y evaluar la mejor manera de apoyar para proveer. Esto debería incluir al Comité de Auditoría cuando proceda. 

También es necesario, en este momento, que AI interactúe con otras partes relevantes interesadas, como la Auditoría Externa (la cual podría tratar de basarse en la labor planificada de AI que pueda estar afectada) y los reguladores (porque los cambios en la cobertura planificada de AI pueden ser de su interés). 

1. ¿Cómo AI lleva a cabo sus actividades de aseguramiento continuo sin interrumpir las áreas operativas críticas en un momento de crisis? Las funciones de Auditoría Interna deberán considerar lo siguiente: 

1. 1. El trabajo a distancia para realizar la auditoría y su impacto, si lo hay, en la evaluación del entorno de control que se está considerando, así como en los aspectos prácticos sobre cómo debe llevarse a cabo la auditoría. Durante las reuniones virtuales de planificación, lo aconsejable es comprender el nivel de documentación electrónica disponible y solicitar pruebas, en la medida de lo posible con antelación, para que la Dirección tenga tiempo de digitalizar los documentos físicos cuando sea necesario. 
   2. Identificar, para cada revisión, a todas las partes interesadas clave y comprender su disponibilidad durante las fechas planificadas de trabajo de campo. Siempre que sea posible, programen tiempo con las personas para realizar recorridos a distancia (talk-throughs), actualizaciones de progreso y discusiones sobre los hallazgos que vayan surgiendo. 
   3. Adoptar y/o aumentar el uso de nuevas tecnologías para realizar el trabajo, como Microsoft Teams, Zoom o Skype para reuniones/talleres virtuales. Tengan en cuenta la posibilidad de grabar esas interacciones para mejorar la evidencia de AI (aclarando de antemano con quienes se están grabando y teniendo en cuenta las leyes específicas de cada país). 
   4. Acelerar la implementación de analíticas para ofrecer trabajo de AI de forma remota, aumentar la cobertura, concentrarse en los valores atípicos y reducir la interrupción al negocio, sin dejar de proporcionar resultados y aseguramiento de valor. 

• ¿Debería AI trabajar más estrechamente con otras áreas que proveen aseguramiento para reducir la interrupción del negocio? En estos momentos de reducción de la gestión y el ancho de banda organizacional, las funciones de AI deben buscar oportunidades para reducir la superposición con otras áreas que proveen aseguramiento, incluida la Auditoría Externa, Cumplimiento y Gestión de Riesgos Empresariales. Siempre que sea posible, interactúen con dichas áreas de aseguramiento para comprender el alcance de su trabajo, cobertura y profundidad de las pruebas que se realizarán, a fin de identificar y progresar en las oportunidades de colaboración y asistencia. 

1. ¿Cómo puede AI evitar el desarrollo de una gran parte de su plan más adelante en el año, cuando la capacidad estará bajo presión? Como complemento de esto, ¿cómo puede AI involucrarse más ahora, mientras tiene tiempo? Las funciones de AI deberán considerar lo siguiente: 

1. Si el trabajo se puede realizar de forma remota, aprovechando la tecnología disponible y, si es necesario, acordar la modificación o reducción del trabajo. Si se requieren reuniones presenciales, ejecuten la parte de trabajo remoto ahora y tengan las reuniones presenciales más adelante, cuando el distanciamiento social lo permita. 

1. Den prioridad a proporcionar aseguramiento sobre las áreas de riesgo emergentes (por ejemplo, análisis de escenarios, modelado de liquidez o creación de un centro de inteligencia para rastrear en datos abiertos, y alertar sobre problemas emergentes en las organizaciones, cambios en las políticas gubernamentales o cambios en los comportamientos de los clientes). En la sección 3 se examinan las posibles áreas de riesgo nuevas y emergentes. 
2. Cuando sea necesario, cancelen y/o aplacen el trabajo, discutan con el máximo órgano de gobierno (Consejo/Directorio/Junta Directiva) y acuerden formalmente con el Comité de Auditoría si los recursos de AI pueden ser reutilizados para apoyar los proyectos, las actividades críticas o las iniciativas, incluida la respuesta de la organización al COVID-19. Esto puede incluir lo siguiente: 
   1. Apoyo a la primera línea: consideren el conjunto de habilidades disponibles en los equipos de AI, como análisis, gestión de proyectos, experiencia financiera y conocimiento de sistemas y operaciones comerciales globales. 
   2. Revisión a la preparación: revisión a los planes de contingencia y/o planes de pandemia. 
   3. Revisión de la respuesta (si se activa): evaluación de la estructuración de la respuesta de la organización y si el enfoque está en línea con las buenas prácticas, abarcando todas las áreas clave de riesgo. 
   4. Planificación de escenarios: revisión de la exposición al riesgo de la organización frente a la curva de la pandemia y ayuda en el desarrollo de un plan de acción (por ejemplo, trabajar a través de decisiones por adelantado). 
   5. Ensayo: facilitar ejercicios de escritorio para comprobar el enfoque de la organización y trabajar a través de escenarios de incidentes clave. 
   6. Presentación de informes en tiempo real: la supervisión de métricas clave para procesos que están actualmente bajo tensión. 
   7. Traslados: individuos trasladados, como apoyo a la primera línea, para mantener las actividades críticas en marcha. 

1. ¿Las funciones de AI pueden proporcionar una voz objetiva y un aseguramiento en tiempo real a los equipos que necesitan tomar decisiones rápidamente? ¿Cómo AI puede ayudar a la organización a mirar hacia adelante? Las funciones de AI deberán considerar lo siguiente: 

1. 1. Asistir a grupos de dirección de proyectos y proporcionar una voz independiente y objetiva para desafiar el pensamiento de la Gerencia sobre el riesgo. 
   2. Criticar el diseño de controles nuevos y/o modificados antes de su aplicación, como resultado de un entorno de trabajo cambiante. 
   3. Cuestionar la necesidad de realizar informes largos y lentos, ya que las funciones de AI pueden adoptar mecanismos ágiles de presentación de informes que proporcionen información con prontitud. 
   4. Anticiparse – La lente de riesgo de AI nunca ha sido más importante, ya que desempeña un papel clave en el escaneo del horizonte, complementando la primera y segunda línea en la identificación de posibles áreas de riesgo derivadas del impacto inmediato en los negocios, lo que incluye riesgos financieros; diferentes comportamientos laborales; interacciones remotas con los clientes; y un impulso hacia un mayor entorno digital. 

• ¿Cuándo AI debe comprometerse con las partes interesadas ampliadas, incluidos los reguladores y los comités de auditoría, para aclarar cómo puede agregar valor/acordar cambios al plan de AI? Es imprescindible que AI se comprometa cuanto antes tanto con el Comité de Auditoría como con otras partes interesadas, como los reguladores, para ayudar a las funciones de AI a comprender sus perspectivas y prioridades clave. Las discusiones tempranas ayudarán a los equipos a conocer cualquier trabajo crítico requerido y si hay riesgos nuevos y/o elevados que necesitan incorporarse al plan anual de AI. Deberán acordarse las áreas de interés revisadas por AI. 

1. ¿Qué impacto genera aplazar o remodelar la labor no esencial de AI, en términos de que cumpla con sus requisitos reglamentarios/estatutarios, así como con la capacidad de los DEA para formular observaciones sobre los entornos de control? Este aspecto debe ser guiado por el Comité de Auditoría, incluyendo las funciones de los directores, para proporcionar la supervisión necesaria, el nivel de actividad requerido y determinar si el tipo de aseguramiento o enfoque adoptado por AI podría ajustarse para cumplir con los mandatos requeridos. Ejemplos de esto incluirían un aseguramiento limitado vs. un aseguramiento razonable. 

Es importante tener en cuenta aquello que se ha y no se ha considerado a lo largo del año (o, incluso, dentro de una revisión de auditoría específica) y adoptar un enfoque de limitación del alcance cuando sea necesario. Al presentar los informes, se deberá incluir claramente lo siguiente: 

1. 1. Alcance, limitaciones y contexto. 
   2. Temas importantes y lecciones destacadas (por ejemplo, menor nivel de control como resultado de “x”, “y” o “z”). 
   3. Las causas fundamentales claramente comunicadas, para permitir que las organizaciones surjan con más fuerza. 

1. ¿Cómo podría una brecha en la cobertura afectar la capacidad de los comités de auditoría para cumplir con los requisitos de presentación de informes anuales sobre controles internos? En algunos sectores, como en el sector público, podría ser necesaria una opinión anual sobre los controles internos o el ambiente de control. En tales circunstancias en las que el trabajo de AI puede reducirse, será importante tener claro lo que se ha considerado y lo que no se ha considerado en la cobertura del trabajo a lo largo del año, y adoptar un enfoque de limitación del alcance cuando sea necesario. 

Sin embargo, las organizaciones deberán mantenerse al tanto de las opiniones y comentarios del regulador, a medida que la situación siga evolucionando. Reguladores, como la Comisión de Bolsa y Valores de los Estados Unidos (SEC, por sus siglas en inglés) y el Consejo de Información Financiera del Reino Unido (FRC, por sus siglas en inglés) han estado emitiendo orientación a las empresas y auditores externos, pero estamos observando algunas distensiones de los requisitos existentes de presentación de información, junto con algunas orientaciones que surgen de los organismos reguladores en cuanto a cómo deben aplicarse las normas contables. En este momento, es difícil predecir qué otros cambios pueden producirse en los requisitos de presentación de informes financieros externos y de contabilidad, en particular teniendo en cuenta los efectos operacionales, económicos y de otro tipo del COVID-19, que probablemente se prolongarán en el tiempo, así como otras flexibilizaciones que puedan concederse. 

10. ¿Pueden los miembros de la función AI apoyar a los equipos de respuesta o formar parte de ellos ante la crisis? Si bien en muchas organizaciones no se espera que las funciones de AI formen parte de la respuesta inmediata, AI deberá desempeñar un papel clave, “mirando hacia adelante”, dentro del equipo. Las actividades clave podrían incluir: 

1. Proporcionar conocimientos organizacionales objetivos y valiosos. 
2. Asegurar que se realicen y registren los ejercicios de lecciones aprendidas. 
3. Utilizar su amplio conocimiento del negocio para ayudar a garantizar que las áreas de riesgo clave u otras consideraciones hayan sido identificadas por los equipos de respuesta a crisis. 

Desafíos para Auditoría Interna 

1. ¿Cómo las funciones de AI deben mantener al personal motivado y apoyado mientras trabaja en entornos remotos? Es vital que todos los equipos permanezcan conectados durante estos tiempos difíciles. Los líderes de AI deberán considerar la posibilidad de implementar medidas tales como: 

1. 1. Seguimiento semanal al equipo – Una oportunidad para escuchar las últimas noticias de cada miembro, hacer preguntas y compartir ideas. 
   2. Registros de entrada – Check-In con miembros del equipo para discutir cualquier problema de aislamiento, cargas de trabajo o cualquier otro desafío que pueda surgir. 
   3. Reuniones diarias – Los equipos de Auditoría tendrán una breve llamada diaria (usando video, así como voz), como una oportunidad para que el equipo proporcione una visión general de alto nivel de su trabajo y si están experimentando algún retraso en la realización de tareas. 
   4. Sesiones de café virtual – Una forma divertida de mantenerse conectados como un equipo. 
   5. Árbol genealógico – Asignar a todos los miembros del equipo un mentor y fomentar Check-Ins más frecuentes, los cuales se pueden utilizar como un foro para compartir retos y soluciones. 
   6. Historias de éxito – Compartir historias de éxito y eventos positivos que ocurren en toda la organización, para ayudar a mantener una perspectiva positiva. 
   7. Plan de contingencia – Algunos miembros del equipo de AI van a enfermar, por ello, planifique ahora los arreglos de contingencia para cada revisión de auditoría clave y a nivel de equipo de liderazgo/gestión. En el caso de que una auditoría u otra actividad sea crítica para el negocio, piense en formas de mantenerlas en curso y tome medidas ahora para garantizar una transición sin problemas. 

1. ¿Cómo AI puede mantener la presencia corporativa mientras trabaja a distancia? Las funciones de Auditoría Interna deberán considerar lo siguiente: 
   1. Aumentar el número de reuniones de avance celebradas con las principales partes interesadas en toda la empresa. Es imperativo que los equipos continúen desarrollando relaciones sólidas con los clientes, basadas en la confianza, la credibilidad, la eficiencia y la transparencia. 
   2. Siempre que sea posible, utilizar videollamadas para crear una relación y establecer confianza con las partes interesadas. 

1. ¿Cómo AI puede seguir brindando seguridad a las organizaciones en las que las partes interesadas tienen 

prioridades que compiten entre sí? Las funciones de Auditoría Interna deberán considerar lo siguiente: 

1. 1. Evaluar las prioridades e identificar el trabajo crítico: concentrarse en los riesgos realmente más relevantes. 
   2. Reducir la cantidad de aporte requerida de las partes interesadas; en su lugar, producir piezas de asesoramiento cortas y enfocadas, y aprovechar en la mayor medida el acceso al sistema y los datos disponibles. 
   3. Proporcionar actualizaciones más frecuentes, en un entorno dinámico. 

1. ¿Debería AI ser más sustantiva en su enfoque? En un momento de tan excepcional incertidumbre, las funciones de Auditoría Interna deben ser pragmáticas para reunir evidencias de la ejecución del control o incluso de ausencia de documentación y considerar medios alternativos mediante los cuales se puedan confirmar los pasos y las actividades clave. 

Sin embargo, las funciones de AI deberán tener en cuenta lo siguiente: 

1. En un contexto de cambios sin precedentes, con altos niveles de incertidumbre, es probable que haya muchos casos de sobrepaso de controles, en los que los empleados busquen soluciones alternativas a los protocolos de seguridad y a los controles internos existentes, a fin de mantener el negocio operando de manera eficiente. 
2. En esos momentos de crisis, los riesgos de fraude pueden cambiar a medida que se abren nuevas oportunidades tanto para las partes internas como para las externas. Los incentivos para cometer fraude (tanto la apropiación indebida de activos como el fraude en la información financiera) también pueden aumentar, especialmente si se producen despidos de empleados o si los empleados sufren un estrés financiero personal significativo. 

1. ¿Cómo AI responde cuando se le pide que ayude con el trabajo de apoyo que podría desafiar su posición de independencia? Si bien AI reconoce (y no pierde de vista) su papel primordial de proporcionar aseguramiento independiente y objetivo, en tiempos de crisis debe contribuir legítimamente a la organización en áreas donde su experiencia podría ser relevante. Para garantizar que la independencia no se vea afectada, AI podría examinar prácticamente lo siguiente: 

1. 1. Limitar su alcance a proporcionar asesoramiento y no participar directamente en la implementación. 
   2. Utilizar equipos distintos para ayudar con el trabajo de apoyo a la gestión y con la auditoría subsiguiente. 
   3. Aplazar la auditoría a una fecha posterior, en el momento en que la empresa ha asumido la propiedad del proyecto específico. 

1. ¿Necesita AI mejorar en la evaluación de la fiabilidad de la evidencia que se le proporciona? Debido a la imposibilidad actual de pedir pruebas en sitio, se ha reducido nuestra capacidad de identificar si algo no existe. Las funciones de AI deberán considerar cuánta documentación se puede crear para los propósitos de AI y cuán confiable es esa evidencia. 
2. ¿Cómo AI puede continuar entregando revisiones de alta calidad a través del trabajo remoto? Las funciones de AI deberán considerar lo siguiente: 
   1. Aumentar los presupuestos disponibles para cada revisión, a fin de incluir llamadas y esfuerzos adicionales para el trabajo a distancia. 
   2. Aumentar el uso de las capacidades tecnológicas disponibles, como Zoom o Skype, para reuniones virtuales y/o talleres. 
   3. Reducir el número de revisiones de auditorías internas realizadas por año, para garantizar que la calidad no se vea comprometida.

1. ¿Qué pueden hacer las funciones de AI si las restricciones de viaje limitan su capacidad de ejecutar el trabajo en el extranjero? Las funciones de AI deberán considerar lo siguiente: 

1. 1. Aprovechar los recursos del país o de un tercero, en la medida en que se permita viajar en su interior. 
   2. La existencia de trabajo en el plan que deba ejecutarse en la sede principal de la empresa, o a nivel de grupo, para adelantarlo, aprovechar la capacidad actual y reemplazar el trabajo en el extranjero. 

1. ¿Qué debería considerar AI una vez que la crisis haya disminuido? Las funciones de Auditoría Interna tienen que aprovechar la oportunidad para adoptar muchas de las prácticas que han demostrado funcionar eficazmente durante la “nueva normalidad” de la crisis. Algunos ejemplos son el análisis de datos y el trabajo remotos, así como las videoconferencias. Esto tendrá beneficios continuos en los siguientes términos: eficiencia, menores gastos, mayor equilibrio en la vida laboral de los equipos de AI y reducción del impacto ambiental a causa de menor cantidad de viajes. 

También existe la oportunidad de adoptar un proceso de evaluación y planificación de riesgos más iterativo y que permita una mayor flexibilidad en la forma de implementar recursos en el futuro. 

Es un hecho que AI no será la única que experimente modificaciones derivadas de la experiencia del COVID-19 y no esperamos que el negocio vuelva al mismo Business As Usual (BAU). Es probable que exista más trabajo a distancia, menos viajes, mayor uso de la tecnología y muchos otros cambios, dependiendo de la industria (por mencionar algunos ejemplos, el cierre de puntos de venta físicos, el replanteamiento de la deslocalización, la remodelación del Modelo de Operación Objetivo, la presión a la gente para adoptar los canales digitales, el abordamiento de otros cambios fundamentales y permanentes en el comportamiento de los clientes y el cambio en los enfoques normativos y en la estrategia de la gente). AI necesitará considerar estas transformaciones y el impacto en su enfoque futuro. 

8 

Consideraciones de AI en respuesta al COVID-19