Un proyecto de Certificación SOX implica un conjunto de actividades en las cuales, entre otros aspectos, deberemos asegurarnos de que el marco de control interno dentro de una organización cumple con una serie de requisitos, básicamente de prevenir o detectar errores o fraudes, tal que se asegure que finalmente los reportes financieros de la organización, aquellos que trascienden a terceros y que son un elemento de decisión y de inversión para mucho de ellos, no contienen aserciones materiales falsas.
Para esto es necesario establecer o definir ¿Qué entendemos por control interno? En este sentido la Security Exchange Commision (SEC) establece una pauta de definición basada en el marco de control COSO – para más información se puede ver el artículo publicado en Auditool https://www.auditool.org/blog/control-interno/4413-que-es-coso/ – y lo define como un proceso efectuado por el consejo de administración, la dirección y el resto del personal de una entidad, diseñado con el objetivo de proporcionar un grado de seguridad razonable en cuanto a la consecución de objetivos de las siguientes categorías.
- Eficacia y Eficiencia de las operaciones
- Fiabilidad de la información financiera
- Cumplimiento de las leyes y normas aplicables
Es importante destacar que SOX en su Sección 404 menciona los controles necesarios para asegurar la fiabilidad financiera y el cumplimiento de leyes y regulaciones aplicables, por lo tanto, específicamente para esta ley, el marco de control interno no persigue la eficiencia y eficacia en las operaciones, esto es un aspecto importante para mencionar.
No entraremos en la totalidad del proceso y metodología de un proyecto SOX pero si es importante mencionar como hemos visto en estas definiciones anteriores, que el marco de control interno y por lo tanto las actividades de control asociadas a este marco es un aspecto fundamental en todo proceso de certificación. Dentro de este proceso de evaluación de las actividades de control tenemos dos momentos bien diferenciados:
- Evaluar el diseño efectivo de los controles,
- Evaluación de la eficacia operativa,
Nos estaremos centrando en este artículo en el primer concepto, el cual se refiere básicamente a que el control tal como está definido cumple con los objetivos de mitigar de forma razonable el riesgo al cual direcciona.
Podemos establecer un procedimiento que permita evaluar el diseño de las actividades de control, los pasos a seguir son los siguientes:
- Comprender el proceso de negocio y diseño de controles (tener en cuenta la segregación de funciones)
- Planeamiento, realización y evaluación del Walkthroughs
- Mapeo de los controles con las aserciones a los estados financieros
- Evaluar el diseño de los controles
- Identificar deficiencias potenciales y remediaciones
En otro artículo esteremos viendo a más detalle cada uno de estos 5 puntos.
Auditoría+ 