control-interno

www.monografias.com

El Control Interno en la Economía Empresarial.

1.

Introducción

2.

Control interno. Principios básicos y normativas de control

3.

Concepto, importancia del control interno

4.

Objetivos del control interno

5.

Control administrativo y control contable

6.

Principios y normativas del control interno

7.

Componentes del control interno

8.

Limitaciones del control interno

9.

Conclusiones

10. Recomendaciones 11. Bibliografía

INTRODUCCIÓN Es inobjetable la importancia que reviste para la recuperación de la economía el control de los recursos materiales, financieros y humanos. Dentro de una organización el proceso administrativo constituye un desarrollo armónico donde están presentes las funciones de planeación, organización, dirección y control. En nuestro país, donde casi la totalidad de las entidades y sus recursos son propiedad social, administradas por las instituciones estatales, la aplicación de sistemas de control en todos sus aspectos es de gran importancia, pues para obtener resultados de eficiencia, eficacia y economía en la gestión empresarial no se puede ignorar la planeación y la aplicación de un Sistema de Control Interno con los requerimientos necesarios para el logro de dichos objetivos. El control interno es una trama bien pensada de métodos y medidas de coordinación ensambladas de forma tal que funcionen coordinadamente con fluidez, seguridad y

1

responsabilidad, que garanticen los objetivos de preservar con la máxima seguridad, el control de los recursos, las operaciones, las políticas administrativas, las normativas económicas, la confiabilidad, la exactitud de las operaciones anotadas en los documentos primarios y registradas por la contabilidad. En fin, debe coadyuvar a proteger los recursos contra el fraude, el desperdicio y el uso inadecuado.

2

1.0 CONTROL CONTROL.

INTERNO.

PRINCIPIOS

BÁSICOS

Y

NORMATIVAS

DE

El control interno ha carecido durante muchos años de un marco referencial común, generando expectativas diferentes entre empresarios y profesionales. Sin estar claramente definido se utiliza en leyes, normas o reglamentos. Para desarrollar el presente capítulo vamos a basarnos en el llamado Informe COSO (Committee of Sponsoring Organization), el cuál se le conoce también como “La Comisión de Organizaciones Patrocinadoras de la Comisión Treadway”, donde a través del mismo Control Interno fue sometido a un riguroso estudio. Entre los miembros de COSO se cuentan el American Institute of chartered Public Accountants (AICPA), el Financial Executives Institute (FEI), The Institute of Internal Auditors (IIA), The Institute of Management Accountants (IMA), y la American Accounting Association (AAA, que agrupa a profesores universitarios de contabilidad), cuyas instituciones mencionadas anteriormente gozan de reconocido prestigio y tienen relación directa con el Control Interno El Informe COSO internacionalmente se considera hoy en día como un punto de referencia obligado cuando se tratan materias de control interno, tanto en la práctica de las empresas como en los niveles legislativos y docentes. El Informe COSO cuenta con un objetivo primordial que es establecer una definición de control interno y un desarrollo de los conceptos lo más claro posible, o sea que fue modificada en cuanto a su enfoque tradicional, de forma que cuando se hable de control interno todo el mundo esté hablando de lo mismo. Las definiciones del Control Interno, el contenido de sus Componentes y sus Normas, se ponen en vigor en la Resolución 297/2003 del Ministerio de Finanzas y Precios. Por lo expuesto anteriormente consideramos de vital necesidad detenernos a abordar el Control Interno desde su punto de vista conceptual, su importancia, objetivos, principios y normativas, componentes y limitaciones.

1.1

CONCEPTO, IMPORTANCIA DEL CONTROL INTERNO.

Dentro de una organización el proceso administrativo constituye un desarrollo armónico donde están presentes las funciones de Planeación, Organización, Dirección y Control. El control en su concepción más general examina y censura con anterioridad suficiente, determinada realidad que aprueba o corrige. Este puede ser externo, de gestión e interno. Es conveniente destacar que en la práctica los dos últimos convergen en uno solo. El sistema de control interno se desarrolla y vive dentro de la organización, cumple y/o alcanza los objetivos que persigue ésta. Los grandes avances tecnológicos aceleran los procesos productivos que indiscutiblemente repercuten en una mejora en los campos de la organización y la administración, pues ésta debe reordenarse para subsistir. Ya a finales del siglo XIX se demostró la importancia del control

3

sobre la gestión de los negocios y que éste se había quedado rezagado frente a un acelerado proceso de la producción. El control interno debe su existencia dentro de una entidad por el interés de la propia administración. Ningún administrador desea ver pérdidas ocasionadas por error o fraude o a través de decisiones erróneas basadas en informaciones financieras no confiables. Así, el control interno es una herramienta útil mediante la cual la administración logra asegurar, la conducción ordenada y eficiente de las actividades de la empresa. El COSO en su estudio define el control interno como aquel proceso que se encarga de realizar el Consejo de Administración, la dirección y el colectivo restante de una entidad, con el propósito de otorgar un nivel razonable de confianza en la consecución de los siguientes objetivos: −

Asegurar la exactitud y confiabilidad de los datos de la contabilidad y de las operaciones financieras.

−

Proteger los recursos contra el despilfarro, el fraude o el uso ineficiente, así como evaluar el desempeño de todas las divisiones administrativas y funcionales de la entidad (eficacia y eficiencia de las operaciones).

−

Asegurar el cumplimiento de las políticas normativas económicas de la entidad.

Es por ello que podemos afirmar que el control interno es el conjunto de mecanismos, sistemas, procedimientos y normas que aseguran una eficiente gestión de la entidad, la consecución de sus objetivos y el mantenimiento de su patrimonio, en un ambiente de participación e integración de todos aquellos que lo emplean y con los que se relacionan: clientes y proveedores. De todo esto se deduce que el control interno es el sistema nervioso de una empresa ya que abarca toda la organización, sirve como un sistema de comunicación de dos vías, y está diseñado únicamente para hacer frente a las necesidades de una empresa específica. Incluye mucho más que el sistema contable y cubre cosas tales como: las prácticas de empleo y entrenamiento, control de calidad, planeación de la producción, política de ventas y auditoría interna. Toda operación lleva implícito el control interno. El trabajador lo ejecuta sin percatarse de que es miembro activo de su ejecución. Cuando se ejecuta un proceso el concepto de control debe funcionar dentro de él. El sistema de control interno se desarrolla y vive dentro de la organización, con procedimientos o formas preestablecidas que aseguren su estructura interna y comportamiento; además debe contar con un grupo humano idóneo para las funciones a cumplir. La definición de fundamentales:

Control

Interno

anterior

4

refleja

los

siguientes

conceptos

El Control Interno es un proceso, donde se lleva a cabo un grupo de acciones estructuradas y coordinadas, que están encaminadas a la consecución de un fin. El mismo tiene un mayor grado de eficiencia cuando están insertados a los procesos y se complementan como parte indisoluble de la entidad El Control Interno es realizado por las personas en cada nivel de la entidad. Pues desde la dirección de la entidad hasta el último trabajador deben sentirse partícipe del mismo, de este modo cada uno de ellos podrá adquirir un alto grado de conciencia en el momento de evaluar los riesgos, aplicar controles y estar en condiciones de responder adecuadamente a ello. Pues es imposible que la entidad se encuentre en condiciones de conocer todos aquellos riesgos a los que está expuesta en cualquier momento. El control interno solamente va a proporcionar un grado razonable de seguridad a la administración de la entidad, por lo que conociendo sus limitaciones, se podrá garantizar la consecución de los objetivos. El control interno no puede ser un elemento restrictivo, sino que posibilite los procesos, permitiendo y promoviendo la consecución de los objetivos en uno o más ámbitos independientes, pero con elementos comunes.

1.2

OBJETIVO DEL CONTROL INTERNO.

Los objetivos pueden clasificarse y enfocarse para su análisis en tres categorías: •

Objetivos de las Operaciones.

Se refieren a la utilización eficaz y eficiente de los recursos en las operaciones de la entidad. Son la razón de ser de las empresas y van dirigidos a la consecución del objeto social. Constituyendo de este modo la parte más importante de todo el proceso de construcción de las estrategias y de la asignación de los recursos disponibles. Por ello es de suma importancia que los objetivos sean coherentes y realistas. Constituyen elementos de gestión y no de control interno, a pesar de ser una base previa para el mismo. Este grupo de objetivos es peculiar para cada entidad, no así los dos restantes que, con algunos cambios, son aplicables a todas las entidades. La consecución de los objetivos operacionales no siempre está bajo el control de la entidad. El control interno no es capaz de prevenir algunos sucesos externos que pueden evitar el alcance de metas operativas, pero puede aportar un nivel razonable de seguridad de que la administración esté informada en el momento preciso del nivel de avance en la consecución de dichos objetivos. •

Objetivos relacionados con la información financiera.

Estos se enmarcan en la preparación y publicación de estados financieros confiables, cuyo factor es de suma importancia en las relaciones con el exterior, 5

además de ser un importante elemento de la gestión interna, es por ello que una información financiera confiable es un objetivo importante a cumplir. Para que los estados financieros sean confiables deben seguir los siguientes requisitos: -

Tener principios contables aceptados y apropiados a las circunstancias.

-

Poseer información financiera suficiente y apropiada, resumida y clasificada en forma adecuada.

-

Presentar los hechos económicos de forma tal que los estados financieros reflejen adecuadamente la situación financiera, los resultados de las operaciones y los flujos de orígenes y aplicaciones de recursos en forma apropiada y razonable. Las afirmaciones que subyacen detrás de los estados financieros son:

-

Existencia: Los activos y pasivos existen a la fecha del balance y las transacciones contabilizadas han ocurrido realmente durante un período determinado.

-

Totalidad: Todas las transacciones y acontecimientos ocurridos durante un período determinado han sido efectivamente reflejadas en los registros contables.

-

Derechos y obligaciones: Los activos son los derechos y los pasivos las obligaciones de la entidad.

-

Valoración: El importe de los activos y pasivos y el de los ingresos ha sido determinado con criterios adecuados de conformidad con principios contables generalmente aceptados.

-

Presentación: La información financiera presentada en los estados financieros es suficiente, adecuada y está correctamente clasificada.

Objetivos de Cumplimiento. Se refieren al cumplimiento por parte de la entidad de las leyes y los reglamentos. Toda entidad debe desarrollar su actividad dentro del marco de la legalidad y los reglamentos que regulan los aspectos de las relaciones sociales, como son: normativa mercantil, civil, laboral, financiera, medio ambiente, seguridad, entre otros. El no cumplimiento de los mismos puede ocasionar problemas y puede afectar su prestigio. Cada entidad debe establecer sus propios objetivos de cumplimiento dentro de los cuales moverse. Luego de conocer los objetivos de control interno podemos decir que un objetivo puede pertenecer a más de una categoría. En todo caso debe existir una estructuración coherente de objetivos, clasificando los mismos por su importancia y reconociendo las interconexiones y derivaciones de los mismos.

6

Un grupo de objetivos de especial interés es el referido a “la salvaguarda de los activos”, que se incluye dentro de los objetivos de tipo operativo, dentro de los cuales está presente la utilización eficiente de los recursos evitando ineficacias, pérdidas o malversaciones. Ellos pueden relacionarse con objetivos de cumplimiento o con objetivos relativos a la información financiera. El control interno debe conseguir que exista un nivel apropiado de información sobre la consecución de los objetivos operativos. Interrelaciones de los tres tipos de objetivos. Las categorías anteriores se solapan, un objetivo puede pertenecer a más de una categoría. La consecución de unos objetivos puede estar condicionada a la consecución de otros, pero en todo caso debe existir una estructuración coherente de objetivos, clasificándolos por su importancia y reconociendo las interrelaciones y derivaciones de ellos. Un grupo de objetivos de interés notable es el referido a la salvaguarda de los activos, que se incluiría dentro de los objetivos de tipo operativo, en los cuales se incluye la utilización eficiente de los recursos evitando ineficacias, pérdidas o malversaciones. Estos objetivos pueden relacionarse con objetivos de cumplimiento o con objetivos relativos a la información financiera, por ejemplo: es necesario mantener un control apropiado sobre las pérdidas que se produzcan en las existencias, para reflejarlas de manera adecuada en los registros contables. Nótese que la antigua definición de control interno incluía como objetivo el adecuado reflejo de las transacciones en los registros contables y la salvaguarda de los activos. El Informe COSO ha trasladado la salvaguarda de los activos a los objetivos operativos, dentro del contexto de mayor amplitud en la definición del control interno. Es el control interno el encargado de que exista un nivel apropiado de información sobre la consecución de los objetivos operativos. Los sistemas de información están muy directamente relacionados con los objetivos operativos y de información financiera. 1.3 CONTROL ADMINISTRATIVO Y CONTROL CONTABLE. Las distintas acciones coordinadas e integradas que se llevan a cabo por todas las actividades de la organización, pueden ser clasificadas según los objetivos o fines que cada una de ellas puedan alcanzar, pero siempre teniendo presente que no son elementos aislados, que forman parte de un proceso y que están interrelacionados con otras acciones que a su vez se encuentran integradas con los diferentes procesos de gestión. Tomando en consideración los intereses del auditor para la evaluación del Control Interno y que en esencia al auditor externo lo que le interesa es opinar respecto a la confiabilidad de los estados financieros, continúa siendo de vital necesidad diferenciar las acciones que integran el proceso de control interno; pueden ser clasificadas en control administrativo: Operativo y estratégico y control contable.

7

El control administrativo está conformado por: control operativo y control estratégico. El control administrativo, el cual es denominado por algunos autores como operativo, hasta ahora ha sido identificado como el plan de la organización y todos los métodos y procedimientos relacionados con la eficiencia operativa y la adhesión a las políticas de la dirección. Teniendo en consideración la conceptualización que el informe COSO expone acerca del control interno y en el uso cada vez más generalizado de la dirección estratégica, el control administrativo se puede definir como todas las acciones coordinadas e integradas que son ejecutadas por las personas (desde el Consejo de Dirección, hasta cualquier miembro de la organización), en cada nivel de la entidad para otorgar un grado razonable de confianza en la consecución de los objetivos de eficiencia y eficacia de las operaciones, los objetivos estratégicos y el cumplimiento de las leyes y normas aplicables. Donde pudiera establecerse para su evaluación o estudio subgrupos como:

1. Control operativo. Los controles, entendidos como las acciones estructuradas y coordinas, para alcanzar un nivel razonable de confianza en el cumplimiento de la legislación aplicable en el área operativa, y en lograr los niveles esperados de economía, eficiencia y eficacia en las operaciones y en la protección de los activos.

2. Control estratégico: Proceso que comprende las acciones coordinadas e integradas a las unidades o actividades de la entidad, para alcanzar un nivel razonable de seguridad en el éxito de las estrategias formuladas. Control Contable son aquellas acciones estructuradas, coordinadas e integradas a los procesos de gestión básicos de planificación, ejecución y supervisión con el propósito de otorgar un grado razonable de confiabilidad sobre la información financiera. Estas acciones están conformadas por los controles y procedimientos contables establecidos con este propósito. Son más efectivos los controles internos cuando se incorporan a la infraestructura de una organización y comienzan a ser parte de su actividad más elemental. No deben entorpecer, sino comportarse positivamente en la consecución de los objetivos. No obstante, para su instrumentación siempre se ha tenido en cuenta el costo beneficio del sistema de control interno, así como las limitaciones inherentes a cualquier sistema.

1.4 PRINCIPIOS Y NORMATIVAS DEL CONTROL INTERNO. Como hemos planteado anteriormente el control interno comprende el plan de organización, el conjunto de métodos debidamente clasificados y coordinados, las medidas tomadas en una entidad para asegurar sus recursos, propender a la exactitud y confiabilidad de la información contable, apoyar y medir la eficiencia de

8

las operaciones y el cumplimiento de los planes, así como estimular la observancia de las normas, procedimientos y regulaciones establecidas. Deben ser tareas priorizadas de cada dirigente y trabajador, la implantación de las medidas de control interno, así como la realización sistemática de los controles y de la aplicación de divisiones para erradicar las deficiencias con el objetivo de lograr un incremento de la eficiencia económica y la calidad y el resultado positivo de las actividades realizadas por cada entidad. Para lograr establecer un eficaz sistema de control interno, se deberá tomar en cuenta previamente la organización de la entidad sobre la base de determinados principios, entre ellos los fundamentales son los siguientes: -

División del trabajo.

En ningún caso una sola persona tendrá el control íntegro de una operación, para procesar cada tipo de transacción el control interno debe pasar por cuatro etapas separadas: •

Autorizada.

•

Aprobada.

•

Ejecutada.

•

Registrada.

De modo tal que garantice que los responsabilizados con la custodia de los medios y la elaboración de los documentos primarios no tengan autoridad para aprobar los mismos y que ambos no tengan la función o posibilidad de efectuar anotaciones en los registros contables de esta forma el trabajo de una persona es verificado por otra que trabaja independiente y que al mismo tiempo verifica la operación realizada posibilitando la detección de errores. -

Fijación de responsabilidad.

Garantizar que los procedimientos inherentes al control de las operaciones económicas, así como la elaboración y aprobación de los documentos pertinentes, permitan determinar en todos los casos, la responsabilidad primaria sobre todas las anotaciones y operaciones llevadas a cabo. Se deben proveer las funciones de cada área, así como las consecuentes responsabilidades de cada uno de los integrantes de la misma, teniendo en cuenta que la autoridad es delegable, no siendo así la responsabilidad. -

Cargo y descargo.

Debe garantizarse que todo recurso o servicio recibido o entregado sea registrado, o sea lograr que se contabilicen los cargos de todo lo que entra y descargos de todo lo

9

que sale, lo cuál servirá de evidencia documental que precise quién lo ejecutó, aprobó, registró y verificó. Debe quedar bien claro en que forma y momento una cuenta recibe los créditos y los débitos, es por ello que toda anotación que no obedezca a las normas de una cuenta se debe investigar en detalle. La supervisión de las operaciones reflejadas en cada cuenta y subcuenta o análisis en forma sistemática, por personal independiente al que efectúa dichas anotaciones, permitirá observar si las operaciones registradas se corresponden con el contenido de cada cuenta. Resulta conveniente además aplicar la práctica de rotar a los trabajadores en sus distintos puestos de trabajos teniendo en cuenta sus conocimientos y nivel ocupacional, lo que limita los riesgos de la comisión de fraudes viabilizando su descubrimiento en caso de producirse éstos y tiene además la ventaja de aumentar la eficiencia del trabajo al conseguir un entrenamiento más integral. Para que un Sistema de Contabilidad garantice un eficiente control interno, debe suceder lo siguiente: a) Toda empresa antes de comenzar sus operaciones debe tener definida correctamente su organización, como mínimo debe poseer: •

Gráfico de organización

•

Manual de funciones por cargos.

b) Fundamentalmente deben estar bien definidas las funciones de contabilidad y tesorería, además de estar bien segregadas y establecidas las relaciones y puntos de convergencias de las mismas. c) El administrativo de la contabilidad debe ser responsable de sus actos ante el funcionario de primer nivel de la empresa, lo cual quiere decir que este debe tener independencia de criterio absoluto ante el resto de los funcionarios de la empresa. d) Toda entidad clasificada como mediana o grande de acuerdo a sus actividades económicas, debe poseer la función de auditoría interna, subordinada directamente al funcionario de primer nivel de la organización, ante el cual debe rendir sus informes. La intervención interna consiste fundamentalmente en la comprobación periódica de los mecanismos de control interno establecidos en los procedimientos contables. e) La entidad debe contar antes del inicio de sus operaciones con un clasificador de cuentas donde se detalle el plan de cuentas que utiliza la contabilidad para registrar los hechos económicos, el contenido económico de cada cuenta con el detalle de sus abonos y créditos fundamentales y el sistema informativo que emite la contabilidad periódicamente a la dirección de la empresa, para dirigir económicamente la misma. 10

f) Otro documento de dirección con que debe contar la entidad antes del inicio de sus operaciones es el manual de procedimientos de contabilidad y control interno, en el cual se describirán los procedimientos contables y los requisitos de control interno a que cada operación descrita esté sujeta, con el objetivo de su chequeo y comparación. g) El sistema informativo periódico debe proporcionar a la dirección el instrumento apropiado para dirigir, debe brindar entre otros aspectos los siguientes: •

Variaciones de importancia con cifras normales

•

Presupuestos o periodos anteriores.

Estos estados periódicos deben ser revisados y discutidos con la Junta Directiva, Comité‚ Ejecutivo, Presidente, Tesorero, Jefes de Departamentos, etc., con vista a la toma de decisiones económicas encaminadas a una mayor efectividad de la empresa. h) Para una dirección eficiente la institución debe contar con los siguientes elementos: •

Sistema de Costo

•

Control Presupuestario de costos y gastos.

•

Análisis de la interpretación de ambos.

El sistema de costo es un documento donde se recogen el conjunto de métodos, normas y procedimientos que rigen la determinación y el análisis del costo, así como el proceso del registro de los gastos de una o varias actividades. Este sistema debe garantizar los requerimientos informativos para una correcta dirección de la entidad. i) El control presupuestario establece la comparación de la ejecución real con el pronóstico o presupuesto, determinando las desviaciones y sus causas. j) El análisis de los costos y el presupuesto permite la adopción de medidas concretas para erradicar los efectos negativos de las desviaciones. k) La entidad debe tener definida la política general en cuanto a la cobertura de seguro, así como la definición del funcionario en el cual recae la responsabilidad de la revisión periódica de dicha cobertura. l) En esta debe estar definido el formato de los comprobantes de diario, la forma en que deben estar justificados y la persona y cargo del funcionario que los aprueba. m) Si se poseen sucursales, el control sobre ellas debe ser similar al de la casa matriz en cuanto a las intervenciones internas. 11

n) Debe estar establecido que todos los funcionarios y empleados administrativos tomen vacaciones anuales y que en ese periodo sean sustituidos por otros funcionarios o empleados según sea el caso. o) En poder de un funcionario debe existir un calendario o archivo de fechas relativo al vencimiento de liquidaciones de impuestos e informes especiales y los términos para reclamaciones. p) Los accionistas principales o funcionarios ejecutivos de la empresa, deben estar obligados a declarar sus nexos con otras empresas con las que tiene negocios la primera. q) Recopilación de las Normas y Procedimientos a aplicar, basados en las regulaciones emitidas por los organismos globales y ramales, así como los específicos de cada entidad, atendiendo a las particularidades de su actividad y a los requerimientos de su organización y dirección. r) Diseño del conjunto de modelos y documentos que se necesitan utilizar en la entidad, tanto de uso común que establezcan relaciones con terceros, como los que soporten las operaciones de carácter interno, así como los de uso específico, de acuerdo a las peculiaridades de las actividades que desarrollan, incluyendo sus correspondientes metodologías y previendo el adecuado archivo y conservación de los mismos, acorde a las regulaciones que en materia de prescripción se legislen al efecto. s) Establecimiento del Sistema Informativo Interno compatible con el Sistema Informativo General vigente para toda la economía, que garantice las necesidades de análisis a cada nivel.

1.5 COMPONENTES DEL CONTROL INTERNO. El adoptar sistemas más avanzados y rigurosos, asimilables por la economía de las entidades, influirá también en el estilo de dirección, teniendo en cuenta que nuestras entidades no se supeditan a un único propietario o a un pequeño grupo de ellos y que, por ende se obliga a una necesaria retroalimentación de los sistemas de control interno y de las disposiciones y regulaciones establecidas por los órganos y organismos del Estado competentes. Los elementos del control son: •

Ambiente de Control.

•

Evaluación de Riesgos.

•

Actividades de Control.

•

Información y Comunicación.

12

•

Supervisión.

Estas definiciones de los componentes del Control Interno, con un enfoque estratégico en el desarrollo de las entidades, deben incluir normas o procedimientos de carácter general para ser considerados en el diseño de los Sistemas de Control Interno en cada entidad, acompañados de criterios de control y de evaluación en algunas áreas de la organización. •

Ambiente de Control.

El ambiente o entorno de control constituye el punto fundamental para el desarrollo de las acciones y refleja la actitud asumida por la alta dirección en relación con la importancia del control interno y su incidencia sobre las actividades de la entidad y resultados, por lo que debe tener presente todas las disposiciones, políticas y regulaciones que se consideren necesarias para su implantación y desarrollo exitoso. El Ambiente de Control fija el tono de la organización al influir en la conciencia del personal. Este puede considerarse como la base de los demás componentes del control interno. La dirección de la entidad y el auditor interno, son los encargados de crear un ambiente adecuado mediante una estructura organizativa efectiva, de sanas políticas de administración y así se logra que las leyes y políticas sean asimiladas de mejor forma por el trabajador. El Ambiente de Control es, la base para el desarrollo del resto de los elementos, sus fundamentos claves son: •

La integridad, los valores éticos, la competencia profesional y el compromiso de todos los componentes de la organización, así como su adhesión a las políticas y objetivos establecidos.

•

La filosofía y estilo de dirección.

•

La estructura, el plan de organización, procedimientos.

•

Las formas de asignación de responsabilidades y de administración y desarrollo del personal.

•

El grado de documentación de políticas y decisiones, y de formulación de programas que contengan metas, objetivos e indicadores de rendimiento.

•

En las organizaciones que lo justifiquen, la existencia de Unidades de Auditoría Interna con suficiente grado de independencia y calificación profesional.

Normas para el Ambiente de Control.

13

los reglamentos y los manuales de



Integridad y valores éticos.

La máxima autoridad del organismo debe procurar, difundir y vigilar la observancia de valores éticos y el Reglamento de los Cuadros del Estado y del Gobierno aceptados, que constituyan un sólido fundamento moral para su conducción y operación. Los valores éticos son esenciales para el Ambiente de Control. El Sistema de Control Interno se sustenta en los valores éticos, que definen la conducta de quienes lo operan. Estos valores éticos pertenecen a una dimensión moral y, es por ello que van más allá del mero cumplimiento de las Leyes, Decretos, Reglamentos y otras disposiciones legales. El comportamiento y la integridad moral encuentran su sustento en la cultura del organismo, lo que determina, cómo se hacen las cosas, qué normas y reglas se observan y si estas se eluden. La dirección superior de la entidad, en la creación de una cultura apropiada a estos fines desempeña un papel principal la dirección superior de la entidad, ya que con su ejemplo contribuirá a desarrollar o destruir diariamente este requisito de control interno. 

Competencia profesional.

Los dirigentes, funcionarios y demás trabajadores deben caracterizarse por poseer un nivel de competencia que les permita comprender la importancia del desarrollo, implantación y mantenimiento de controles internos apropiados, o sea que deben contar con un nivel de competencia profesional en relación con sus responsabilidades, comprender, suficientemente, la importancia, objetivos y procedimientos del control interno, así como asegurar la calificación y competencia de todos los dirigentes y demás trabajadores. La dirección debe especificar el nivel de competencia requerido para las distintas tareas y traducirlo en requerimientos de conocimientos y habilidades. Los métodos de contratación de personal deben asegurar que el candidato posea el nivel de preparación y experiencia, ajustados a los requisitos del cargo. Una vez incorporado, a la entidad debe recibir la orientación, capacitación y adiestramiento necesario en forma práctica y metódica. 

Atmósfera de confianza mutua.

Para el control resulta esencial un nivel de confianza mutua entre las personas, la cual coadyuva el flujo de información que las personas necesitan para tomar decisiones y entrar en acción. Propicia, además, la cooperación y la delegación que se requieren para un desempeño eficaz tendente al logro de los objetivos de la entidad. La confianza está basada en la seguridad respecto a la integridad y competencia de la otra persona o grupo. La comunicación abierta crea y depende de la confianza dentro de la entidad. Un alto nivel de confianza estimula para que se asegure que

14

cualquier tema de importancia sea de conocimiento de más de una persona. El compartir tal información fortalece el control, reduciendo la dependencia del juicio, la capacidad y la presencia de una única persona. 

Organigrama.

Toda entidad debe desarrollar una estructura organizativa que atienda al cumplimiento de la misión y objetivos, la que deberá ser formalizada en un organigrama. La estructura organizativa, formalizada en un organigrama, constituye el marco formal de autoridad y responsabilidad en el cual las actividades que se desarrollan en cumplimiento de los objetivos del organismo, son planeadas, efectuadas y controladas. Lo importante es que su diseño se ajuste a sus necesidades, proporcionando el marco de organización adecuado para llevar a cabo la estrategia diseñada para alcanzar los objetivos fijados. Lo apropiado de la estructura organizativa podrá depender, por ejemplo, del tamaño de la entidad Estructuras altamente formales que se ajustan a las necesidades de una entidad de gran tamaño, pueden no ser aconsejables en una entidad pequeña. 

Asignación de autoridad y responsabilidad.

Toda entidad debe complementar su organigrama, con un manual de organización y funciones, en el cual se debe asignar la responsabilidad, las acciones y los cargos, a la par de establecer las diferentes relaciones jerárquicas y funcionales para cada uno de estos. El Ambiente de Control se fortalece en la medida en que los miembros de una entidad conocen claramente sus deberes y responsabilidades. Ello impulsa a usar la iniciativa para enfrentar y solucionar los problemas, actuando siempre dentro de los límites de su competencia. Existe una nueva tendencia de derivar autoridad hacia los niveles inferiores, de manera que las decisiones queden en manos de quienes están más cerca de la operación. Una cuestión crítica de esta corriente es el límite de la delegación: hay que delegar tanto cuanto sea necesario, pero solamente para mejorar la probabilidad de alcanzar los objetivos. Toda delegación de la autoridad contribuye a la necesidad de que los jefes examinen y aprueben, cuando proceda, el trabajo de sus subordinados y que ambos cumplan con la debida rendición de cuentas de sus responsabilidades y tareas. También requiere que todo el personal conozca y responda a los objetivos de la entidad. Es esencial que cada integrante de ella conozca como su acción se interrelaciona y contribuye a alcanzar los objetivos generales. Para que sea eficaz un aumento en la delegación de autoridad se requiere de un elevado nivel de competencia en los delegatarios, así como un alto grado de

15

responsabilidad personal. Además, se deben aplicar procesos supervisión de la acción y los resultados por parte de la dirección. 

efectivos de

Políticas y prácticas en personal.

La conducción y tratamiento del personal de la entidad debe ser justa y equitativa, comunicando claramente los niveles esperados en materia de integridad, comportamiento ético y competencia. Los procedimientos de contratación, inducción, capacitación y adiestramiento, calificación, promoción y disciplina, deben corresponderse con los propósitos enunciados en la política. El personal es el activo más valioso que posee cualquier entidad y se debe tratar y conducir de forma tal que se obtenga su más elevado rendimiento. Debe procurarse su satisfacción personal en el trabajo que realiza, propendiendo a que en este se consolide como persona y se enriquezca humana y técnicamente. La dirección asume su responsabilidad en tal sentido, en diferentes momentos; selección, al establecer requisitos adecuados de conocimiento, experiencia e integridad para las incorporaciones a la entidad; inducción, al preocuparse para que los nuevos empleados sean metódicamente familiarizados con las costumbres y procedimientos del organismo; capacitación, al insistir en que sean capacitados convenientemente para el correcto desempeño de sus responsabilidades; rotación y promoción, al procurar que funcione una movilidad de organización que signifique el reconocimiento y promoción de los más capaces e innovadores; sanción, al aplicar, cuando corresponda, las medidas disciplinarias que transmitan con rigurosidad que no se tolerarán desvíos del camino trazado. 

Comité de Control.

En cada entidad debe constituirse un comité de control integrado, al menos, por un dirigente del máximo nivel y el auditor interno titular, siempre que las condiciones lo permitan. Su objetivo general es la vigilancia del adecuado funcionamiento del Sistema de Control Interno y su mejoramiento continuo. La existencia de un Comité con tal objetivo, refuerza el Sistema de Control Interno y contribuye positivamente al Ambiente de Control. Para su efectivo desempeño debe integrarse adecuadamente con miembros que generen respeto por su capacidad y trayectoria integral, que exhiban un apropiado grado de conocimientos y experiencia que les permita apoyar a la dirección de la entidad mediante su guía y supervisión.

Evaluación del Ambiente de control. Conocimiento y aceptación consciente de las normas escritas (Códigos de Conducta) y de Ética establecidos en la entidad, que deben incluir cuestiones referidas a las

16

prácticas empresariales de general aceptación, los conflictos de intereses y los niveles esperados de comportamiento ético. Comprobar que las respuestas sean eficientes y contundentes en los casos de actuaciones no conformes con las reglas establecidas, sobre la base de lo establecido en la legislación vigente. Verificar que se comunican las medidas correctivas para que sean conocidas por toda la entidad. Cumplimiento de los procedimientos de selección, capacitación, formación, evaluación y promoción de los recursos humanos necesarios en la entidad, así como que estén definidos, de forma clara y explícita, los contenidos de cada puesto de trabajo y actividades que se le vinculan. Evaluar si la estructura organizativa es adecuada al tamaño de la entidad, tipo de actividad y objetivos aprobados, si se definen las líneas de responsabilidad y autoridad, así como los canales por los que fluye la información. Valorar la utilización de estilos de dirección correctos en cualquiera de los niveles jerárquicos de la entidad, en lo referente al respeto por los procedimientos de control interno implantados. Verificar que el comité de control funcione adecuadamente y contribuya al mejoramiento continuo del Sistema de Control Interno implantado. •

Evaluación de Riesgos.

El control interno ha sido pensado esencialmente para limitar los riesgos que afectan las actividades de las entidades. A través de la investigación y análisis de los riesgos relevantes y el punto hasta el cual el control vigente los neutraliza, se evalúa la vulnerabilidad del sistema. Para ello debe adquirirse un conocimiento práctico de la entidad y sus componentes como manera de identificar los puntos débiles, enfocando los riesgos tanto de la entidad (internos y externos) como de la actividad. Cabe recordar que los objetivos de control deben ser específicos, así como adecuados, completos, razonables e integrados a las globales de la institución. Una vez identificados los riesgos, su análisis debe incluir: •

Una estimación de su importancia y trascendencia.

•

Una evaluación de la probabilidad y frecuencia.

•

Una definición del modo en que habrán de manejarse.

•

Cambios en el entorno

•

Redefinición de la política institucional.

•

Reorganizaciones o reestructuraciones internas.

17

•

Ingreso de empleados nuevos o rotación de los existentes.

•

Nuevos sistemas, procedimientos y tecnologías.

•

Aceleración del crecimiento.

•

Nuevos productos, actividades o funciones.

Normas para la evaluación de los riesgos. 

Identificación del riesgo.

Se deben identificar los riesgos relevantes que enfrenta una entidad en el logro de sus objetivos, ya sean de origen interno, es decir, provocados por la entidad teniendo en cuenta la actividad específica o sus características internas en el funcionamiento, como externos que son los elementos fuera de la organización que afectan, en alguna medida, el cumplimiento de sus objetivos. La identificación del riesgo es un proceso interactivo, y generalmente integrado a la estrategia y planificación. En este proceso es conveniente "partir de cero", esto es, no basarse en el esquema de riesgos identificados en estudios anteriores. Su desarrollo debe comprender la realización de un análisis del riesgo, que incluya la especificación de los dominios o puntos claves del organismo, la identificación de los objetivos generales y particulares y las amenazas y riesgos que se pueden afrontar. Un dominio o punto clave de la entidad puede ser: •

Un proceso que es crítico para su supervivencia.

•

Una o varias actividades que sean responsables de parte de prestaciones importantes de servicios a la ciudadanía.

•

Un área que está sujeta a leyes, decretos o reglamentos de estricto cumplimiento, con amenazas de severas penas por incumplimiento.

•

Un área de vital importancia estratégica para el Gobierno (Ejemplo: defensa, investigaciones tecnológicas de avanzada).

Al determinar estas actividades o procesos claves, fuertemente ligados a los objetivos de la entidad, debe tenerse en cuenta que pueden existir algunos de estos que no están formalmente expresados, lo cual no debe ser impedimento para su consideración. El análisis se relaciona con lo crítico del proceso o actividad y con la importancia del objetivo, más allá que este sea explícito o implícito. Existen muchas fuentes de riesgos, tanto internas como externas. A título puramente ilustrativo se pueden mencionar, entre las externas:

18

•

Desarrollos tecnológicos que en caso de no adoptarse, provocarían obsolescencia de la organización.

•

Cambios en las necesidades y expectativas de la población;

•

Modificaciones en la legislación y normas que conduzcan a cambios forzosos en la estrategia y procedimientos;

•

Alteraciones en el escenario económico financiero que impacten en el presupuesto de la entidad, sus fuentes de financiamiento y su posibilidad de expansión.

Entre las internas, podemos citar: •

La estructura de organización adoptada, dada la existencia de riesgos inherentes típicos, tanto en un modelo centralizado como en uno descentralizado;

•

La calidad del personal incorporado, así como los métodos para su instrucción y motivación.

•

La propia naturaleza de las actividades de la entidad.

Una vez identificados los riesgos a nivel de la entidad, deberá practicarse similar proceso al nivel de programa y actividad. Se considerará, en consecuencia, un campo más limitado, enfocado a los componentes de las áreas y objetivos claves identificados en el análisis global de la entidad. 

Estimación del riesgo.

Se debe estimar la frecuencia con que se presentarán los riesgos identificados, así como cuantificar la probable pérdida que ellos pueden ocasionar. Una vez identificados los riesgos a nivel de institución y de programa o actividad, debe procederse a su análisis. Los métodos utilizados para determinar la importancia relativa de los riesgos pueden ser diversos, e incluirán como mínimo: •

Una estimación de su frecuencia, o sea, la probabilidad de ocurrencia.

•

Una valoración de la pérdida que podría resultar.

En general, aquellos riesgos cuya concreción esté estimada como de baja frecuencia, no justifican preocupaciones mayores, por el contrario, los que se estiman de alta frecuencia deben merecer preferente atención. Entre estos extremos se encuentran casos que deben ser analizados cuidadosamente, aplicando elevadas dosis de buen juicio y sentido común. Existen muchos riesgos difíciles de cuantificar que, como máximo, se prestan a calificaciones de "grande", "moderado" o "pequeño"; pero no debe cederse a la difundida inclinación de conceptuarlos rápidamente como "no medidos". En muchos casos, con un esfuerzo razonable, puede conseguirse una medición satisfactoria.

19

Esto se puede expresar matemáticamente en la llamada Ecuación de la Exposición: PE = F x V donde: PE = Pérdida Esperada o Exposición, expresada en pesos y en forma anual. F = Frecuencia, veces probables en que el riesgo se concrete en el año. V = Pérdida estimada para cada caso en que el riesgo se concrete, expresada en pesos 

Determinación de los objetivos de control.

Luego de identificar, estimar y cuantificar los riesgos, la máxima dirección y los responsables de otras áreas deben determinar los objetivos específicos de control y, en relación con ellos, establecer los procedimientos de control más convenientes. Una vez que la máxima dirección y los responsables de otras áreas han identificado y estimado el nivel de riesgo, deben adoptarse las medidas para enfrentarlo de la manera más eficaz y económica posible. Se deberán establecer los objetivos específicos de control de la entidad, que estarán adecuadamente articulados con sus propios objetivos globales y sectoriales. En función de los objetivos de control determinados, se seleccionarán las medidas o salvaguardas que se estimen más efectivas al menor costo, para minimizar la exposición. 

Detección del cambio.

Toda entidad debe disponer de procedimientos capaces de captar e informar oportunamente los cambios registrados o inminentes en el ambiente interno y externo, que puedan conspirar contra la posibilidad de alcanzar sus objetivos en las condiciones deseadas. Una etapa fundamental del proceso de Evaluación del Riesgo, es la identificación de los cambios en las condiciones del medio ambiente en que la entidad desarrolla su acción. Un sistema de control puede dejar de ser efectivo al cambiar las condiciones en las cuales opera. Se requiere un sistema de información apto para captar, procesar y transmitir información relativa a los hechos, eventos, actividades y condiciones que originan cambios ante los cuales la entidad debe reaccionar. A título de ejemplo se consignan algunas condiciones que deben merecer particular atención: •

Cambios en el contexto externo: legislación, reglamentos, programas de ajuste, tecnología, cambios de autoridades, etc.

20

•

Crecimiento acelerado: una entidad que crece a un ritmo demasiado rápido está sujeta a muchas tensiones internas y a presiones externas.

•

Nuevas líneas de productos o servicios: la inversión en la producción de nuevos bienes o servicios generalmente ocasionan desajustes en el Sistema de Control Interno, el que debe ser revisado.

•

Reorganizaciones: generalmente significan reducciones de personal que ocasionan, si no son racionalmente practicadas, alteraciones en la separación de funciones y en el nivel de supervisión.

•

Creación del sistema de información o su reorganización: puede llegar a generar un período de exceso o defecto en la información emitida, ocasionando en ambos casos la probabilidad de la adopción de decisiones incorrectas.

Evaluación de Riesgos. Comprobar la existencia de procedimientos idóneos para anticipar los riesgos, identificarlos, estimar su importancia, evaluar su probabilidad o frecuencia y reaccionar ante los acontecimientos o cambios (rutinarios o no) que influyen en el logro de los objetivos previstos, tanto de fuentes internas como externas, así como a nivel de empresa y de las unidades o funciones más importantes (ventas, producción, finanzas, recursos humanos, etc). A nivel de empresa Factores externos Nuevas tecnologías, productos, servicios o actividades. Cambios en las necesidades y expectativas de la población. Modificación en la legislación y las normas. Alteraciones en el escenario económico financiero internacional.

del país o en el contexto

Factores internos Estructura de organización existente. Calidad del personal incorporado, así como los métodos para su instrucción y motivación. Reestructuraciones internas. Sistemas de información. La propia naturaleza de las actividades de la empresa.

21

Verificar la existencia de políticas y criterios de actuación definidos por la dirección y comunicados a los niveles correspondientes dentro de la entidad, referidos a: Autorización de transacciones. Aprobación de transacciones. Proceso y registro de las operaciones. Clasificación de las operaciones. Verificación y evaluación del registro contable. Salvaguarda física de los activos. •

Actividades de Control.

Las actividades de control son procedimientos que ayudan a asegurarse que las políticas de la dirección se llevan a cabo, y deben estar relacionadas con los riesgos que ha determinado y asume la dirección. Las actividades de control se ejecutan en todos los niveles de la organización y en cada una de las etapas de la gestión, partiendo de la elaboración de un mapa de riesgos, conociendo los riesgos, se disponen los controles destinados a evitarlos o minimizarlos. En muchos casos, las actividades de control pensadas para un objetivo suelen ayudar también a otros: los operacionales pueden contribuir a los relacionados con la confiabilidad de la información financiera, estas al cumplimiento normativo y así sucesivamente. A su vez en cada categoría existen diversos tipos de control: •

Preventivo y correctivos.

•

Manuales automatizados o informáticos.

•

Gerenciales o directivos.

En todos los niveles de la entidad existen responsabilidades de control y es preciso que los agentes conozcan individualmente cuáles son las que les competen, para ello se les debe explicar claramente tales funciones. Las cuestiones que se exponen a continuación muestran la amplitud abarcadora de las actividades de control, viéndolas en su sentido más general, aunque no constituyen la totalidad de ellas. •

Análisis efectuados por la dirección.

22

•

Seguimiento y revisión por parte de los responsables de las diversas funciones o actividades.

•

Comprobación de las transacciones en cuanto a su exactitud, totalidad, autorización pertinente: aprobaciones, revisiones, cotejos, recálculos, análisis de consistencia, prenumeraciones.

•

Controles físicos patrimoniales: arqueos, conciliaciones, recuentos.

•

Dispositivos de seguridad para restringir el acceso a los activos y registros.

•

Segregación de funciones.

•

Aplicación de indicadores de rendimiento.

Consideramos que en este componente deben incluirse todas las vigentes en el país referidas a los Subsistemas de Control Interno.

normativas

A continuación mostramos un conjunto de actividades mínimas a incluir en un Manual de procedimientos de Control Interno a elaborar en las entidades, respetando la regla general de que debe tenerse en cuenta las características específicas de la entidad.

Normas de Actividades de control. 

Separación de tareas y responsabilidades.

Las tareas y responsabilidades, esenciales, relativas al tratamiento, autorización, registro y revisión de las transacciones y hechos, deben ser asignadas a personas diferentes. El propósito de esta norma es procurar un equilibrio conveniente de autoridad y responsabilidad dentro de la estructura de organización. Al evitar que las cuestiones fundamentales de una transacción u operación queden concentradas en una misma persona o sector, se reduce notoriamente el riesgo de errores, despilfarros o actos ilícitos y aumenta la probabilidad que, de producirse, sean detectados. En las entidades pequeñas es necesario establecer un balance entre esta separación de tareas y responsabilidades y el beneficio que se puede obtener de ellas, sin descuidar lo que nos costaría dividir funciones, por lo que habría que reforzar la actividad de supervisión y monitoreo. 

Coordinación entre áreas.

Cada área o subárea de la entidad debe operar coordinada e interrelacionadamente con las restantes áreas o subáreas. En una entidad, las decisiones y acciones de

23

cada una de las áreas que la integran, requieren coordinación. Para que el resultado sea efectivo, no es suficiente que las unidades que lo componen alcancen sus propios objetivos; sino que deben trabajar mancomunadamente para que se alcancen, en primer lugar, los de la entidad. La coordinación mejora la integración, la consistencia y la responsabilidad y limita la autonomía. En ocasiones una unidad debe sacrificar en alguna medida su eficacia para contribuir a la de la entidad como un todo. Es esencial, en consecuencia, que funcionarios y empleados consideren las implicaciones y repercusiones de sus acciones en relación con la entidad. Esto supone consultas dentro y entre las entidades. 

Documentación.

La estructura de control interno y todas las transacciones y hechos significativos, deben estar claramente documentados, y la documentación debe estar disponible para su verificación. Toda entidad debe contar con la documentación referente a su Sistema de Control Interno y a las cuestiones pertinentes de las transacciones y hechos significativos. La información sobre el Sistema de Control Interno puede figurar en su formulación de políticas y, básicamente, en el referido manual, incluirá datos sobre objetivos, estructura y procedimientos de control. 

Niveles definidos de autorización.

Los actos y transacciones relevantes sólo pueden ser autorizados y ejecutados por dirigentes, funcionarios y demás trabajadores que actúen dentro del ámbito de sus competencias. La autorización es la forma idónea de asegurar que sólo se realizan actos y transacciones que cuentan con la conformidad de la dirección. Esta conformidad supone su ajuste a la misión, la estrategia, los planes, programas y presupuestos. La autorización debe documentarse y comunicarse explícitamente a las personas o sectores autorizados. Estos deberán ejecutar las tareas que se les han asignado, de acuerdo con las directrices, y dentro del ámbito de competencia establecido por las normas. 

Registro oportuno y adecuado de las transacciones y hechos.

Las transacciones y los hechos que afectan a una entidad deben registrarse inmediatamente y ser debidamente clasificados. Las transacciones o hechos deben registrarse, en el momento de su materialización o lo más inmediato posible, para garantizar su relevancia y utilidad. Esto es válido para todo el proceso o ciclo de la transacción o hecho, desde su inicio hasta su conclusión. 24

Asimismo, deberán clasificarse adecuadamente para que, una vez procesados, puedan ser presentados en informes y estados financieros con saldos razonables, facilitando a directivos y gerentes la adopción de decisiones. 

Acceso restringido a los recursos, activos y registros.

El acceso a los recursos, activos, registros y comprobantes, debe estar protegido por mecanismos de seguridad y limitado a las personas autorizadas, quienes están obligadas a firmar las Actas de Responsabilidad a rendir cuenta de su custodia y utilización. Todo activo de valor debe ser asignado a un responsable de su custodia y contar con adecuadas protecciones, a través de seguros, almacenaje, sistemas de alarma, pases para acceso, etc. Además, deben estar debidamente registrados, y periódicamente, se cotejarán las existencias físicas con los registros contables para verificar su coincidencia. La frecuencia de la comparación depende del nivel de vulnerabilidad del activo. Estos mecanismos de protección cuestan tiempo y dinero, por lo que, en la determinación del nivel de seguridad pretendido, deberán ponderarse los riesgos emergentes, entre otros del robo, despilfarro, mal uso, destrucción, contra los costos que puedan derivarse del control. 

Rotación del personal en las tareas claves.

Ningún empleado debe tener a su cargo, durante un tiempo prolongado, las tareas que presenten una mayor probabilidad de comisión de irregularidades. Los empleados a cargo de dichas tareas deben, periódicamente, emplearse en otras funciones. Si bien el Sistema de Control Interno debe operar en un ambiente de solidez ética, es necesario adoptar ciertas protecciones para evitar hechos que puedan propiciar actos reñidos con el código de conducta del organismo. En tal sentido, la rotación en el desempeño de tareas claves para la seguridad y el control es un mecanismo de probada eficacia y muchas veces no utilizado por el equivocado concepto del "hombre imprescindible". 

Control del sistema de información.

El sistema de información debe ser controlado con el objetivo de garantizar su correcto funcionamiento y asegurar el control del proceso de los diversos tipos de transacciones. La calidad del proceso de toma de decisiones en una entidad, descansa fuertemente en sus sistemas de información. Un sistema de información abarca información cuantitativa, por ejemplo, los informes de desempeño que utilizan indicadores, y cualitativa, lo concerniente a opiniones y comentarios. El sistema deberá contar con

25

mecanismos de seguridad que alcancen a las entradas, procesos, almacenamiento y salidas. El sistema de información debe ser flexible y susceptible de modificaciones rápidas que permitan hacer frente a necesidades cambiantes de la dirección, en un entorno dinámico de operaciones y presentación de informes. El sistema ayuda a controlar todas las actividades de la entidad, a registrar y supervisar transacciones y eventos a medida que ocurren, y a mantener datos financieros. Las actividades de control de los sistemas de aplicación están diseñadas para controlar el procesamiento de las transacciones dentro de los programas de aplicación e incluyen los procedimientos manuales asociados. 

Control de la tecnología de información.

Los recursos de la tecnología de información deben ser controlados con el objetivo de garantizar el cumplimiento de los requisitos del sistema de información que la entidad necesita para el logro de su misión. La información que necesitan las actividades de la entidad, es provista mediante el uso de recursos de tecnología de información, los que abarcan: datos, sistemas de aplicación, tecnología asociada, instalaciones y personal. La administración de estos recursos debe llevarse a cabo mediante procesos de tecnología de información agrupados naturalmente, a fin de proporcionar la información necesaria que permita a cada trabajador cumplir con sus responsabilidades y supervisar el cumplimiento de las políticas. A fin de asegurar el cumplimiento de los requisitos del sistema de información, es preciso definir actividades de control apropiadas, así como implementarlas, supervisarlas y evaluarlas. La seguridad del sistema de información es la estructura de control para proteger la integridad, confidencialidad y disponibilidad de datos y recursos de la tecnología de información. Las actividades de control general de la tecnología de información se aplican a todo el sistema de información, incluida la totalidad de sus componentes, desde la arquitectura de procesamiento de grandes computadoras, mini computadoras y redes, hasta la gestión de procesamiento por el usuario final. También abarcan las medidas y procedimientos manuales que permiten garantizar la operación continua y correcta del sistema de información. 

Indicadores de desempeño.

Toda entidad debe contar con métodos de medición de desempeño que permitan la preparación de indicadores para su supervisión y evaluación. La información obtenida se utilizará para la corrección de los cursos de acción y el mejoramiento del rendimiento.

26

La dirección de una entidad, programa, proyecto o actividad, debe conocer cómo marcha hacia los objetivos fijados para mantener el dominio del rumbo, es decir, ejercer el control. Un sistema de indicadores elaborados desde los datos emergentes de un mecanismo de medición del desempeño, contribuirá al sustento de las decisiones. Los indicadores no deben ser tan numerosos que se tornen ininteligibles o confusos, ni tan escasos que no permitan revelar las cuestiones claves y el perfil de la situación examinada. Cada entidad debe preparar un sistema de indicadores ajustado a sus características, es decir, tamaño, proceso productivo, bienes y servicios que entrega, nivel de competencia de sus dirigentes y demás elementos que lo distingan. El sistema puede estar constituido por una combinación de indicadores cuantitativos, tales como los montos presupuestados y cualitativos, como el nivel de satisfacción de los usuarios. Los indicadores cualitativos deben ser expresados de una manera que permita su aplicación objetiva y razonable. Por ejemplo: una medición indirecta del grado de satisfacción del usuario puede obtenerse por el número de reclamos. 

Función de Auditoría Interna independiente.

La unidad de auditoría interna de las entidades debe depender de la máxima autoridad de estas y sus funciones y actividades deben mantenerse desligadas de las operaciones sujetas a su examen. Las unidades de auditoría interna deben brindar sus servicios a toda la entidad. Constituyen un "mecanismo de seguridad" con el que cuenta la autoridad superior para estar informada, con razonable certeza, sobre la confiabilidad del diseño y funcionamiento de su sistema de control interno. Esta unidad de auditoría interna, al depender de la autoridad superior, puede practicar los análisis, inspecciones, verificaciones y pruebas que considere necesarios en los distintos sectores de la entidad con independencia de estos, ya que sus funciones y actividades deben mantenerse desligadas de las operaciones sujetas a su examen. Así, la auditoría interna vigila, en representación de la autoridad superior, el adecuado funcionamiento del sistema, informando oportunamente a aquella sobre su situación. Por su parte, los mecanismos y procedimientos del Sistema de Control Interno protegen cuestiones específicas de la operatoria para brindar una razonable seguridad de éxito en el esfuerzo por alcanzar los objetivos de organización. Evaluación del componente Actividades de Control. Comprobar que está debidamente segregada y diferenciada (en la medida de lo racionalmente posible) la responsabilidad de autorizar, ejecutar, registrar y

27

comprobar una transacción, teniendo en cuenta la necesaria coordinación entre las distintas áreas de responsabilidad definidas en la entidad. Verificar el registro y clasificación oportuna de las transacciones y hechos importantes, atendiendo a la importancia, relevancia y utilidad que ello tiene para la presentación razonable de los saldos en los estados financieros. Comprobar la realización de conteos físicos, conciliación con los registros contables.

periódicos,

de los activos y su

Evaluar la calidad y cumplimiento de los planes de rotación en el desempeño en las tareas claves del personal involucrado. Verificar que la dirección efectúe análisis, periódicos y sistemáticos, de los resultados obtenidos, comparándolos con períodos anteriores, con los presupuestos y planes aprobados y otros niveles de análisis que les sean útiles. Evaluar la utilización del sistema de indicadores de rendimiento implementado en la entidad para la puesta en marcha de acciones correctivas que disminuyan o eliminen las desviaciones importantes. Valorar el funcionamiento, utilización y respeto a los resultados de la Auditoría Interna. Comprobar el cumplimiento de los controles de la tecnología de información referidos a: •

Seguridad física de los equipos de información.

•

Controles de acceso.

•

Controles sobre software.

•

Controles de las operaciones de proceso de datos.

•

Controles sobre el desarrollo y mantenimiento de las aplicaciones.

•

Controles de las aplicaciones.

Revisar que el plan de prevención elaborado ha tenido en cuenta el diagnóstico de los riesgos internos o peligros potenciales, el análisis de las causas que lo provocan o propician y las propuestas de medidas para prevenir o contrarrestar su ocurrencia. Comprobar que el plan de prevención, en cada una de las acciones, define el tiempo o los momentos de ejecución, los ejecutantes y los responsables de su control. •

Información y comunicación.

28

La información relevante debe ser captada, procesada y transmitida de tal modo que llegue oportunamente a todos los sectores y permita asumir las responsabilidades individuales. La comunicación es inherente a los sistemas de información. Las personas deben conocer, en tiempo, las cuestiones relativas a su responsabilidad de gestión y control. Cada función debe especificarse con claridad, entendiendo como tal las cuestiones relativas a la responsabilidad de los individuos dentro del Sistema de Control Interno. Los informes deben transmitirse adecuadamente a través de una comunicación eficaz, incluyendo una circulación multidireccional de la información: ascendente, descendente y transversal. La existencia de líneas abiertas de comunicación y una clara voluntad de escuchar, por parte de los dirigentes, resultan vitales. Además de una buena comunicación interna, es importante una eficaz comunicación externa que favorezca el flujo de toda la información necesaria y, en ambos casos, importa contar con medios eficaces, como los manuales de políticas, memorias, difusión institucional, canales formales e informales, la actitud que asume la dirección en el trato con sus subordinados. Una entidad con una historia basada en la integridad y una sólida cultura de control no tendrá dificultades de comunicación. Una acción vale más que mil palabras. Normas de Información y Comunicación. 

Información y responsabilidad.

La información debe permitir a los funcionarios y empleados cumplir sus obligaciones y responsabilidades. Los datos pertinentes deben ser identificados, captados, registrados, estructurados en información y comunicados, en tiempo y forma. Una entidad debe disponer de una corriente fluida y oportuna información relativa a los acontecimientos internos y externos. Por ejemplo, necesita tomar conocimiento con prontitud de los requerimientos de los usuarios para proporcionar respuestas oportunas o de los cambios en la legislación y reglamentaciones que le afectan. De igual manera, debe tener conocimiento constante de la situación de sus procesos internos. Los riesgos que afronta una entidad se reducen en la medida que la adopción de las decisiones se fundamente en información relevante, confiable y oportuna. La información es relevante para un usuario, en la medida que se refiera a cuestiones comprendidas dentro de su responsabilidad y que él cuente con la capacidad suficiente para apreciar su significación. La supervisión del desempeño de la entidad y sus partes componentes, opera mediante procesos de información y de exigencia de responsabilidades de tipos formales e informales. La cultura, el tamaño y la estructura de organización influyen, significativamente, en el tipo y la confiabilidad de estos procesos.

29



Contenido y flujo de la información.

La información debe ser clara y con un grado de detalle ajustado al nivel de la toma de decisiones. Se debe referir tanto a situaciones externas como internas, a cuestiones financieras como operacionales. Para el caso de los niveles directivo y gerencial, los informes deben relacionar el desempeño con los objetivos y metas fijados. El flujo informativo debe circular en todos los sentidos: ascendente, descendente, horizontal y transversal. Es fundamental para la conducción y control de la entidad disponer de la información satisfactoria, en tiempo y en el lugar necesario, y por ende, el diseño del flujo informativo y su posterior funcionamiento adecuado, deben constituir preocupaciones centrales para los responsables de la entidad, para la toma de decisiones, si no de nada serviría. 

Calidad de la información.

La información disponible en la entidad debe cumplir con los atributos de: contenido apropiado, oportunidad, actualización, exactitud y accesibilidad. Esta norma plantea las cuestiones a considerar con vistas a formar juicios sobre la calidad de la información que utiliza una entidad y hace imprescindible su confiabilidad. Es deber de la autoridad superior, responsable del control interno, esforzarse por obtener un grado adecuado de cumplimiento de cada uno de los atributos mencionados. 

Flexibilidad al cambio.

El sistema de información debe ser revisado y de corresponder, rediseñado cuando se detecten deficiencias en su funcionamiento y productos. Cuando la entidad cambie su estrategia, misión, política, objetivos, programa de trabajo, etc, se debe contemplar el impacto en el sistema de información y actuar en consecuencia. Si el sistema de información se diseña orientado en una estrategia y un programa de trabajo, es natural que al cambiar estos, tenga que adaptarse, atendiendo a que la información que dejó de ser relevante siga fluyendo en detrimento de otra que sí pasó a serlo, cuidando porque el sistema no se sobrecargue artificialmente, situación que se genera cuando se adiciona la información, ahora necesaria, sin eliminar la que perdió importancia. 

El sistema de información.

El sistema de información debe diseñarse atendiendo a la estrategia y programa de operaciones de la entidad. La calificación de sistema de información se aplica, tanto al que cubre la información financiera de una entidad como al destinado a registrar otros procesos y operaciones internas. Aquí se explica en un sentido más amplio por alcanzar también al tratamiento de acontecimientos y hechos externos a la entidad, 30

refiriéndose a la captación y procesamiento oportuno de situaciones referentes a: cambios en la normativa, legal o reglamentaria, que alcance a la entidad, conocer la opinión de los usuarios sobre el servicio que se le proporciona, sus reclamos, inquietudes y sus necesidades emergentes. Tal sistema de información, deberá ser diseñado para apoyar la estrategia, misión, política y objetivos de la entidad. La entidad necesita información que le permita alcanzar todas las categorías de objetivos: operacionales, financieros y de cumplimiento. Cada dato en particular puede ayudar a lograr una o todas estas categorías de objetivos. 

Compromiso de la dirección.

El interés y el compromiso de la dirección de la entidad con los sistemas de información se deben explicitar mediante una asignación de recursos suficientes para su funcionamiento eficaz. Es fundamental que la dirección de una entidad tenga cabal comprensión del importante rol que desempeñan los sistemas de información, para el correcto desenvolvimiento de sus deberes y responsabilidades y, en ese sentido, debe mostrar una actitud comprometida hacia estos. 

Comunicación, valores de la organización y estrategias.

Para que el control sea efectivo, las entidades necesitan un proceso de comunicación abierto, multidireccionado, capaz de transmitir información relevante, confiable y oportuna. El proceso de comunicación es utilizado para transmitir una variedad de temas, pero queremos destacar, en este caso la comunicación de los valores éticos y la comunicación de la misión, políticas y objetivos. Si todos los trabajadores de la entidad están imbuidos de los valores éticos que deben respetar, de la misión a cumplir, de los objetivos que se persiguen y de las políticas que los encuadran, la probabilidad de un desempeño eficaz, eficiente, económico, enmarcado en la legalidad y la ética, aumenta notoriamente. 

Canales de comunicación.

Los canales de comunicación deben presentar un grado de apertura y eficacia adecuado a las necesidades de información internas y externas. El sistema se estructura en canales de transmisión de datos e información. En gran medida el mantenimiento del sistema radica en vigilar la apertura y buen estado de estos canales, que conectan diferentes emisores y receptores de variada importancia. La comunicación con los empleados, para que estos puedan hacer llegar sus sugerencias sobre mejoras o posibles cambios que proporcionen el cumplimiento de las tareas y metas. 31

Evaluación de Información y Comunicación. Existen mecanismos para conseguir la información externa pertinente sobre las condiciones de mercado, programas de competidores, novedades legislativas o de organismos de control y cambios económicos. Se suministran, a los directores y jefes de departamentos, necesitan para cumplir con sus responsabilidades.

la información que

La información está disponible, en tiempo oportuno, para permitir el control efectivo de los acontecimientos y actividades, posibilitando la rápida reacción ante factores económicos comerciales y asuntos de control. Se ha desarrollado un plan informático, a largo plazo, vinculado con las iniciativas estratégicas. Se aportan recursos suficientes, según sean necesarios, para mejorar o desarrollar nuevos sistemas de información. Las vías de comunicación, sesiones formales o informales de formación, reuniones y supervisiones durante el trabajo, son suficientes para efectuar tal comunicación .Existen mecanismos establecidos para que los empleados puedan aportar sus recomendaciones. •

Supervisión o Monitoreo.

Es el proceso que evalúa la calidad del control interno en el tiempo. Es importante monitorear el control interno para determinar si este está operando en la forma esperada y si es necesario hacer modificaciones. Las actividades de monitoreo permanente incluyen actividades de supervisión realizadas de forma permanente, directamente por las distintas estructuras de dirección. Las evaluaciones separadas son actividades de monitoreo que se realizan en forma no rutinaria, como las auditorías periódicas efectuadas por los auditores internos. Algunas de las cuestiones a tener en cuenta son: •

Constitución del comité de control integrado, por un dirigente del máximo nivel y el auditor interno, cuyo objetivo sería la vigilancia del adecuado funcionamiento del Sistema de Control Interno y su mejoramiento continuo.

•

En las organizaciones que lo justifiquen, la existencia de unidades de auditoría interna con suficiente grado de independencia y calificación profesional.

El objetivo es asegurar que el control interno funcione adecuadamente, a través de dos modalidades de supervisión: actividades continuas o evaluaciones puntuales.

32

Las primeras son aquellas incorporadas a las actividades normales o recurrentes que, ejecutándose en tiempo real y arraigadas a la gestión, generan respuestas dinámicas a las circunstancias sobrevivientes. En cuanto a las consideraciones:

evaluaciones

puntuales,

corresponden

las

siguientes

•

Su alcance y frecuencia están determinados por la naturaleza e importancia de los cambios y riesgos que estos entrañan, la competencia y experiencia de quienes los controlan y los resultados de la supervisión continuada.

•

Son ejecutados por los propios responsables de las áreas de gestión, de la auditoría interna incluidas en el planeamiento o solicitadas especialmente por la dirección y los auditores externos.

•

Constituyen todo un proceso dentro del cual, aunque los enfoques y técnicas varíen, prima una disciplina apropiada y principios insoslayables. La tarea del evaluador es averiguar el funcionamiento real del sistema: que los controles existan, estén formalizados, que se apliquen cotidianamente como una rutina incorporada a los hábitos y que resulten aptos para los fines perseguidos.

•

Responden a una determinada metodología con técnicas y herramientas para medir la eficacia directamente o a través de la comparación con otros sistemas de control probadamente buenos.

•

El nivel de documentación de los controles varía según la dimensión y complejidad de la entidad. Existen controles informales que, aunque no estén documentados, se aplican correctamente y son eficaces, si bien un nivel adecuado de documentación suele aumentar la eficiencia de la evaluación y resulta más útil al favorecer la comprensión del sistema por parte de los empleados. La naturaleza y el nivel de la documentación requieren un mayor rigor cuando se necesite demostrar la fortaleza del sistema ante terceros.

Debe confeccionarse un plan de acción que contemple el alcance de la evaluación, las actividades de supervisión continuadas existentes, las tareas de los auditores internos y externos, áreas o asuntos de mayor riesgo, programa de evaluaciones, evaluadores, metodología y herramientas de control, presentación de conclusiones y documentación de soporte, seguimiento para que se adopten las correcciones pertinentes. Normas de Supervisión o Monitoreo. 

Evaluación del Sistema de Control Interno.

La dirección de la entidad y cualquier funcionario que tenga a su cargo un área de segmento de organización, programa, proyecto o actividad, debe evaluar periódicamente la eficacia de su Sistema de Control Interno y comunicar los resultados ante quien es responsable.

33

Un análisis periódico de la forma en que ese sistema está operando le proporcionará, al responsable, la tranquilidad de un adecuado funcionamiento, o la oportunidad de su corrección y fortalecimiento. 

Eficacia del Sistema de Control Interno.

El Sistema de Control Interno se considera efectivo en la medida en que la autoridad a la que apoya cuente con una seguridad razonable en la información acerca del avance en el logro de sus objetivos y metas y en el empleo de criterios de economía y eficiencia, la confiabilidad y validez de los informes y estados financieros, el cumplimiento de la legislación y normas vigentes, incluida las políticas y los procedimientos emanados de la propia entidad, esta norma fija el criterio para calificar la eficacia de un Sistema de Control Interno, basándose en las tres materias del control: •

Las operaciones.

•

La información financiera.

•

El cumplimiento con las leyes, decretos, reglamentos y cualquier tipo de normativa 

Auditorías del Sistema de Control Interno.

Deben practicarse auditorías, las que informarán sobre la eficacia y eficiencia del Sistema de Control Interno, proporcionando recomendaciones para su fortalecimiento si correspondiera. En el juego de interrelaciones de elementos que configuran y sustentan el Sistema de Control Interno, las auditorías desempeñan un papel importante. Estos exámenes, practicados sobre bases de normas y procedimientos generalmente aceptados, permiten obtener una opinión técnica válida sobre el estado y funcionamiento de un Sistema de Control Interno. La naturaleza, extensión y frecuencia de las evaluaciones del Sistema de Control Interno deben variar en función del nivel de riesgo determinado y de la ponderación de la importancia del control para reducirlo. La auditoría debe ajustarse a un método objetivo y sistemático que, razonablemente, incremente la probabilidad de la formación de un juicio acertado. 

Validación de los supuestos asumidos.

Se deben validar, en forma periódica, los supuestos que sustentan los objetivos de una organización. Los objetivos de una entidad y los elementos de control que respaldan su logro descansan en supuestos fundamentales acerca de cómo funciona su entorno.

34

Con frecuencia se sostienen ampliamente, en una organización, los supuestos acerca de cómo funciona el sistema, aunque el personal puede desconocerlos. Dichos supuestos inconscientes pueden inhibir la capacidad de adaptarse al cambio, debido a que conducen al personal a descartar toda aquella información que no se ajusta a sus conceptos. Se necesita un diálogo abierto para identificar los supuestos. Si los supuestos de una organización no son válidos, el control puede ser ineficaz, por lo que la revalidación periódica de los supuestos de la organización es clave para la eficacia del control. 

Tratamiento de las deficiencias detectadas.

Toda deficiencia que afecte o pueda llegar a afectar la efectividad del Sistema de Control Interno debe ser informada. Deben establecerse procedimientos que determinen sobre qué asuntos, en qué forma y ante quién se presentará tal información. Las deficiencias en el funcionamiento del Sistema de Control Interno, dada su importancia, deben ser rápidamente detectadas y comunicadas. El término deficiencia debe entenderse en sentido amplio, es decir, cualquier "condición" dentro del sistema que sea digna de atención. La identificación de las deficiencias puede surgir de diferentes fuentes: el propio control interno, la supervisión y la evaluación. También, a través de la relación con terceros, por medio de reclamos, demandas, etc. La comunicación de las deficiencias debe seguir, normalmente, el camino que conduce al inmediato superior, pero la orientación general debe ser que finalmente llegue a la autoridad que puede tomar la acción correctiva. Un caso que puede servir de ejemplo es aquel en el que el problema detectado invade los límites organizacionales; aquí la comunicación debe ser dirigida al nivel suficientemente elevado como para asegurar una acción apropiada. Se deben informar las deficiencias detectadas que superen un límite señalado en cuanto a su relevancia y repercusión. Evaluación de la Supervisión y Monitoreo. La dirección, responsable de las operaciones compara la producción, las existencias, las ventas u otra información conseguida en el curso de sus actividades diarias, con la información generada a través de los sistemas. Evaluar hasta qué punto las comunicaciones recibidas de terceros corroboran la información generada dentro de la organización o indican problemas. Comparación periódica de los importes registrados por el sistema de contabilidad con los activos materiales. Analizar la respuesta de la entidad ante las recomendaciones de los auditores internos y externos para fortalecer los controles internos.

35

Se insiste en el cumplimiento del código de ética o conducta de la entidad y si regularmente se llevan a cabo actividades de control esenciales. Valorar la efectividad de las actividades de auditoría interna. 1.6

LIMITACIONES DEL CONTROL INTERNO.

•

El concepto SEGURIDAD RAZONABLE está relacionado con el reconocimiento explícito de la existencia de limitaciones inherentes del Control Interno.

•

En el desempeño de los controles pueden cometerse errores como resultado de interpretaciones erróneas de instrucciones, errores de juicio, descuido, distracción y fatiga.

•

Las actividades de control dependientes de la separación de funciones, pueden ser burladas por colusión entre empleados, es decir, ponerse de acuerdo para dañar a terceros.

•

La extensión de los controles adoptados en una organización también está limitada por consideraciones de costo, por lo tanto, no es factible establecer controles que proporcionan protección absoluta del fraude y del desperdicio, sino establecer los controles que garanticen una seguridad razonable desde el punto de vista de los costos que son inherentes a todos los sistemas de control interno, como por ejemplo: las opiniones en que se basan las decisiones pueden ser erróneas, los encargados de establecer controles tienen que analizar su relación costo/beneficio, etc. Además los controles pueden evadirse si dos o más trabajadores se lo proponen. También la Administración podría hacer caso omiso del sistema de control interno. Conclusiones: •

El Control Interno es una herramienta de suma importancia para salvaguardar y proteger aspectos tales como de índole financiero, económico, etc. Pues su debida utilización trae consigo que en las entidades permanezca un debido orden acorde a lo establecido por las resoluciones pertinentes en cada territorio nacional para las entidades.

•

La utilización del Control Interno en las entidades permite que se reduzcan en gran magnitud las ilegalidades y corrupción dentro del marco laboral, ya que obliga a cada elemento de la organización a ser mayor controlado por la persona pertinente. Recomendaciones:

•

Recomendamos a seguir profundizando en este abarcador y abundante tema en cuanto al control interno, con fines de llevarlo a su máxima utilización en las entidades.

36

•

Tener en cuenta las nuevas modificaciones y resoluciones establecidas, tanto en el ámbito territorial e internacional emitidas por las instituciones pertinentes, para darle cumplimiento interno en cada institución.

37

PRESENTACIÓN El control visto según quien lo ejerce Desde la perspectiva de quien lo ejerce, el control se ha clasificado en dos, el externo y el interno. A nivel mundial, en el sector público el control externo incluye desde la acción de los Órganos Superiores de Control hasta la de la sociedad civil, que exigen transparencia, eficiencia y eficacia en el uso de los fondos públicos, y el control interno incluye la acción de la Administración Activa como la principal responsable de la idoneidad de ese control interno y de su aplicación, y la de las Auditorías Internas como un mecanismo más de control, que desempeña una función asesora y de servicio que agrega valor a la gestión institucional y debe proporcionar una garantía razonable de que la actuación del jerarca y del resto del personal se ejecuta de conformidad con sanas prácticas y el marco legal vigente. En materia de control interno, el apoyo de los Órganos Superiores de Control a la Administración Activa, sujeto pasivo de su competencia, se materializa mediante la emisión y actualización de normativa, labores de asesoramiento e informes con instrucciones que propicien mejoras y fortalecimiento en los sistemas de control interno que diseña, aplica y mantiene esa Administración. Nuevos enfoques de control interno El crecimiento de los mercados, los cambios tecnológicos, la necesidad de seleccionar la información más útil de entre grandes cantidades, la promulgación de leyes y otros instrumentos jurídicos con mayores exigencias de control, la aparición de nuevas formas de abuso de los bienes públicos y el creciente reclamo a los administradores públicos de rendir cuentas por su gestión, son condiciones que requieren la toma de acciones concretas por parte de la Administración Activa para mejorar sus sistemas de control interno, a fin de que éstos se conviertan en herramientas efectivas para conducir a las instituciones hacia el logro de su cometido, aprovechar al máximo los recursos disponibles y prevenir el desperdicio y el uso inadecuado o ilícito de esos recursos. Como respuesta a esos cambios, se han desarrollado métodos que permiten tener una visión global y estratégica de las organizaciones y de su entorno, como punto de partida para el éxito en la gestión. Estos esfuerzos han dado como resultado diversos enfoques de control interno que actualmente configuran una concepción más novedosa e integral del papel que el control debe cumplir como parte de los sistemas administrativos y por ende, de un sistema de rendición de cuentas. Estructura de las normas La presente normativa es de carácter general y se estructura en seis grupos de normas; el primer grupo se refiere al concepto de control interno, sus objetivos, sus componentes y los responsables de él; a continuación aparecen cinco grupos de normas asociados con cada componente funcional del control interno (ambiente de control, valoración del riesgo, actividades de control, sistemas de información y seguimiento 1). Todas las

38

normas se interrelacionan y regulan el cumplimiento de la finalidad del sistema de control interno; por tanto, deben considerarse integralmente. Cada norma comprende un enunciado y una declaración interpretativa. El enunciado es la parte que, con las excepciones en contrario que se indiquen donde corresponda, reviste carácter vinculante para la Administración; por su parte, la declaración interpretativa procura aclarar conceptos y ofrecer comentarios sobre la manera como se espera que las instituciones implanten lo dispuesto en el enunciado respectivo, sin obviar la necesidad de analizar su situación particular y determinar cuál es, en sus circunstancias distintivas, la mejor manera de poner en práctica lo dispuesto por la norma correspondiente. Para una mayor comprensión se adjunta un glosario de términos utilizados en la elaboración de esta normativa y un resumen ejecutivo que orienta respecto de los criterios básicos para establecer y mantener un control interno efectivo. Evolución del concepto de control interno La primera definición de “control interno” apenas presentaba indicios de la composición y la finalidad de ese concepto, y no daba respuesta a interrogantes como cuál es la relación entre el control y los objetivos de la organización, quién es el responsable del control y qué relación existe entre el proceso administrativo y el control. Posteriormente, la Comisión de Normas de Control Interno de la Organización Internacional de Instituciones Fiscalizadoras Superiores (INTOSAI) definió el control interno como el plan de organización y el conjunto de planes, métodos, procedimientos y otras medidas de una institución, orientados a proporcionar una garantía razonable de que se cumplen los objetivos de promover operaciones metódicas, económicas, eficientes y eficaces, así como productos y servicios de la calidad esperada; preservar el patrimonio de pérdida por despilfarro, abuso, mala gestión, errores, fraudes o irregularidades; respetar las leyes y reglamentaciones y estimular la adhesión de los integrantes de la organización a las políticas y objetivos, y obtener datos financieros y de gestión completos y confiables y presentados a través de informes oportunos. A partir de ese momento se estableció un mejor señalamiento sobre algunos elementos fundamentales del actual concepto de control interno, el cual se ha definido como un proceso cuya responsabilidad corresponde a la máxima autoridad de la organización, y que debe asegurar razonablemente el logro de los objetivos institucionales. La Comisión mencionada se refiere al control interno como “una herramienta gerencial usada para brindar una seguridad razonable de que los objetivos gerenciales están siendo alcanzados”; asimismo, ha mantenido que el garantizar en sus organizaciones un ambiente de control eficaz es parte primordial de la responsabilidad que sobre el uso de los recursos públicos tiene la Administración. En la actualidad el uso del término “control interno” no se limita al sentido tradicionalmente financiero y, por tanto, al control de las actividades administrativas, sino que abarca un concepto más amplio de “control de gestión”. Conviene comentar que como parte de esa evolución conceptual en diversos momentos se generó discusión en torno a si el control interno correspondía a una estructura, un proceso, un sistema o conjunto de sistemas o acciones, discusión que 39

terminó por referirse al control interno como un proceso, sin perjuicio de las demás clasificaciones. Informe COSO: el concepto actual de control interno Finalmente, diversas agrupaciones profesionales de alto renombre a nivel mundial unieron esfuerzos con el fin de establecer un marco conceptual de control interno integrador de las definiciones y conceptos preexistentes, que permitiera a las organizaciones públicas y privadas, a las auditorías interna y externa, a los académicos y a los legisladores contar con un modelo de referencia común sobre el tema de control. Como resultado, fue emitida la definición de control interno que aparece en el Informe COSO2, como un proceso ejecutado por el con-2 COSO.— Corresponde a las siglas de “Committee of Sponsoring Organizations of the Treadway Commision” (Comité de Organizaciones Patrocinadoras de la Comisión Treadway, agrupación que reunió la información sobre tendencias y conocimientos relativos a control interno a nivel mundial y presentó una visión actualizada de la materia, incluyendo el concepto que se encuentra vigente en los Estados Unidos de América y que ha logrado reconocimiento en diversos países y organizaciones internacionales. sejo de directores, la administración y otro personal de una institución, diseñado para proporcionar seguridad razonable con miras a la consecución de objetivos institucionales agrupados en tres categorías, a saber: la efectividad y eficiencia de las operaciones, la confiabilidad de la información financiera y el cumplimiento de las leyes y regulaciones aplicables a la organización. Fue así como se estableció que el control interno constituye, esencialmente, una herramienta útil para que la administración activa dirija su gestión y obtenga una seguridad razonable de que las actividades se están conduciendo al logro de los objetivos institucionales; por ello, también brinda elementos al jerarca3, a los titulares subordinados y, en general, a todo funcionario, para cumplir con su obligación de rendir cuentas en torno a su gestión respecto de los recursos públicos. Informe COSO: los componentes del control interno Bajo este nuevo concepto, el control interno está conformado por cinco componentes que son el ambiente de control; la valoración de riesgos; las actividades de control; la información y la comunicación, y el monitoreo, todos los cuales están inmersos en el contexto de la administración. El control interno es parte del proceso administrativo, sin embargo, no todas las actuaciones o decisiones de la administración son elementos del control interno; ejemplos de esas actuaciones excluidas son la definición de objetivos, misión y valores institucionales, la planeación estratégica, la determinación de objetivos por actividad, la administración de los riesgos y las acciones correctivas. Declaración de control interno Teniendo en cuenta esta evolución, la Contraloría General de la República ha decidido emitir, en su carácter de órgano rector del Ordenamiento de Control y Fiscalización Superiores de la Hacienda Pública, y en un afán por contribuir al mejoramiento de los sistemas de control interno institucionales y, por ende, al manejo legal, eficiente y eficaz del patrimonio público, estas “Normas generales de 40

control interno para la Contraloría General de la República y las entidades y órganos sujetos a su fiscalización”, en las que se ha definido el control interno como: “La serie de acciones diseñadas y ejecutadas por la administración activa para proporcionar una seguridad razonable en torno a la consecución de los objetivos de la organización, fundamentalmente en las siguientes categorías: a) Proteger y conservar el patrimonio público contra cualquier pérdida, despilfarro, uso indebido, irregularidad o acto ilegal; b) Confiabilidad y oportunidad de la información; c) Eficiencia y eficacia de las operaciones; y d) Cumplir con el ordenamiento jurídico y técnico.” ¿Qué tópicos contempla el control interno? De acuerdo con la nueva percepción, el control interno no acaba en el mantenimiento de registros contables correctos y la detección de fraudes; sino que además sirve como elemento facilitador y orientador para que la administración conduzca la institución efectivamente hacia el cumplimiento de su misión y el logro de sus objetivos. Tomando como base el deber constitucional de todo funcionario público, y particularmente los jerarcas, respecto a rendir cuentas acerca del desempeño institucional, no se puede dejar de lado que éste se sustenta con asuntos de naturaleza estratégica—aunque como ya se comentó no son parte del control interno—, tales como: xvi la identificación de un estado futuro deseado, la creación de un ambiente que propicie un trabajo entusiasta con miras a ese estado futuro, y la definición de criterios y parámetros que permitan conocer, por una parte, los logros de la institución, y por otra, los modos como diversas variables internas y externas propician su avance o lo dificultan, de tal suerte que sea posible introducir 41

cambios sobre la marcha para reencauzar una ejecución desviada o estimular los factores que propicien un cumplimiento exitoso de lo previsto. ¿Quién es responsable por el control interno? El enfoque propuesto es claro en afirmar que la mayor responsabilidad por el establecimiento, la evaluación y el perfeccionamiento del sistema de control interno es inherente al jerarca unipersonal o colegiado de la institución y a sus titulares subordinados—principio recogido en los artículos 2 y 10 de la Ley General de Control Interno, en el artículo 18 de la actual Ley de Administración Financiera y Presupuestos Públicos y en otra normativa aplicable—. En ese sentido, dado que no existe ningún sistema de control uniforme que se pueda aplicar en todas las organizaciones sin que resulte necesario adaptarlo a cada una de ellas, corresponde a la máxima autoridad, con el apoyo de sus titulares subordinados, analizar las características institucionales distintivas (lo que implica sopesar, entre otros factores, su disponibilidad de recursos, sus necesidades de información y los rasgos particulares que le definen sus entornos interno y externo) para proceder a diseñar un sistema de control interno específicamente adaptado a la organización, así como evaluarlo periódicamente para determinar la necesidad de introducirle modificaciones que contribuyan 42

a aumentar su eficiencia. xvii ¿Quiénes ejecutan el control interno? Como complemento, no puede dejarse de lado el hecho de que el control es efectuado por personas, por lo que la institución debe esforzarse por obtener un recurso humano que cuente con características idóneas para el cumplimiento de sus labores, incluyendo la aceptación de la responsabilidad que le compete por la práctica y la ejecución de los controles aplicables a su área específica de trabajo y por procurar que aquellos funcionen de modo eficaz y se vayan perfeccionando. ¿El control interno garantiza el éxito? En relación con lo anterior, se debe considerar que, por la naturaleza falible intrínseca al ser humano, el control interno está sujeto a la probabilidad de ser mal entendido o mal ejecutado, por el desconocimiento o actitudes como el descuido y la apatía, estados como la fatiga o acciones como la colusión, así como a la imposibilidad práctica de establecer sistemas de control interno que cubran todos los posibles riesgos que enfrente la organización. Estas situaciones provocan que el control interno sólo pueda rendir una seguridad razonable, y nunca una certeza absoluta, acerca del cumplimiento de los objetivos 43

organizacionales. Lo comentado debe ser advertido por el responsable del control interno, a quien corresponde hacer el mejor esfuerzo para superar dichas limitaciones; de lo contrario se afectarían negativamente los sistemas respectivos y, consecuentemente, el éxito de los esfuerzos por cumplir con los objetivos institucionales. Costo/beneficio de los controles internos Como parte de la evaluación de las condiciones institucionales distintivas, se hace referencia al análisis del costo frente al beneficio como un criterio adicional para decidir si la operación de un mecanismo de control determinado podría beneficiar a la institución, tomando en xviii cuenta que no es lógico ni aceptable implantar controles cuyo costo sea mayor que el beneficio que pueda esperarse de ellos. En tal caso, lo que procedería, entre otros, es que la administración instale controles adicionales y complementarios, y aumente la supervisión sobre los procesos involucrados, procurando siempre que los controles diseñados e implantados agreguen valor a los procesos institucionales y no se conviertan en un obstáculo. Unidad de auditoría interna Finalmente, es necesario recalcar la conveniencia de que se establezca una unidad de auditoría interna bien organizada, 44

a la que se dote de los recursos necesarios para llevar a cabo sus funciones, según prescribe el artículo 27 de la Ley General de Control Interno. No obstante, el jerarca y el titular subordinado deben tener presente, en todo momento, que la creación de tal unidad no los exime de su responsabilidad por el control interno. La auditoría interna debe percibirse, como un mecanismo más de control, que desempeña una función asesora y de servicio que agrega valor a la gestión institucional, apoya a la administración en el descargo de sus labores de control interno, mediante el suministro de comentarios y sugerencias derivadas de la evaluación de las medidas de control que operan en la institución, generando resultados tendentes a mejorarlas y que proporciona a la ciudadanía, una garantía razonable de que la actuación del jerarca y del resto del personal se ejecuta de conformidad con sanas prácticas y el marco legal vigente. En todo caso, la administración debe estar atenta a los requisitos y plazos que para el trámite de los “informes de auditoría”, disponen los artículos 36, 37 y 38 de la Ley General de Control Interno, teniendo presente las eventuales responsabilidades por incumplimientos y xix las consecuentes sanciones previstas por el ordenamiento jurídico. 1 45

CAPÍTULO I. NORMAS GENERALES RELATIVAS AL CONCEPTO DE CONTROL INTERNO 1.1. Definición del control interno 1.2. Objetivos del control interno 1.3. Componentes del control interno 1.4. Responsabilidad por el control interno 1.1. Definición del control interno El control interno4 será definido como la serie de acciones diseñadas y ejecutadas por la administración activa para proporcionar una seguridad razonable en torno a la consecución de los objetivos de la organización, fundamentalmente en las siguientes categorías: a) Proteger y conservar el patrimonio público contra cualquier pérdida, despilfarro, uso indebido, irregularidad o acto ilegal; b) Exigir confiabilidad y oportunidad de la información; c) Garantizar eficiencia y eficacia de las operaciones; y d) Cumplir con el ordenamiento jurídico y técnico. Declaración interpretativa El control interno constituye una faceta fundamental de la gestión administrativa. Se trata de la serie de sistemas, decisiones, acciones e instrumentos de aplica4 Según Ley Nro. 7428 del 7 de setiembre de 1994, “sistemas de control interno” o “sistema de control interno”.

46

2 ción consistente, articulados en los procesos y proyectos de la organización, que se desarrollan en puntos previos, coincidentes o posteriores a determinados actos administrativos como un medio para el logro de los objetivos previstos. Así, el control interno está presente en todos los procesos institucionales desde antes que éstos den inicio y, mediante procesos de verificación y otros similares, hasta después de que han concluido. En efecto, los cinco componentes del marco integrado de control interno que se identifican en este manual—a saber, (1) el ambiente de control, (2) la valoración del riesgo, (3) las actividades de control, (4) los sistemas de información, y (5) el seguimiento, sobre los cuales se diseñará la normativa general de control interno aplicable al Sector Público Costarricense—están interrelacionados y se integran al proceso de gestión institucional. El control interno, lejos de ser un fin en sí mismo que interfiera el accionar de las organizaciones, es un medio más para el logro de objetivos y la protección del patrimonio público. Por lo tanto, debe entenderse como un proceso que, bajo la responsabilidad indelegable de la máxima autoridad, es ejecutado por ella y por todos y cada uno de los integrantes de la organización. En este sentido, es un control administrativo que se crea dentro de los organismos como parte de su infraestructura y de 47

la dinámica de los procesos de trabajo, para ayudar a los administradores en su labor de dirección, de manera que les permita alcanzar los resultados programados en sus planes tácticos y estratégicos. Es así como, mediante el control interno, se promueve la administración basada en resultados. 3 1.2. Objetivos del control interno El control interno tiene como fin coadyuvar con la organización en el cumplimiento de sus objetivos, fundamentalmente en las siguientes categorías: • Eficiencia y eficacia de las operaciones. • Confiabilidad y oportunidad de la información. • Cumplimiento de la normativa vigente. • Protección y conservación del patrimonio contra pérdida, despilfarro, uso indebido, irregularidad o acto ilegal. Declaración interpretativa El control interno procura proporcionar una seguridad razonable de que la organización alcance los objetivos en las siguientes categorías: • Eficacia y eficiencia de las operaciones, lo que implica una conducción adecuada de las actividades organizacionales, haciendo un uso apropiado de los recursos disponibles y atendiendo las mejores prácticas que dicten la técnica y el ordenamiento jurídico, lo que 48

idealmente debe conducir al logro de los objetivos al menor costo. • Confiabilidad y oportunidad de la información, incluyendo informes sobre la ejecución presupuestaria, estados financieros y otros informes contables, administrativos y de otra naturaleza, para uso interno y externo. Los informes serán confiables si contienen la información precisa, veraz y exacta relacionada con el asunto que traten; y serán oportunos si contienen los datos suficientes y se comunican en tiempo propicio para que las autoridades pertinentes emprendan acciones adecuadas para promover una gestión eficaz y 4 eficiente al servicio de la ciudadanía. • Cumplimiento de la normativa aplicable, sea ésta de carácter jurídico (leyes, decretos, reglamentos, jurisprudencia legal y constitucional, etc.), técnico (documentos normativos emitidos por autoridades con competencia en materias específicas) o administrativo (disposiciones internas de la institución). Debe tenerse particularmente presente el principio de legalidad consagrado en el artículo 11 de la Constitución Política y en el artículo 11 de la Ley General de la Administración Pública. • Obtención de una seguridad razonable en cuanto a la protección de los activos y a la detección y corrección 49

oportunas de eventuales desviaciones y usos indebidos. Por ello se dice que el control interno también resulta útil como “primera línea de defensa” que sirve de salvaguarda de los activos y coadyuva en la prevención y detección de errores y fraudes. El sistema de control interno debe promover el esfuerzo de los miembros de la organización a todos los niveles, con miras al cumplimiento de estos objetivos, cuya consecución llevará, mediante un resultado sinérgico, al logro de las ideas rectoras de la institución, a saber, su misión, su visión y sus valores claves. Asimismo, debe señalar las actuaciones impropias que eventualmente se presenten, incluyendo al efecto métodos para detectar si las medidas y los mecanismos de control adolecen de alguna debilidad o han sido violados. Esto permitirá que la administración disponga lo pertinente para fortalecer el sistema y para corregir actuaciones apartadas de los objetivos o contraproducentes para ellos, a raíz de esas eventuales infracciones. 5 1.3. Componentes del control interno Los componentes del control interno son funcionales y orgánicos. Los componentes funcionales son el ambiente de control, la valoración del riesgo, los sistemas de información, las actividades de control y el seguimiento. Los componentes orgánicos 50

son la Administración Activa y la Auditoría Interna. Declaración interpretativa Las tendencias mundiales, con base en el Informe COSO, reconocen los siguientes cinco componentes funcionales del sistema de control interno: • El ambiente de control, relacionado con las actitudes y acciones de los jerarcas, los titulares subordinados y demás funcionarios de la institución, sus valores y el ambiente en el que desempeñan sus actividades dentro de la institución, que sirva como fundamento para la operación exitosa de los demás componentes y el sistema como un todo. • La valoración del riesgo, que conlleva la existencia de un sistema de detección y valoración de los riesgos derivados del ambiente—entendidos como los factores o situaciones que podrían afectar el logro de los objetivos institucionales—, que permita a la administración efectuar una gestión eficaz y eficiente por medio de la toma de acciones válidas y oportunas para prevenir y enfrentar las posibles consecuencias de la eventual materialización de esos riesgos, entendida como el hecho de que el perjuicio al logro de los objetivos institucionales por esos riesgos deje de ser probable y se convierta en una realidad. • Las actividades de control, que comprenden todos los 51

métodos, políticas, procedimientos y otras medidas 6 establecidas y ejecutadas como parte de las operaciones para asegurar que se están aplicando las acciones necesarias para manejar y minimizar los riesgos y realizar una gestión eficiente y eficaz. • Los sistemas de información, que comprenden los sistemas de información y comunicación existentes en la institución, los cuales deben permitir la generación, la captura, el procesamiento y la transmisión de información relevante sobre las actividades institucionales y los eventos internos y externos que puedan afectar su desempeño positiva o negativamente. • El seguimiento, que consiste en un proceso de seguimiento continuo para valorar la calidad de la gestión institucional y del sistema de control interno. La administración activa, como componente orgánico con la responsabilidad establecida, debe fortalecer los cinco componentes funcionales del control interno a fin de obtener un sistema sano y confiable. En efecto, si bien el ambiente de control constituye la base fundamental del sistema, sobre la cual se apoyan e interactúan los otros componentes, lo cierto es que el sistema será tan fuerte como el más débil de sus componentes. Por ende, para aseverar que la organización cuenta con un sistema de control interno adecuado, es necesario poder 52

afirmar lo mismo respecto de cada uno de sus cinco elementos. Por su parte, la Auditoría Interna, con su responsabilidad de asesoría, advertencia y fiscalización, debe emitir recomendaciones y sugerencias relevantes y oportunas para reforzar dichos componentes. 7 1.4. Responsabilidad por el control interno La responsabilidad principal por el diseño, la implantación, la operación, la evaluación, el mejoramiento y el perfeccionamiento del control interno es inherente al jerarca y a los titulares subordinados de cada organización. Por su parte, las jefaturas en cada área de la institución deben velar porque las medidas de control específicas relativas a su ámbito de acción sean suficientes y válidas, y porque los funcionarios sujetos a su autoridad jerárquica las apliquen cumplidamente. Declaración interpretativa Esta norma es congruente con el artículo 10 de la Ley General de Control Interno, con el artículo 18 de la Ley de la Administración Financiera de la República y Presupuestos Públicos y con otra normativa aplicable, se relaciona estrechamente con la obligación que tienen los administradores de los recursos públicos, de rendir cuentas 53

a la colectividad acerca del modo como han usado tales recursos en la gestión organizacional, ya que el control es el instrumento básico de que disponen para asegurarse de que, en el desempeño diario, se actúe de conformidad con valores y con disposiciones legales, técnicas y administrativas previamente establecidos para promover el cumplimiento de la misión y el logro de los objetivos trazados para la institución. En virtud de lo anterior, el jerarca establece los criterios fundamentales de control y aprueba los mecanismos y medidas correspondientes para su puesta en práctica. Por su parte, los titulares subordinados son responsables por el control interno que funciona dentro del ámbito de acción específico y de ejercer una supervisión directa sobre los miembros de su equipo de trabajo para 8 guiarlos en la observancia de los controles aplicables. Finalmente, corresponde a todos los funcionarios sujetarse, en todo momento, a los controles definidos por la dirección para su puesto de trabajo; aplicarlos oportuna y correctamente, y hacer notar a sus superiores las deficiencias que observen en tales controles. 9 CAPÍTULO II. NORMAS GENERALES RELATIVAS AL AMBIENTE DE CONTROL 2.1. Ambiente propicio para el control 54

2.2. Actitud de apoyo superior al control interno 2.3. Valores de integridad y ética 2.4. Administración eficaz del potencial humano 2.5. Estructura organizativa 2.6. Delegación 2.7. Coordinación de acciones organizacionales 2.8. Participación del personal en el control interno 2.9. Adhesión a las políticas institucionales 2.10. Atmósfera de confianza 2.11. Auditoría Interna 2.1. Ambiente propicio para el control La administración activa, principalmente el jerarca, debe fomentar un ambiente propicio para la operación del control interno, mediante la generación de una cultura que promueva, entre los miembros de la institución, el reconocimiento del control como parte integrante de los sistemas institucionales. Declaración interpretativa La labor fundamental de la administración activa, primordialmente el jerarca, radica en conducir actividades para satisfacer objetivos determinados, planificando, 10 organizando, dirigiendo, coordinando y controlando para ello el esfuerzo humano y el uso de los recursos disponibles en la organización. Entre otras cosas, lo anterior implica generar un ambiente de trabajo que, por un 55

lado, contribuya con la prestación oportuna de los servicios y la realización eficiente de las operaciones por parte de todos los funcionarios, y por otro, incentive el apoyo continuo a las actividades, prácticas y mecanismos de control vigentes dentro de la organización. Como parte de ese ambiente, la administración debe promover actitudes acordes con la cultura de control, mediante la aplicación de una filosofía y estilo administrativos propicios para ese objetivo, y el empleo de las herramientas y los recursos que estime pertinentes para difundir esa cultura, como son los sistemas de incentivos y la capacitación. 2.2. Actitud de apoyo superior al control interno El jerarca, en su calidad de responsable por el sistema de control interno, debe mostrar constantemente una actitud de apoyo a las medidas de control implantadas en la institución, mediante la divulgación de éstas y un ejemplo continuo de apego a ellas en el desarrollo de las labores cotidianas. Declaración interpretativa La actitud de apoyo al control que muestre el jerarca se convertirá en un elemento catalizador especialmente importante para generar, en todo el personal, un compromiso de aplicación eficaz de los procesos y mecanismos 56

de control correspondientes a su área específi11 ca de actividad. En vista de lo anterior, el jerarca y, por extensión, los integrantes de su nivel directivo son responsables de fijar la pauta en cuanto al comportamiento aceptado en la institución. Para ello, no basta con que expresen verbalmente su adhesión a las disposiciones y reglas de control vigentes, sino que, en todo momento, deben conducirse con estricto apego a ellas. 2.3. Valores de integridad y ética Los responsables del control interno deberán determinar y fomentar los valores de integridad y ética de aplicación deseable para beneficiar el desarrollo de los procesos y actividades institucionales, así como establecer mecanismos que promuevan la adhesión del personal a esos valores. Declaración interpretativa El accionar de la organización refleja los valores o motivaciones que inducen a sus miembros a comportarse como lo hacen. Por esa razón, el jerarca y los titulares subordinados deben identificar cuáles son los rasgos y cualidades éticos y morales necesarios en su personal para impulsar el sistema organizacional hacia un óptimo funcionamiento. A los efectos, los procesos de reclutamiento y selección de personal deben conducirse teniendo presentes esos rasgos y cualidades, de forma que se asegure la contratación de nuevos funcionarios que ya 57

los reúnan o que, al menos, ostenten principios congruentes con los impulsados por el jerarca y, en general, por la administración activa. Con todo, la labor de la administración al respecto no acaba en la etapa de selección; por lo contrario, le 12 corresponde asegurarse de que las características de integridad y ética continúen presentes en sus funcionarios y se manifiesten en su accionar diario. Así, la administración puede valerse de medios de difusión de la cultura que presenten aquellas características o actitudes que, directa o indirectamente, reflejen los valores de integridad y ética deseables en la organización. Por otra parte, la administración debe implantar medidas y mecanismos válidos para fomentar la adhesión permanente a una escala de valores correcta desde el punto de vista social, profesional y de la cultura organizativa, así como la sujeción permanente al ordenamiento jurídico vigente. 2.4. Administración eficaz del potencial humano El control interno debe incluir las políticas y los procedimientos necesarios para asegurar una apropiada planificación y administración del potencial humano de la institución, de manera que 58

se asegure desde el reclutamiento y hasta el mantenimiento al servicio de la institución, de funcionarios que reúnan competencias (habilidades, actitudes y conocimientos) idóneas para el desempeño de cada puesto Declaración interpretativa La importancia del elemento humano radica en que el funcionamiento eficaz de los sistemas de control interno dependen de cuán adecuadamente desempeñe su función cada uno de los miembros de la organización y de cuán claramente comprendan su papel para el cumplimiento de los objetivos. En efecto, la aplicación exi13 tosa de las medidas, los mecanismos y los dispositivos de control implantados por la administración está sujeta, en gran parte, a la calidad del potencial o recurso humano con que se cuente, pues a éste le corresponde la ejecución de esas medidas y el accionar de esos dispositivos y mecanismos de manera idónea. En vista de lo anterior, el jerarca debe diseñar y poner a operar un proceso de administración de recurso humano que le garantice la adquisición y el mantenimiento de personal idóneo. En el primer caso, se contemplan actividades de planificación de necesidades, reclutamiento, selección y contratación técnicamente correctas y transparentes. En el otro, se agrupan, entre otros asuntos, la creación de condiciones laborales idóneas, 59

la promoción de actividades de capacitación y formación que permitan al personal aumentar y perfeccionar sus conocimientos y destrezas, y la existencia de un sistema de evaluación del desempeño, rendición de cuentas e incentivos que motiven la adhesión a los valores y controles institucionales. El proceso de administración mencionado debe contemplar definir políticas y procedimientos adecuados para que se ejecuten correctamente todas las tareas referentes a la planificación, adquisición, conducción y desarrollo del personal, considerando que tales políticas y procedimientos constituyen, a la postre, una combinación de controles aplicables a la gestión de recursos humanos por parte de los encargados de ésta, a saber, la unidad respectiva y los funcionarios que, por detentar cargos de jefatura, deben ejercer liderazgo sobre los individuos que conforman el equipo de trabajo puesto a sus órdenes. En todo caso, debe tenerse presente, además, que una administración apropiada del personal requiere la aplicación de principios de justicia y equidad, 14 así como la adhesión al régimen de derecho y al marco jurídico de la relación laboral. En general, la definición del número de servidores requeridos y de las competencias deseables debe estar respaldada por un análisis de la organización y sus actividades 60

y ser producto de una adecuada planificación de personal. Los requisitos que se establezcan deben observar no sólo los conocimientos prácticos o académicos que posee un individuo y que, por ende, lo deberían capacitar para desarrollar un trabajo de conformidad con la excelencia que la organización debería esperar y promover en él, sino también los valores, actitudes y habilidades personales que puedan servir como criterio para determinar si un futuro empleado podría colaborar eficazmente en el desarrollo de las tareas y ajustarse a lo largo del proceso a la institución y su cultura. Por lo demás, en cuanto se refiere a fomentar la permanencia de personal idóneo en la institución, es necesario contemplar dos asuntos que, forzosamente, requieren atención, a saber: (1) que el personal continúe siendo competente y (2) que se mantenga al servicio de la institución, en virtud del capital intelectual que ello provee y la dificultad que tiene la institución para volver a contar con él una vez que pierde miembros valiosos de su personal. 15 2.5. Estructura organizativa El jerarca debe crear una estructura organizativa que apoye efectivamente el logro de los objetivos organizacionales, y por ende, la realización de los procesos, las labores y la aplicación de los 61

controles pertinentes. Declaración interpretativa La organización es una de las funciones administrativas básicas. Implica definir una estructura organizativa que apoye el logro de los objetivos institucionales, lo cual implica definir las actividades, procesos o transacciones, especificar las labores que deben completarse dentro de la organización, distribuirlas entre los diferentes puestos, y asignarles a estos últimos no sólo la responsabilidad por su cumplimiento, sino también la autoridad necesaria para ejecutarlas a cabalidad. Adicionalmente, deben establecerse las relaciones jerárquicas entre puestos, los canales de comunicación, coordinación e información formal que se utilizarán en la organización. 2.6. Delegación La delegación de funciones o tareas en un funcionario debe conllevar no sólo la exigencia de la responsabilidad por el cumplimiento de los procesos, actividades o transacciones correspondientes, sino también la asignación de la autoridad necesaria a fin de que ese funcionario pueda tomar las decisiones y emprender las acciones más oportunas para ejecutar su cometido de manera expedita y eficaz. Declaración interpretativa 16 62

Es indispensable que el individuo a quien se exige la responsabilidad por un asunto en particular y se demanda la consecuente rendición de cuentas, también reciba la autoridad necesaria para dirigir a las personas, obtener los recursos, la capacitación y los controles que hayan sido establecidos para llevar a cabo todas las gestiones requeridas para cumplir con las responsabilidades asignadas. Por consideraciones elementales de control, la delegación de autoridad hecha por el jerarca y por los demás niveles jerárquicos de la administración activa debe quedar formalmente establecida por escrito (en manuales u otros documentos de vigencia prolongada), como una medida de protección para la administración y el funcionario respectivo, y con el propósito de que éste conozca los límites de su ámbito de acción y actúe siempre dentro de ellos. Asimismo, debe tenerse presente que, si bien cada funcionario es enteramente responsable ante sus superiores formales por el desarrollo eficaz de sus labores, el jerarca y el titular subordinado que asignan una tarea o proceso y delegan parte de su autoridad en procura de su cabal cumplimiento, comparten la responsabilidad final con aquel en quien la designación recae. Por lo demás, el ejercicio de la delegación debe realizarse, en todos los casos, de conformidad con los límites y consideraciones establecidos en los artículos 63

89 a 92 de la Ley General de la Administración Pública, Nro. 6227 del 2 de mayo de 1978. 17 2.7. Coordinación de acciones organizacionales El control interno debe contemplar los mecanismos y disposiciones requeridos a efecto de que los diversos funcionarios y unidades participantes en la ejecución de los procesos, actividades y transacciones de la institución, desarrollen sus acciones de manera coordinada y coherente, con miras a la implantación efectiva de la estrategia organizacional para el logro de los objetivos. Declaración interpretativa Es indispensable que la normativa interna establezca mecanismos de coordinación específicos, incluyendo los de autorización y aprobación de transacciones, operaciones y procesos; la supervisión; el examen de la gestión en asuntos específicos; la evaluación regular del desempeño del personal; la celebración de reuniones periódicas para monitorear el avance de determinados trabajos, y la revisión, por parte de personal especializado en diferentes disciplinas, de las tareas que lo ameriten. Igualmente, es conveniente contemplar el valor de la cultura organizacional como elemento catalizador para 64

la coordinación y coherencia institucional. Asimismo, debe considerarse que la coordinación tiene como fundamento a la planificación y que para su apropiado ejercicio se requiere una estructura orgánica idónea. Por ello, los mecanismos de coordinación deben preverse convenientemente desde las primeras etapas del proceso planificador e integrarse en la estrategia y en las consideraciones relativas a la organización formal y a las relaciones entre los diversos puestos. 18 2.8. Participación del personal en el control interno El jerarca, con el apoyo de los titulares subordinados, deberá instaurar las medidas de control propicias a fin de que los miembros del personal reconozcan y acepten la responsabilidad que les compete por el adecuado funcionamiento del control interno. De acuerdo con esa responsabilidad, los funcionarios deberán participar activamente en la aplicación y el mejoramiento de las medidas ya implantadas, así como en el diseño de controles aún más efectivos para las áreas de la organización donde desempeñan sus labores. Declaración interpretativa Todo servidor debe rendir cuentas por la manera 65

como ha desempeñado las actividades a él encomendadas, por el uso que ha hecho de los recursos recibidos para llevarlas a cabo, por el ejercicio de la autoridad que se le ha otorgado para facilitar el cumplimiento de aquellas y, finalmente, por los resultados de su gestión. Por tanto, le corresponde ejercer un control permanente sobre su propio trabajo, para determinar si su avance es satisfactorio, si se conduce con eficacia al logro del objetivo correspondiente y cómo mejorar los controles aplicados al respecto. Para ello se requiere, además, una actitud crítica y constructiva con respecto a los controles que operan en el entorno de su labor, así como la disposición, según corresponda, de mejorarlos o brindar sugerencias para fortalecerlos. Con ese fin, es especialmente necesario que cada servidor tenga un conocimiento cabal del sistema de control interno y de la importancia de su contribución al logro de los objetivos organizacionales, a fin de que desarrolle un sentido de compromiso al respecto. 19 2.9. Adhesión a las políticas institucionales En el ejercicio de sus funciones, los servidores deben observar y contribuir con sugerencias a las políticas institucionales y a las específicas aplicables 66

a sus respectivas áreas de trabajo, que hayan sido emitidas y divulgadas por los superiores jerárquicos, quienes además deben instaurar medidas y mecanismos propicios para fomentar la adhesión a las políticas por ellos emitidas. Declaración interpretativa Los funcionarios deben realizar sus funciones tomando en consideración las políticas establecidas por sus superiores jerárquicos y cuando corresponda, deben sugerir mejoras al respecto. Por su parte, los superiores jerárquicos deben asegurarse de que la adhesión requerida se dé continuamente, mediante el establecimiento de controles y factores motivadores adecuados. 2.10. Atmósfera de confianza Los responsables del control interno deberán estimular entre el personal la generación y el mantenimiento de una atmósfera de confianza basada en la difusión de información veraz, la comunicación adecuada, la delegación de funciones y técnicas de trabajo participativo y cooperativo con miras a la promoción de la lealtad, el desempeño eficaz y el logro de los objetivos institucionales. 20 Declaración interpretativa El funcionamiento eficaz del sistema de control interno y su integración a todos los procesos organizacionales 67

requieren la existencia de una atmósfera de confianza derivada de los factores que señala el enunciado. Esta atmósfera apoya el flujo de información entre la gente para tomar decisiones y actuar. Por consiguiente, se debe reforzar la existencia de mecanismos de apoyo, cooperación y retroalimentación permanentes que contribuya al mejoramiento de la calidad en el trabajo. Esto implica que todo asunto trascendente, que interfiera con la buena gestión organizacional, pueda no sólo ser detectado sino también transmitido oportunamente, por los canales de comunicación adecuados. La apertura de las comunicaciones y, a su vez, la disposición de los superiores a delegar, son indicadores del nivel de confianza que existe, con base en la seguridad acerca de la integridad y la competencia de otra persona o grupo. Un alto nivel de confianza anima a la gente a asegurarse de que todos los asuntos pertinentes e importantes sean conocidos por más de un individuo. Compartir la información y el conocimiento que ello implica, constituye un medio para lograr buenas comunicaciones y fortalecer el control al reducir la dependencia continua en la presencia, el juicio y la habilidad de una sola persona. 21 2.11. Auditoría Interna Con las salvedades que procedan, cada institución 68

debe contar con una auditoría interna adecuadamente organizada, que disponga de la independencia, el apoyo superior y los recursos necesarios para que pueda brindar una asesoría oportuna y profesional en el ámbito de su competencia y, de este modo, agregar valor a la gestión institucional y una garantía razonable de que la actuación del jerarca y demás funcionarios se realiza con apego a la legalidad y sanas prácticas. El jerarca y los titulares subordinados, por su parte, deberán fortalecer la auditoría interna y procurar la implementación de las medidas necesarias para solventar las situaciones señaladas por ella, de conformidad con la normativa jurídica, técnica y de otra naturaleza que resulte aplicable. Declaración interpretativa Con las excepciones previstas por la ley, toda institución componente de la Hacienda Pública debe tener una auditoría interna5 que se organice y funcione conforme lo disponga el auditor interno y en congruencia con la normativa aplicable, particularmente con las disposiciones, normas, políticas y directrices que emita la Contraloría General de la República6. Por su parte, la administración activa debe brindar su apoyo a dicha auditoría y dotarla de los recursos necesarios para que pueda llevar a cabo su gestión de fiscalización7; con 69

ese propósito, también es requisito la independencia funcional y de criterio que establece el ordenamiento 5 Ley General de Control Interno, artículo 20. 6 Ley General de Control Interno, artículo 23. 7 Ley General de Control Interno, artículo 27. 22 jurídico8. La auditoría interna es necesaria porque actúa como un control de controles respecto del sistema de control interno, y mediante su acción agrega valor a los procesos organizacionales como un apoyo a la administración. Además, el resultado de la fiscalización que lleva a cabo debe constituirse, para la ciudadanía, en una garantía razonable de que la actuación del jerarca y del resto del personal se realiza con apego a la legalidad y sanas prácticas. Conviene señalar que que el establecimiento de la unidad de auditoría interna no debe ser para el jerarca una razón para considerarse exento en modo alguno de su responsabilidad básica por el diseño, la implantación, la evaluación y el perfeccionamiento del sistema de control interno. En realidad, esta es una unidad que contribuye con él en un mejor desempeño de esa responsabilidad, pero no puede ni debe aceptar una obligación superior a la que le compete en lo referente al sistema. Aún más, es sólo mediante la acción del jerarca que las propuestas de la auditoría interna pueden ponerse 70

en práctica, ya que ésta no tiene autoridad funcional para exigir su aplicación. En concordancia con lo anterior, la normativa jurídica y técnica identifica a la administración activa como responsable de ejecutar, en los plazos definidos por esa misma normativa9, las recomendaciones contenidas en los informes de auditoría de la auditoría interna10, sin perjuicio de la eventual discusión de tales recomendaciones ni de que la misma administración proponga soluciones alternativas para los problemas identi8 Ley General de Control Interno, artículo 25. 9 Ley General de Control Interno, artículos 36 a 38. 10 Ley General de Control Interno, artículo 12. 11 Ley General de Control Interno, Capítulo V. 23 ficados en el ejercicio de la función de auditoría. Por lo demás, el desacato y la falta de atención oportuna de los acuerdos en que el jerarca ordene la ejecución de las recomendaciones de la auditoría interna u otras medidas tendentes a mejorar el sistema de control interno, acarrearán al infractor las responsabilidades tipificadas en el ordenamiento jurídico y, en consecuencia, las sanciones aplicables 11. Respecto de la auditoría interna existe una normativa específica emitida por la Contraloría General, contemplada fundamentalmente en el “Manual para el Ejercicio 71

de la Auditoría Interna”, según dispone el mencionado artículo 62 de su Ley Orgánica, en complemento con lo que al respecto dispone el artículo 23 de la Ley General de Control Interno. 24 CAPÍTULO III. NORMAS GENERALES RELATIVAS A LA VALORACIÓN DEL RIESGO 3.1. Identificación y evaluación de riesgos 3.2. Planificación 3.3. Indicadores de desempeño mensurables 3.4. Divulgación de los planes 3.5. Definición y comunicación de políticas de apoyo a los objetivos 3.6. Revisión de los objetivos 3.7. Cuestionamiento periódico de los supuestos de planificación 3.1. Identificación y evaluación de riesgos La administración deberá identificar y evaluar los riesgos derivados de los factores ambientales que afectan a la institución, así como emprender las medidas pertinentes para que ésta sea capaz de afrontar exitosamente tales riesgos. Declaración interpretativa El riesgo se entiende como la probabilidad de que 72

un evento interno o externo afecte negativamente la capacidad organizacional para alcanzar los objetivos planteados con legalidad, eficacia, eficiencia y economía. Así las cosas, por ser la Administración la responsable de conducir la gestión hacia los resultados esperados, a ella le corresponde identificar y evaluar los riesgos a 25 nivel de organización, direcciones, departamentos, actividades, etc. La valoración de los riesgos incluye su identificación y evaluación, y es un componente fundamental de todo sistema de control interno bien orientado, que sirve como insumo para la toma de decisiones, la conducción de las actividades y la revisión de los planes para su ajuste a las condiciones cambiantes y a los retos que plantea el riesgo identificado. Puede verse como una consecuencia directa de la observación permanente del ambiente, pues los riesgos que enfrenta la institución tienen origen en fuentes internas y externas. Además, de la misma manera como ocurre con el estudio del ambiente, la valoración de los riesgos es más que un esfuerzo teórico y de reflexión que se lleva a cabo una sola vez; en realidad, constituye un proceso activo, continuo, diario y repetitivo que realizan, con la ayuda de un sistema de información adecuado, las personas que toman decisiones en todos los niveles de la institución, como 73

base para emprender medidas congruentes con la estrategia institucional y con las condiciones imperantes en un momento dado. Así, más que el conocimiento de los riesgos propiamente dicho, lo importante de la evaluación radica en que permite: a. Identificar los factores que contribuyen a elevar el riesgo o a que éste se materialice. Para ello, la administración debe hacer un análisis de las circunstancias internas y externas en que se desarrolla la gestión institucional para determinar cuáles conllevan algún grado de riesgo, determinar en cuáles ese riesgo es más relevante (es decir, el riesgo tiene una mayor probabilidad de materializarse y ocasionar perjuicio al logro de los objetivos), y en consecuencia, asignarles prioridades para su enfrentamiento. 26 En ese sentido, conviene aclarar que, dada la limitación de recursos de una institución, es preciso definir cuáles riesgos merecen una atención inmediata y cuáles pueden recibir un menor esfuerzo. b. Emprender acciones adecuadas para enfrentar el riesgo y reducir su impacto. En efecto, habiendo identificado los riesgos más relevantes, la administración diseña estrategias para enfrentar esos riesgos, y con base en ellas implanta los controles que se ajusten mejor a sus posibilidades y que le den una 74

mayor seguridad de realizar una gestión de riesgo exitosa. Debe tenerse presente que no es posible anular por completo los riesgos ni sus efectos, pero la administración, como responsable de la buena marcha de la institución, sí debe establecer mecanismos de control de diversa naturaleza encaminados a prevenir la materialización de los riesgos y de sus eventuales consecuencias, a reducir el impacto de éstos sobre el funcionamiento de la organización, y a rendir información oportuna para la toma de decisiones y reorientar la gestión cuando ello sea necesario. c. Permanecer alerta ante cambios eventuales que podrían aumentar o disminuir la incidencia del riesgo sobre las actividades institucionales. Lo anterior implica una labor de seguimiento o evaluación constante para determinar la forma como se han modificado los riesgos y como deben cambiar los controles. 27 3.2. Planificación La identificación y evaluación de los riesgos, como componente del control interno, debe ser sustentado por un sistema participativo de planificación que considere la misión y la visión institucionales, así como objetivos, metas y políticas establecidos con base en un conocimiento adecuado de los medios interno y externo en que la organización 75

desarrolla sus operaciones. Declaración interpretativa El propósito general del control interno consiste en brindar una seguridad razonable de que la organización alcance sus objetivos de corto y largo plazos. Por ende, pese a que la planificación no forma parte del sistema de control interno, la valoración de los riesgos, como componente del sistema sí tiene como requisito previo un sistema de planificación que establezca, en planes estratégicos y operativos conocidos y aceptados por el personal, cuáles son los objetivos que se pretende lograr y controlar mediante el sistema. Así, la identificación y evaluación de riesgos se basa en una apropiada planificación porque, precisamente, se trata de riesgos que obstaculizarían el logro de los objetivos previstos. De este modo, el proceso de planificación debe considerar, en sus etapas estratégica, operativa y presupuestaria, los riesgos pertinentes para su análisis. En su faceta estratégica, el proceso planificador formula un estado futuro que resulta deseable, y define de manera general, medios y acciones idóneos para alcanzar plenamente ese estado. Para ello, efectúa un examen concienzudo de la situación actual, un análisis de las fuerzas que operan en el entorno y de las características internas más relevantes, y una evaluación de las 28 76

disposiciones legales y de los aspectos vitales para una operación institucional exitosa, así como de otros factores relevantes; todo este esfuerzo se traduce en la definición clara de la misión (razón de ser u objetivo fundamental para cuya satisfacción fue creada la institución) y de la visión (situación en que la institución desea encontrarse en el futuro), como base para determinar los objetivos generales y las acciones globales que deben ejecutarse para llevar la institución hacia ese estado futuro deseado. Como complemento, el proceso de planificación operativa convierte el plan estratégico en acciones concretas tendentes a obtener, como efecto conjunto final, el cumplimiento de los objetivos generales y, por ende, el alcance de la visión institucional. Para ello, es preciso generar metas y objetivos específicos y de corto plazo que identifiquen, entre otros, los recursos disponibles, las personas responsables de llevarlos a la práctica, la coordinación que debe darse entre las unidades participantes y la identificación y el análisis de los riesgos pertinentes. Finalmente, el plan anual lleva aparejado un presupuesto que expresa los recursos financieros necesarios para ejecutar dicho plan, de conformidad con las disposiciones aplicables. 3.3. Indicadores de desempeño 77

mensurables Los planes de la institución deberán establecer los mecanismos, criterios e indicadores que la administración usará para dar seguimiento al avance en el cumplimiento de esos planes y la medida en que han contribuido a satisfacer las metas, los objetivos y la misión institucionales. 29 Declaración interpretativa Los planes no se considerarán completos si no establecen de manera explícita los criterios que se emplearán para evaluar su ejecución. Por ello, la Administración deberá asegurar que incluyan los indicadores pertinentes, los cuales deberían haber sido adoptados en consenso con los funcionarios responsables de la ejecución de dichos planes y por ende del cumplimiento de dichos indicadores. Por regla general, debe procurarse que los indicadores respectivos sean claros, uniformes, fácilmente aplicables, medibles y de conocimiento general. En ese sentido, se dice que las metas deben ser evaluables en términos cuantitativos (por ejemplo: número de casos atendidos, cantidad de reparaciones efectuadas, etc.) más que cualitativos (por ejemplo: nivel de eficiencia, grado de satisfacción del cliente externo, etc.). Sin embargo, la naturaleza de algunas metas hace imposible su 78

cuantificación y obliga a recurrir a características cualitativas. El uso adecuado de los indicadores en el momento oportuno es tan importante como su definición acertada: si no se recurre a ellos para evaluar el desempeño del personal y los responsables de las unidades, el esfuerzo de definirlos será infructuoso y, aunque estén óptimamente diseñados, no harán notar a tiempo las desviaciones ocurridas respecto de los planes y a los resultados esperados. 30 3.4. Divulgación de los planes Los planes deberán ser divulgados oportunamente entre el personal respectivo para procurar un conocimiento y una aceptación generales, así como el compromiso requerido para su cumplimiento. Declaración interpretativa Una vez que los planes oficiales han sido preparados y están listos para entrar en vigencia, es necesario que, atendiendo a las responsabilidades de cada quien, sean dados a conocer al personal—el que debe haber participado en su definición—para que todo miembro de éste sepa a cabalidad cuál es la contribución que se requiere de él como apoyo a la voluntad organizacional. Es indispensable que los planes se presenten al personal como instrumentos de gestión, y que su divulgación se oriente a conseguir su uso efectivo como herramientas 79

para canalizar las actividades organizacionales. 3.5. Definición y comunicación de políticas de apoyo a los objetivos El jerarca debe definir y comunicar las políticas necesarias para orientar el quehacer organizacional en aras de apoyar el cumplimiento adecuado de los objetivos institucionales. El personal debe cumplir con dichas políticas y cuando corresponda canalizar sugerencias al jerarca respectivo. Declaración interpretativa Las políticas son orientaciones básicas y parámetros de acción para el desempeño de las tareas. Constitu31 yen conceptos o directrices de carácter general que el jerarca debe promulgar para guiar el raciocinio en la gestión; su esencia radica en la definición de un margen de discreción y de ciertos límites dentro de los cuales el funcionario puede actuar y tomar decisiones, cuando las circunstancias indiquen que ello es necesario para implementar mejor los planes, por ello la importancia de su acatamiento y recomendación de mejoras en aras del cumplimiento de los objetivos institucionales. 3.6. Revisión de los objetivos El jerarca respectivo, con el apoyo del resto del personal deberá revisar periódicamente los objetivos 80

e introducirles las modificaciones requeridas para que continúen siendo guías claras para la conducción de la institución y proporcionen un sustento oportuno al control interno institucional. Declaración interpretativa El proceso de planeamiento (estratégico, operativo y presupuestario) no debe considerarse concluido con la emisión de los planes. Es un proceso permanente y repetitivo que constituye un mecanismo de aprendizaje gerencial, mediante el que se obtiene un conocimiento mejorado de la institución, de sus características positivas y negativas, y de las fuerzas que la afectan o la benefician. Como continuación y complemento de él, el monitoreo del ambiente interno, del entorno exterior y de la propia gestión institucional, es esencialmente un proceso continuo que brinda nuevos datos acerca de la propiedad y la vigencia de los objetivos definidos en los planes. En este esfuerzo por analizar los objetivos, jugarán 32 un papel especialmente importante los parámetros y criterios de evaluación que hayan sido definidos como parte de los planes. Efectivamente, ellos no sólo son instrumentos que dan a la organización la capacidad de identificar y subsanar cualquier desviación en la ejecución de los planes, sino que también son útiles para indicarle la necesidad de enmendar sus estrategias, señalando 81

incluso en qué áreas de su accionar deben realizarse las modificaciones respectivas. 3.7. Cuestionamiento periódico de los supuestos de planificación Las premisas básicas que sustentan los procesos de planificación y, por ende, el desarrollo de las labores institucionales cotidianas, deberán ser analizadas y cuestionadas periódicamente para determinar su validez ante los cambios ambientales internos y externos y asegurarse el cumplimiento de los objetivos y la misión institucionales. Declaración interpretativa No puede pretenderse que algún proceso de planificación sea perfecto y se fundamente en datos que indiquen con una certeza total cuáles serán las circunstancias internas y externas que deberá enfrentar la organización para ejecutar eficazmente la estrategia formulada. Así las cosas, los planificadores deben fundamentar su trabajo en supuestos y escenarios que tengan una elevada probabilidad de ocurrencia. Algunos de esos supuestos están dados por la cultura organizacional. Muchos de ellos son aceptados inconscientemente por los individuos en cada nivel de la institución, quienes dan por sentado que una línea de 82

33 conducta es el camino óptimo para desarrollar las actividades. Otros supuestos deben ser establecidos mediante el análisis de las tendencias ambientales y demás factores importantes. En vista de la naturaleza inherente a las premisas en cuestión, existen razones válidas para que la institución mantenga una actitud crítica al respecto, entre las cuales pueden citarse como ejemplo las siguientes: a. No existe una seguridad absoluta acerca del futuro, sino sólo una cierta capacidad de previsión basada en el análisis de la institución y su entorno. b. Los factores que condujeron a establecer esos supuestos y a asumir esos escenarios pueden cambiar, por lo que la organización se ve obligada a emprender medidas apropiadas para adaptarse a la nueva situación. c. Del mismo modo como actuar con base en principios correctos, bien fundamentados y ajustados a la realidad será de gran beneficio para el éxito organizacional, la existencia de paradigmas inconsecuentes con la verdadera situación de la institución puede convertirse en un obstáculo para el logro de los objetivos. d. Los asuntos estratégicos son sumamente importantes por su sensible efecto sobre el futuro de la organización, de modo que esta última no puede permitirse el fundamentar sus actos en premisas erróneas. 83

Mediante la evaluación de los supuestos de planificación y de la forma como han sido afectados por la dinámica de los riesgos, la institución podrá identificar la necesidad de revalorar las bases sobre las cuales se han apoyado los procesos institucionales—incluyendo la planificación—, para reconciliarlas con la realidad im34 perante y convertirlas, a la luz de tales riesgos y de las condiciones actuales, en instrumentos efectivamente útiles para definir el rumbo que se quiere imprimir al quehacer organizacional. 35 CAPÍTULO IV. NORMAS GENERALES RELATIVAS A LAS ACTIVIDADES DE CONTROL 4.1. Prácticas y medidas de control 4.2. Control integrado 4.3. Análisis de costo/beneficio 4.4. Responsabilidad delimitada 4.5. Instrucciones por escrito 4.6. Separación de funciones incompatibles 4.7. Autorización y aprobación de transacciones y operaciones 4.8. Documentación de procesos y transacciones 4.9. Supervisión constante 4.10. Registro oportuno 4.11. Sistema contable y presupuestario 4.12. Acceso a activos y registros 84

4.13. Revisiones de control 4.14. Conciliación periódica de registros 4.15. Inventarios periódicos 4.16. Arqueos independientes 4.17. Formularios uniformes 4.18. Rotación de labores 4.19. Disfrute oportuno de vacaciones 4.20. Garantías a favor de la institución 4.21. Dispositivos de control y seguridad 36 4.1. Prácticas y medidas de control La administración debe diseñar y adoptar las medidas y las prácticas de control interno que mejor se adapten a los procesos organizacionales, a los recursos disponibles, a las estrategias definidas para el enfrentamiento de los riesgos relevantes y a las características, en general, de la institución y sus funcionarios, y que coadyuven de mejor manera al logro de los objetivos y misión institucionales. Declaración interpretativa Las labores y los procesos organizacionales deben incorporar medidas de control que permitan saber si en la gestión se ha actuado de conformidad con la normativa legal, técnica y administrativa aplicable, así como determinar el grado en que el cumplimiento de los objetivos 85

ha sido impulsado por el desarrollo de esas labores y procesos. Al definir cuáles mecanismos de control son los más apropiados, deben considerarse los riesgos identificados y evaluados para los diferentes procesos y actividades; la posibilidad de que se presenten errores, omisiones o acciones contrarias a los intereses de la organización durante el procesamiento; el costo que implicaría la operación de los mecanismos de control en cuestión, y la capacidad del personal para ponerlos en práctica. Por ello, las consideraciones de control que se presentan en esta sección son puntos de aplicación general y no resultan exhaustivos; por ello, cada institución debe tener presente que, dependiendo de su giro normal, pueden existir consideraciones adicionales que beneficien su sistema de control y el logro de sus objetivos. 37 4.2. Control integrado Las medidas y las prácticas de control interno diseñadas por la administración deberán establecerse para ejercer control previo, concomitante y posterior de modo tal que estén integradas en los procesos, actividades, operaciones y acciones y promuevan su ajuste a los objetivos y misión organizacionales. Declaración interpretativa Debe procurarse que el control interno se ejerza en 86

todas las etapas de los procesos que desarrolla la organización; consecuentemente, esos procesos deben contemplar medidas y procedimientos de control previo, concomitante y posterior. Cada uno de estos tipos de control tiene sus beneficios y sus desventajas; por ende, su aprovechamiento máximo depende de que la administración diseñe un sistema que combine los controles adecuadamente con las actividades y procesos. En todo caso, los procedimientos y las medidas de control previo, concomitante y posterior aplicables en la organización deben quedar establecidos en los manuales de procedimientos que emita la administración, como parte inherente de estos procedimientos. No obstante, debe tenerse presente que, por ser el control interno un proceso dinámico, tanto el sistema como los controles deben ser revisados constantemente aún cuando estén formalmente establecidos, a fin de introducir las mejoras que procedan. 38 4.3. Análisis de costo/beneficio La implantación de cualquier medida, práctica o procedimiento de control debe ser precedida por un análisis de costo/beneficio para determinar su viabilidad, su conveniencia y su contribución al logro de los objetivos. Declaración interpretativa 87

La Organización Internacional de Entidades Fiscalizadoras Superiores (INTOSAI) —agrupación internacional de organismos superiores de control— señala que mantener un sistema de control interno que eliminara todo riesgo de pérdida, resultaría una empresa utópica y probablemente más costosa que los beneficios obtenidos. En efecto, el control interno es de tal naturaleza que resulta imposible implantar un sistema que resulte perfecto y satisfaga a cabalidad todas las necesidades de la organización, por causa de factores tales como la disponibilidad de recursos de la institución y la falibilidad de los seres humanos encargados de diseñar los controles y de ponerlos en práctica. En vista de lo anterior, es necesario determinar la importancia relativa de los riesgos que se pretende minimizar con un control, evaluar los costos de los diversos controles que podrían implantarse, y confrontarlos con su contribución esperada al éxito de la institución en el cumplimiento de su misión, al logro de los objetivos y a los esfuerzos por minimizar riesgos. Como criterio elemental, debe tenerse en cuenta que ningún control debería implicar un costo mayor que el beneficio que pueda rendir. Se habla, entonces, de la viabilidad y la conveniencia como las dos consideraciones esenciales de si una medida de control será útil para 39 88

la organización. La viabilidad tiene que ver con la capacidad de la institución de implantar y aplicar el control eficazmente, lo que está determinado, fundamentalmente, por su disponibilidad de recursos, incluyendo personal con capacidad para ejecutar los procedimientos y medidas del caso y obtener los objetivos de control pretendidos. Por su parte, la conveniencia se relaciona con los beneficios esperados en comparación con los recursos invertidos, y con la necesidad de que, como indica otra norma, los controles se acoplen a los procesos, transacciones, operaciones y acciones de los funcionarios de manera natural y se conviertan en parte de ellos, a fin de que contribuyan al logro de los objetivos. Por lo demás, debe tenerse en cuenta que si un procedimiento o una práctica de control no satisfacen los criterios mencionados, los responsables de diseñar, implantar y perfeccionar el control interno deberán analizar la posibilidad de establecer medidas y procedimientos supletorios, de manera que las eventuales debilidades no queden al descubierto ni expongan al riesgo innecesariamente a la institución. 4.4. Responsabilidad delimitada La responsabilidad por cada proceso, actividad, operación, transacción o acción organizacional debe ser claramente definida, específicamente asignada y formalmente comunicada al funcionario 89

respectivo, según el puesto que ocupa. Declaración interpretativa La definición de la estructura organizativa conlleva realizar un análisis de las labores que se efectúan dentro 40 de la institución y asignar la responsabilidad por su ejecución al puesto idóneo y, por ende, al individuo apropiado, indicando cuál será el alcance de su injerencia sobre los diversos procesos, actividades, operaciones, transacciones o acciones organizacionales, y los parámetros con base en los cuales se evaluará su desempeño. Normalmente, la comunicación de tales asuntos se hace mediante las descripciones de puestos en manuales o compendios, o por medio de instrucciones impartidas por escrito y en términos claros y específicos. Esos manuales de puestos, funciones, competencias u otros, deben estar a disposición de todo el personal para que pueda utilizarlos como referencia. Igualmente, deberían utilizarse como medio de capacitación—o como referencia para ésta—a fin de que los servidores de nuevo ingreso tengan un primer acercamiento con sus cargos y con las funciones respectivas. 4.5. Instrucciones por escrito Las instrucciones de alcance general deben darse por escrito y mantenerse en un compendio ordenado, actualizado y de fácil acceso que sea de conocimiento 90

de todos y cada uno de los funcionarios de la institución. De igual manera, las órdenes e instrucciones más específicas y relacionadas con asuntos particulares de especial relevancia deben emitirse mediante nota o memorando a los funcionarios responsables de su cumplimiento. Declaración interpretativa Las instrucciones que deban ser observadas por todos los funcionarios de la institución deben ser emi41 tidas de manera clara, concisa y por escrito, independientemente de que ello se haga utilizando comunicaciones impresas o medios electrónicos. Lo anterior conlleva la necesidad de que se utilice un estilo de redacción que las haga fácilmente comprensibles con el fin de evitar que las disposiciones internas para la ejecución de las labores sean olvidadas o se presten a interpretaciones erróneas, lo que a su vez podría conducir a resultados insatisfactorios o adversos. Tales instrucciones deben ordenarse en una especie de manual o compendio de operaciones que debe ser actualizado periódicamente para ajustarlo a los cambios en las necesidades y procesos organizacionales. También, es necesario que tanto el manual como sus actualizaciones se divulguen ampliamente en la organización y estén disponibles para su ulterior consulta por parte del personal interesado. Por otra parte, las instrucciones dirigidas a uno o 91

varios funcionarios, que tengan especial importancia en virtud de su efecto sobre las operaciones, las actividades o los procesos, o de su impacto sobre los puestos respectivos también deberán darse por escrito, como medida de protección tanto para la institución como para los servidores. Ejemplos de tales instrucciones son la asignación de nuevas funciones, la solicitud de reportes especiales y la designación para participar en comisiones o en grupos de trabajo con un fin específico. 42 4.6. Separación de funciones incompatibles Deberán separarse y distribuirse entre los diferentes puestos, las funciones que, si se concentraran en una misma persona, podrían comprometer el equilibrio y la eficacia del control interno y de los objetivos y misión institucionales. Igualmente, las diversas fases que integran un proceso, transacción u operación deben distribuirse adecuadamente, con base en su grado de incompatibilidad, entre los diversos funcionarios y unidades de la institución, de tal manera que el control por la totalidad de su desarrollo no se concentre en una única instancia. Declaración interpretativa 92

Al asignar las labores a cada puesto, es preciso asegurar que en ninguno de ellos se concentren funciones de carácter incompatible, entendidas éstas como aquellas tareas cuya combinación en las competencias de una sola persona, eventualmente podría permitir la realización o el ocultamiento de fraudes, errores u omisiones. De conformidad con lo dicho, entre otras, las funciones de autorización, ejecución, aprobación y registro de transacciones, así como las de custodia de recursos, deben separarse adecuadamente para reducir el riesgo de que se presenten situaciones irregulares que menoscaben la seguridad de los bienes de la institución y el cumplimiento de los objetivos. Por las mismas razones, debe procurarse que ninguna unidad tenga a su cargo la totalidad de una transacción; operación o proceso, a efecto de evitar que posea un control completo de los recursos y las decisiones involucrados en su conclusión o requeridos para ella. Como parte de las acciones tendentes a satisfacer 43 esta norma, los manuales o compendios de procedimientos aplicados por la institución deben prever la secuencia lógica de actividades que conforman un proceso organizativo, y su asignación a funcionarios diferentes (de unidades distintas hasta donde sea posible) con base en la incompatibilidad existente entre ellas, según se indica 93

en el párrafo anterior. Conviene señalar que la implantación efectiva de medidas orientadas a asegurar la división del procesamiento de transacciones procura un control cruzado (entre unidades e individuos) de las actividades respectivas, con lo que se asegura, como efecto colateral, la corrección del resultado final. Por lo demás, es claro que las limitaciones de recursos pueden ser un obstáculo para que algunas instituciones implanten plenamente lo dispuesto por esta norma de control interno. En tales casos, deberán efectuarse las separaciones referidas hasta donde sea posible sin elevar el costo del control más allá de límites razonables, y suplir las eventuales deficiencias mediante la aplicación de medidas alternas, como pueden ser una supervisión más estrecha, el requerimiento de informes más frecuentes, la ejecución de arqueos en lapsos menores, etcétera. 44 4.7. Autorización y aprobación de transacciones y operaciones La ejecución de los procesos, operaciones y transacciones organizacionales deberá contar con la autorización respectiva de parte de los funcionarios 94

con potestad para concederla. Asimismo, los resultados de la gestión deberán someterse al conocimiento de los individuos que, en vista de su capacidad técnica y designación formal, cuenten con autoridad jerárquica para otorgar la aprobación correspondiente. Declaración interpretativa Para que puedan rendir cuentas satisfactoriamente por el descargo de los asuntos que les han sido encomendados, los administradores de todo nivel deben ejercer un control permanente sobre los procesos, las operaciones y las transacciones de su competencia, según la delegación recibida de parte de los niveles superiores. Entre los mecanismos de que disponen al efecto, les corresponde otorgar la autorización previa para la ejecución de esos procesos, operaciones y transacciones, así como evaluar los resultados del desempeño para conceder la aprobación posterior o emprender medidas destinadas a corregir cualquier producto insatisfactorio. Con ello se previene que se lleven a cabo acciones o transacciones inconvenientes o contraproducentes para la organización, para sus recursos y, por ende, para su capacidad de alcanzar los objetivos; a la vez, se obtiene una seguridad razonable de que lo realmente ejecutado se ajuste a lo que se planeó hacer y contribuya, en consecuencia, a la eficaz puesta en práctica de la estrategia. 95

45 4.8. Documentación de procesos y transacciones Los controles vigentes para los diferentes procesos y actividades de la institución, así como todas las transacciones y hechos significativos que se produzcan, deben documentarse como mínimo en cuanto a la descripción de los hechos sucedidos, el efecto o impacto recibido sobre el control interno y los objetivos institucionales, las medidas tomadas para su corrección y los responsables en cada caso; asimismo, la documentación correspondiente debe estar disponible para su verificación. Declaración interpretativa Los objetivos institucionales, los controles y los aspectos pertinentes sobre transacciones y hechos significativos que se produzcan como resultado de la gestión, deben respaldarse adecuadamente con la documentación de sustento pertinente. El primer requerimiento puede quedar satisfecho en los planes estratégicos y operativos de la organización y en la normativa interna vigente (manuales de puestos y procedimientos; circulares; disposiciones; acuerdos que consten en actas y se comuniquen a quien corresponda, etc.). El segundo tiene que ver con los documentos fuentes y los comprobantes de 96

las transacciones y operaciones. Para que se considere útil y adecuada, la documentación, en general, debe reunir los siguientes requisitos: - Tener un propósito claro. - Ser apropiada para alcanzar los objetivos de la organización. - Servir a los directivos para controlar sus operaciones. - Servir a los fiscalizadores u otras personas para ana46 lizar las operaciones. - Estar disponible y ser accesible para que el personal apropiado y los auditores la verifiquen cuando corresponda. 4.9. Supervisión constante La dirección superior y los funcionarios que ocupan puestos de jefatura deben ejercer una supervisión constante sobre el desarrollo de los procesos, transacciones y operaciones de la institución, con el propósito de asegurar que las labores se realicen de conformidad con la normativa y las disposiciones internas y externas vigentes. Declaración interpretativa La supervisión es un recurso y una obligación de todo funcionario que realice funciones de administración a diversos niveles. Como recurso permite adquirir, sobre la marcha, una seguridad razonable de que la gestión real es congruente con lo que se planeó hacer y mantener el control sobre cada paso de los procesos, transacciones y operaciones, desde el momento en que se proponen 97

y hasta después de su materialización. Como obligación, la supervisión es mucho más que una mera observación de la forma como se desarrolla el quehacer organizacional, pues además involucra comunicar a los subalternos las observaciones y recomendaciones pertinentes para mejorar la gestión, aplicar justamente la autoridad precisa para que aquéllas se implanten con eficiencia y puntualidad, y generar en el personal la motivación requerida para que colabore en la ejecución eficaz de los planes. 47 4.10. Registro oportuno Lo hechos importantes que afectan la toma de decisiones y acciones sobre los procesos, operaciones y transacciones deben clasificarse y registrarse inmediata y debidamente. Declaración interpretativa Los datos sobre transacciones realizadas por la organización y sobre hechos que la afecten, deben clasificarse y registrarse adecuadamente para garantizar que continuamente se produzca y transmita a la dirección información fiable, útil y relevante para el control de operaciones y para la toma de decisiones. Con ese fin, debe establecerse la organización y efectuarse el procesamiento necesario para registrar oportunamente la información generada durante la gestión organizacional y 98

para elaborar los reportes que se requieran. 4.11. Sistema contable y presupuestario Se establecerán sistemas contables y presupuestarios de conformidad con las disposiciones legales y técnicas vigentes. Declaración interpretativa Como medida fundamental para un control interno exitoso, debe establecerse y mantenerse actualizado un sistema de contabilidad que brinde una garantía razonable de que los registros consideran tanto los recursos disponibles, como las obligaciones adquiridas por la institución, y que brinde un conocimiento oportuno de las tran48 sacciones y una expresión de los resultados de su gestión, de conformidad con los criterios técnicos y legales aplicables. Asimismo, es preciso que exista un sistema presupuestario congruente con la normativa aplicable y que permita a la institución conocer su disponibilidad de recursos para la ejecución de los planes. Para tales efectos debe considerarse la normativa emitida por las autoridades competentes en el sector público. 4.12. Acceso a activos y registros El acceso a los activos y registros de la organización debe estar claramente definido y delimitado, de modo que sólo lo obtengan los funcionarios autorizados por razón de su cargo y de las labores correspondientes. 99

Declaración interpretativa Las responsabilidades de los funcionarios conllevan la necesidad de que éstos logren el acceso a los activos y la información requeridos para que su desempeño sea adecuado; por consiguiente, los controles deben prever la posibilidad de que cada individuo disponga de los activos precisos, a la vez que se previene el acceso a éstos de otro personal no autorizado. Lo anterior es particularmente importante en relación con activos muy sensibles en virtud de su facilidad de sustracción o eventual abuso o uso inadecuado; como en los casos del efectivo y de la información que no pueda considerarse de carácter público a la luz de la legislación vigente. Por otra parte, es preciso contemplar el efecto de los sistemas de información computadorizados sobre el acceso a los recursos, particularmente en cuanto a las 49 aplicaciones que se utilizan para conceder autorizaciones y aprobaciones, así como para obtener acceso a información específica que puede resultar sensible. En todo caso, deben implantarse las claves y los niveles de acceso pertinentes, así como los controles de uso, tales como bitácoras y pistas de auditoría, que permitan seguir el rastro en el uso de las facilidades de cómputo e informática para conocer lo actuado por los funcionarios con acceso a los sistemas y para determinar su procedencia 100

y legitimidad. 4.13. Revisiones de control Las operaciones de la organización deben ser sometidas a revisiones de control en puntos específicos de su procesamiento, que permitan detectar y corregir oportunamente cualquier desviación con respecto a lo planeado. Declaración interpretativa Como parte de las labores de control concomitante, corresponde a la administración identificar los puntos de cada transacción, proceso u operación en los cuales debería aplicarse, sobre la marcha, una medida o un procedimiento de control—tal como una conciliación de anotaciones, una verificación de datos o una revisión de resultados intermedios—para asegurar el avance correcto y legítimo de las actividades organizacionales. Por lo demás, la intervención de funcionarios diferentes en etapas secuenciales de las operaciones y de los procesos, permite un control cruzado intermedio que procura un resultado de mayor calidad. La aplicación de estos controles concurrentes no elimina la necesidad de 50 la autorización para el inicio de las transacciones, la aprobación final de los resultados ni la eventual verificación posterior por la administración o auditoría interna, cuando lo consideren pertinente. 101

4.14. Conciliación periódica de registros Deberán realizarse verificaciones y conciliaciones periódicas de los registros contra los documentos fuentes respectivos, para determinar y enmendar cualquier error u omisión que se haya cometido en el procesamiento de los datos. Declaración interpretativa Las conciliaciones proceden tanto entre los registros y los documentos fuente de las anotaciones respectivas, como entre los registros de un departamento contra los generales de la institución, para la información financiera, administrativa y estratégica propia de la gestión institucional. El primer caso es, por ejemplo, en el área financiera, el correspondiente a los estados bancarios, que se comparan contra los registros de las cuentas corrientes para verificar la exactitud de los saldos y efectuar las correcciones que sean necesarias, incluyendo la posibilidad de solicitar ajustes al banco; otro ejemplo es de los valores en custodia por un agente externo, que requiere una corroboración de los registros institucionales contra los estados periódicos de la central de valores o el puesto de bolsa, según corresponda. De igual manera aplica para información sensible que externamente alimenta o 102

sirve de referencia para controlar los datos incluidos en los sistemas de información sustantivos de la organiza51 ción. Tratándose de comparaciones de registros departamentales contra los generales, los primeros deben cuadrar con las cuentas de control. No obstante, debe tenerse presente el efecto que sobre los registros contables tiene el procesamiento electrónico de la información; así, cuando las transacciones se registran en línea, es probable que se tenga un solo registro global y que la verificación, si es precisa y procedente, sea exclusivamente contra los documentos que originaron las anotaciones. 4.15. Inventarios periódicos La exactitud de los registros sobre activos y disponibilidades de la institución deberá ser comprobada periódicamente mediante la verificación y el recuento físico de esos activos u otros como la información institucional clave. Declaración interpretativa La necesidad de contar con información financiera, administrativa y de otra naturaleza para la toma de decisiones es indicativa de la importancia de que los registros sean oportunamente actualizados y, aun más, de que sean exactos y confiables. Una práctica orientada a fomentar estos dos atributos es la verificación física de las cantidades y características de los activos que puedan 103

ser sujetos a recuento, como son el mobiliario y equipo, los vehículos, los suministros en bodega, así como la información y el conocimiento clave para la institución. La aplicación de esta medida pretende detectar eventua52 les discrepancias entre los registros y los activos o existencias físicas, que pueden obedecer a causas tales como la sustracción, la omisión de anotaciones o una contabilización o custodia errónea. En consecuencia, una vez efectuado el inventario físico, es preciso analizar las desviaciones y su origen, a efecto de implantar las acciones procedentes para corregir o ajustar los registros y, si es del caso, mejorar el control. Por su parte, el jerarca deberá establecer y mantener actualizadas las políticas que deberán observarse en cada caso. 4.16. Arqueos independientes Deberán ser efectuados arqueos independientes y sorpresivos de los fondos y otros activos de la institución (incluido el acopio de información clave), por funcionarios diferentes de aquellos que los custodian, administran, recaudan, contabilizan y generan. Declaración interpretativa Los fondos fijos, las cajas chicas (de efectivo, de timbres, etc.) u otras disponibilidades de que disponga la institución deben someterse a arqueos sorpresivos; de igual modo debe procederse—sin perjuicio de las disposiciones 104

específicas que la Contraloría General o autoridad competente emita en relación con ellos—cuando se trate de otro tipo de activos e información clave que se caractericen por su facilidad de sustracción, aun cuando éstos sean custodiadas por agentes externos. En general, al aplicar el procedimiento deben ob53 servarse algunos puntos esenciales para garantizar la eficacia y corrección de lo actuado y de las medidas que puedan llegar a adoptarse para corregir cualquier discrepancia. Así, es preciso (1) efectuar el arqueo de manera sorpresiva, a fin de que el custodio no tenga oportunidad de cubrir cualquier faltante o disimular cualquier hecho que perjudique la integridad del fondo o activo y del cual él tenga conocimiento; (2) asignar la realización de este control a un funcionario distinto de quienes custodian, administran, recaudan o registran el activo, a fin de mantener la separación de funciones incompatibles; (3) requerir la presencia del custodio durante todo el procedimiento; (4) dejar constancia del arqueo, con las firmas de los funcionarios participantes; (5) analizar las causas de cualquier desviación; y (6) emprender las acciones correspondientes para corregir las discrepancias, actualizar los registros, introducir las mejoras que procedan en los controles del caso u otros, todo de conformidad con los reglamentos y las políticas que haya definido la institución. 4.17. Formularios 105

uniformes Deberán implantarse formularios uniformes para el procesamiento, traslado y registro de todas las transacciones que se realicen en la institución, los que contarán con una numeración preimpresa consecutiva que los identifique específicamente. Igualmente, se establecerán los controles pertinentes para la emisión, custodia y manejo de tales formularios, según corresponda. Declaración interpretativa Debe establecerse, en las distintas áreas de la insti54 tución, el uso permanente de formularios uniformes para la documentación importante que se utiliza en el procesamiento de las transacciones, por ejemplo, en materia financiera, incluye las solicitudes de cheque, los cheques propiamente dichos, las órdenes de compra, las requisiciones de materiales y suministros, las acciones de personal, las solicitudes de servicios internos, etc. Tales formularios deberán ser prenumerados cuando se cuente con ellos físicamente; en caso de ser generados por un computador, el programa respectivo deberá asignarles un número que los identifique individual y específicamente. Esto permite obtener un consecutivo de toda esa documentación, lo que a su vez facilita la verificación de que ningún formulario haya sido sustraído para fines diferentes a los que persigue la organización. A fin de obtener los beneficios mencionados, también 106

es necesario poner en práctica los mecanismos de control idóneos y pertinentes para la emisión, custodia y manejo de los formularios en cuestión. Asimismo, debe considerarse el efecto de la tecnología sobre el uso de formularios. En ese sentido, los sistemas informáticos deberán considerar controles para asegurar la continuidad y secuencia a que se ha hecho referencia respecto de los formularios virtuales que se generen en la institución, independientemente de si éstos llegan a imprimirse o no. Con tal fin, es preciso implantar los controles de acceso a los sistemas (niveles, claves, etc.) que resulten más apropiados. Téngase presente, la demás normativa técnica que sobre el particular emitan la Contraloría General de la República y otros órganos competentes. 55 4.18. Rotación de labores Deberá contemplarse la conveniencia de rotar sistemáticamente las labores entre quienes realizan tareas o funciones afines, siempre y cuando la naturaleza de tales labores permita efectuar tal medida. Declaración interpretativa La rotación de labores tiene que establecerse, cuando las circunstancias lo permitan, en forma sistemática entre quienes ejercen tareas o funciones afines en distintas áreas de la institución. En el área financiera, por 107

ejemplo, una institución podría asignar la custodia de los fondos fijos de caja chica por períodos definidos a funcionarios diferentes. Igualmente, las conciliaciones de cuentas bancarias pueden rotarse entre los funcionarios encargados de elaborarlas, de tal modo que ninguno de ellos concilie una misma cuenta en períodos consecutivos. La práctica en cuestión procura que los funcionarios no tengan permanentemente el control de partes específicas de una transacción ni de los recursos empleados en ellas, lo que brinda cierta seguridad de que no se presentarán situaciones irregulares en relación con tales transacciones y recursos. Asimismo, suministra parámetros de eficiencia mediante la comparación del desempeño de funcionarios distintos en la misma actividad, lo que permite descubrir más claramente las habilidades particulares de cada uno y asignarles las tareas para las que están mejor dotados. Finalmente, la rotación de deberes sirve como un mecanismo de capacitación, pues al desarrollar actividades diferentes (tanto a modo de procedimiento normal, como en el caso de suplencia de los compañeros que se encuentran en vacaciones o incapaci56 tados), los funcionarios entran en contacto con las diversas etapas de los procesos organizacionales, y así llegan a comprender su integración en el logro de objetivos mayores. 4.19. Disfrute oportuno 108

de vacaciones Deberá aplicarse la práctica de que los funcionarios disfruten oportunamente de las vacaciones que les correspondan de conformidad con la ley y los reglamentos internos. Declaración interpretativa Esta práctica permite efectuar una rotación de funciones de manera indirecta. En efecto, cuando un funcionario se encuentra disfrutando de sus vacaciones, otro debe asumir temporalmente esas labores, lo que no sólo permite un control indirecto de las actividades correspondientes (y por ende, la detección de omisiones o errores accidentales o voluntarios, así como la identificación de modos más eficientes de realizar las mismas labores), sino que evita la creación de “funcionarios indispensables” (aquellos sin cuya presencia no es posible continuar con procesos específicos, por lo que resultan virtualmente peligrosos para la salud de la organización, ante una eventual renuncia, incapacidad u otra situación que los aleje de la institución o los convierta en elementos negativos para ella). Debe tenerse presente que el propósito de las vacaciones consiste en permitir que los funcionarios disfruten de un descanso periódico que permita mantener adecuadamente la salud, la integridad física y mental para servir eficaz y eficientemente, en virtud de la importan57 cia estratégica que ello reviste para la organización. Por 109

ende, las políticas institucionales deberían disponer que los funcionarios tomen al menos una parte de sus vacaciones como un período continuo de tal duración que obtengan ese descanso. 4.20. Garantías a favor de la institución La administración deberá velar porque los funcionarios encargados de recaudar, custodiar o administrar fondos y valores propiedad de la institución, rindan de su peculio las garantías que procedan, a favor de la Hacienda Pública o la institución respectiva, de conformidad con las disposiciones legales y técnicas vigentes. Declaración interpretativa Sin perjuicio de otras medidas complementarias, la administración debe velar porque los funcionarios encargados de la recepción, administración, control y custodia de los recursos públicos, estén respaldados por una garantía razonable y suficiente, que sirva como medio para asegurar el adecuado cumplimiento de las obligaciones y deberes que les corresponden, con estricto apego a principios de lógica, eficiencia, eficacia, economía y legalidad. 58 4.21. Dispositivos de control y seguridad 110

Los equipos utilizados deberán contar con dispositivos de control y seguridad apropiados para garantizar su óptimo uso en las labores que corresponde cumplir a la institución. Declaración interpretativa Como ya se ha comentado, una de las limitaciones del control interno obedece a que el sistema respectivo es operado por personas, las que están propensas a cansancio, fatiga, descuidos, y situaciones similares— incluyendo la posibilidad de colusión—que eventualmente podrían conducir a errores y fallas. Por lo contrario, los equipos mecánicos, automáticos y electrónicos normalmente rinden tasas de productividad y exactitud apropiados, con lo que reducen el margen de error en las diversas operaciones una vez que son ajustados y programados adecuadamente. Considerando lo anterior, las instituciones deben utilizar tales equipos y dispositivos siempre que su disponibilidad de recursos y las características de las operaciones implicadas lo hagan posible. No obstante, estos equipos también deben ser sometidos a las medidas de control pertinentes para asegurar, entre otras cosas, que sólo sean accesados por personal previamente autorizado, que se instalen y almacenen considerando condiciones adecuadas para su seguridad y preservación, y que se utilicen de manera apropiada y exclusivamente en labores estrictamente atinentes a la gestión 111

corporativa. Igualmente, el personal responsable de ellos debe saber cómo hacer uso de las facilidades correspondientes, por lo que puede llegar a ser necesario brindarle alguna capacitación para que adquiera las habilidades y los conocimientos pertinentes. 59 CAPÍTULO V. NORMAS GENERALES RELATIVAS A SISTEMAS DE INFORMACIÓN 5.1. Obtención y comunicación de información efectivas 5.2. Calidad y suficiencia de la información 5.3. Sistemas de información 5.4. Controles sobre sistemas de información 5.5. Canales de comunicación abiertos 5.6. Archivo institucional 5.1. Obtención y comunicación de información efectivas La organización debe poner en ejecución los mecanismos y sistemas más adecuados para obtener, procesar, generar y comunicar de manera eficaz, eficiente y económica, la información financiera, administrativa, de gestión y de otro tipo requerida en el desarrollo de sus procesos, transacciones y actividades, así como en la operación de sus sistemas 112

de control con miras al logro de los objetivos institucionales. Declaración interpretativa La información es un ingrediente vital para la conducción exitosa de una institución. Igualmente lo es la existencia de medios eficientes para comunicar esa información en un formato claro y conveniente, en los plazos más oportunos. Por lo anterior, corresponde a la 60 administración diseñar y operar métodos y mecanismos para obtener y comunicar la información financiera, gerencial y de otro tipo necesaria para guiar sus actividades y para satisfacer los requerimientos de terceras partes externas que tienen alguna relación con la institución, ya sea por razones comerciales, de fiscalización o de otra naturaleza. También es importante el mantenimiento de registros históricos sobre las operaciones organizacionales. Por lo demás, tales métodos y mecanismos deben resultar adecuados a la organización, considerando sus características particulares, los procesos que realiza, su disponibilidad de recursos, las habilidades de los funcionarios que habrán de operarlos, etcétera. 5.2. Calidad y suficiencia de la información El control interno debe contemplar los mecanismos 113

necesarios que permitan asegurar la confiabilidad, calidad, suficiencia, pertinencia y oportunidad de la información que se genere y comunique. Declaración interpretativa La información es fundamental para la toma de decisiones, la dirección de las operaciones y, en general, para la administración de cualquier empresa. Por esa razón, el sistema de información debe contemplar mecanismos y procedimientos coherentes para asegurar que la información recopilada y generada presente un alto grado de calidad, para lo cual debe contener el detalle adecuado según las necesidades de los distintos niveles de gestión, poseer valor para la toma de decisiones, 61 ser oportuna (facilitada en el tiempo adecuado), estar actualizada, y ser fácilmente accesible para las personas adecuadas. Además, la cantidad suficiente de información también es importante; debe procurarse que se disponga de la información necesaria para la toma de decisiones, sin que ello lleve a manejar volúmenes grandes de información, más allá de lo requerido, suficiente y conveniente. 5.3. Sistemas de información El sistema de información que diseñe e implante la organización deberá ajustarse a las características y ser apropiado para satisfacer las necesidades 114

de ésta. Declaración interpretativa Los sistemas de información—sean computadorizados, manuales o una mezcla de ambos—constituyen un instrumento para la implantación exitosa de las estrategias organizacionales y, por ende, para la consecución de los objetivos y las metas. Por ello, la institución debe analizar sus propias necesidades y diseñar e implantar los sistemas que requiera con el propósito de disponer de información adecuada y suficiente. Lo anterior significa que, en aras de su efectividad, los sistemas de información deben ser diseñados e implantados “a la medida” de la institución y, por consiguiente, fundamentarse en un plan estratégico, vincularse a la estrategia global de la institución, y orientarse a la consecución de los objetivos globales de la institución y a los específicos de cada actividad. No debe obviarse la preeminencia de los sistemas 62 computadorizados y las facilidades que brindan para la obtención expedita y oportuna de información que reúna características idóneas para su utilización por los funcionarios que cuenten con la autoridad precisa para actuar con base en el conocimiento que tengan de los resultados de tales transacciones y hechos. En efecto, particularmente en el procesamiento en línea, se asegura la 115

actualización inmediata de los datos y se prevé la generación automática de reportes. Con todo, debe tenerse siempre presente la aplicación de controles adecuados a dichos sistemas, así como el cumplimiento de cualesquiera otras disposiciones técnicas y jurídicas que guarden relación con el asunto. Conviene señalar que, en materia de sistemas de información, debe contemplarse la normativa técnica que al respecto emita o adopte la Contraloría General de la República y otros órganos y entes con competencia al efecto. 5.4. Controles sobre sistemas de información Los sistemas de información deberán contar con controles adecuados para garantizar la confiabilidad, la seguridad y una clara administración de los niveles de acceso a la información y datos sensibles. Declaración interpretativa La calidad de la información se verá parcialmente determinada por los controles de acceso que se apliquen a los sistemas de información. En el caso de sistemas computadorizados, debe tenerse presente la existencia de controles generales, de aplicación, de operación y 63 otros de conformidad con la normativa vigente al efecto; 116

respecto de éstos, debe crearse una estructura adecuada para asegurar el funcionamiento correcto y continuo de los sistemas, su seguridad física y su mantenimiento, así como la integridad, la confiabilidad y la exactitud de la información procesada y almacenada. 5.5. Canales de comunicación abiertos Deberán establecerse canales de comunicación abiertos, que permitan trasladar la información de manera segura, correcta y oportunamente a los destinatarios idóneos dentro y fuera de la institución. Declaración interpretativa El funcionamiento eficaz del sistema de control interno requiere la existencia de canales que posibiliten e incentiven la comunicación abierta, correcta y oportuna entre el personal. En general, los canales oficiales deben ser tales que permitan la circulación expedita de la información, de modo que ésta sea trasladada al funcionario competente para actuar con base en ella, en un formato adecuado para su análisis, y dentro de un lapso conveniente para que sea posible tomar las decisiones pertinentes. Como medida preventiva, debe insistirse en que estos canales sean usados uniforme y constantemente por el personal, pero ello no implica que deba desestimarse por completo la posibilidad de que, para efectos 117

internos, en determinadas circunstancias y bajo condiciones previamente definidas, algunos canales informales lleguen a ser útiles para hacer llegar, a la persona indicada dentro de la institución, el conocimiento requerido acerca de las situaciones dignas de atención. 64 Por lo contrario, para la comunicación externa sí deberían aplicarse controles más rigurosos, a fin de procurar que se entere a las partes externas sobre la información que proceda y evitar que se divulguen datos cuya difusión sería inconveniente; asimismo, esos canales deben promover la captación de conocimientos útiles sobre el entorno. 5.6. Archivo institucional La institución deberá implantar y aplicar políticas y procedimientos de archivo apropiados para la preservación de los documentos e información que deba conservar en virtud de su utilidad o por requerimiento técnico o jurídico, incluyendo los informes y registros contables, administrativos y de gestión con sus fuentes de sustento. Declaración interpretativa La importancia del mantenimiento de archivos institucionales se pone de manifiesto en la necesidad de contar con material de referencia sobre la gestión, y particularmente cuando se considera la eventual responsabilidad 118

de los servidores públicos y, por ende, la obligación de contar con evidencia cuando ella se requiera. El artículo 39 de la Ley del Sistema Nacional de Archivos (N° 7202 del 24 de octubre de 1990) se refiere a dos tipos de archivos en las instituciones de la Hacienda Pública, los cuales deben mantenerse técnicamente organizados; ellos son: 65 - Archivos de gestión: Son los archivos de las divisiones, departamentos, secciones y cuales quiera otras unidades institucionales, en los cuales éstas reúnen, conservan, clasifican, ordenan, describen, seleccionan, administran y facilitan la documentación que ellas producen. - Archivos centrales: Son unidades específicas que, en relación con el archivo, cumplen las mismas funciones que las otras unidades, pero centralizando la documentación de toda la institución. Por lo demás, el ordenamiento jurídico no contempla un período de permanencia de los documentos en los diferentes archivos, sino sólo lapsos aproximados para su traslado de los archivos de gestión a los archivos centrales y de éstos al archivo histórico o final que mantiene la Dirección General del Archivo Nacional (artículo 62 del Reglamento a la Ley del Sistema Nacional de Archivos, Decreto Ejecutivo Nro. 24023-C del 30 de 119

enero de 1995). Por lo contrario, se indica que las instituciones productoras de documentos son las responsables de fijar la vigencia administrativa y legal de cada tipo documental, con base en lo dispuesto por el artículo 129 de ese Reglamento y tomando como referencia los lapsos que indica el artículo 62 mencionado, para lo cual se requiere la existencia de un comité institucional de conservación de documentos que creará tablas de plazos de conservación (instrumentos en los que constan todos los tipos documentales producidos o recibidos en una oficina o institución, en el cual se anotan todas las características de éstos y se fija el valor administrativo y legal), en tanto que la Comisión Nacional de Selección y Eliminación de documentos determinará el valor científicocultural de los documentos que hayan finalizado su trámite administrativo, para su eventual traslado al archivo final. 66 Así las cosas, corresponde a la administración establecer los procedimientos y las políticas que deberán observarse en la creación y el mantenimiento de sus archivos, con base en las disposiciones técnicas y jurídicas atinentes, en apoyo a los demás elementos del sistema de control interno. 67 CAPÍTULO VI. NORMAS GENERALES RELATIVAS 120

AL SEGUIMIENTO 6.1. Seguimiento del control interno en operación 6.2. Seguimiento de las actividades 6.3. Seguimiento constante del ambiente 6.4. Evaluación del desempeño institucional 6.5. Rendición de cuentas 6.6. Reporte de deficiencias 6.7. Toma de acciones correctivas 6.8. Asesoría externa para seguimiento del control interno 6.9. Acatamiento de la normativa en auditorías externas 6.1. Seguimiento del control interno en operación Deberá observarse y evaluarse el funcionamiento de los diversos controles, con el fin de determinar la vigencia y la calidad del control interno y emprender las modificaciones que sean pertinentes para mantener su efectividad. Declaración interpretativa El control interno es un proceso permanente que debe llegar a convertirse en una actitud de todos los funcionarios, quienes deben percibirlo como un medio para procurar el cumplimiento los objetivos de la institución. Se habla, entonces, del “autocontrol”, como una obligación inherente a todo funcionario. 68 121

Puesto que el control, en su naturaleza previa, concomitante y posterior, forma parte de todas las actividades organizacionales, es preciso analizar cuál es su efecto sobre las diversas fases de los procesos respectivos, tomando en consideración los criterios de viabilidad y conveniencia de tales controles, así como la posibilidad de mejorar y perfeccionar el sistema de control interno. Con ese propósito, es preciso aplicar una evaluación sobre la marcha, mediante la puesta en práctica de actividades administrativas y de supervisión durante las actividades, así como el ejercicio del autocontrol que deben efectuar sobre sus propias labores los funcionarios encargados de tareas específicas. Igualmente, el jerarca debe poner en práctica los mecanismos más apropiados para que, periódicamente y cuando se estime conveniente, se conduzcan evaluaciones del sistema de control interno y de las diferentes medidas de control que se encuentran en operación. Por su parte, la unidad de auditoría interna debe colaborar en esa labor, aportando sus comentarios, sugerencias y asesoría, a la luz de los resultados de los estudios que practique, sin perder de vista que la responsabilidad primordial por el sistema corresponde al jerarca y a sus titulares subordinados. 6.2. Seguimiento de las actividades Las actividades que se efectúan en la organización 122

deben estar sujetas a un proceso de monitoreo constante que permita conocer oportunamente si la institución marcha hacia la consecución de sus objetivos, encauza las labores hacia tales objetivos y toma las acciones correctivas pertinentes. 69 Declaración interpretativa Las actividades institucionales deben ser objeto de un monitoreo constante mediante la aplicación de las medidas de control previo, concurrente y posterior que corresponda, a fin de guiar las operaciones y conocer oportunamente el grado de efectividad de su desempeño. Lo anterior permitirá identificar eventuales desviaciones y emprender medidas correctivas en el momento propicio, así como otras acciones que prevengan el surgimiento de situaciones similares en el futuro. 6.3. Seguimiento constante del ambiente El jerarca, en primera instancia, y por extensión, los titulares subordinados de todos los niveles de la organización, deben efectuar un monitoreo constante del ambiente interno y externo que les permita estar al tanto y tomar medidas oportunas sobre factores y condiciones real o potencialmente incidentes en el desarrollo de las funciones 123

institucionales, la ejecución de los planes y el cumplimiento de los objetivos previstos. Declaración interpretativa Las fuerzas ambientales tienen un impacto notable sobre el desempeño de la organización. Por ese motivo, su observación es una actividad esencial para que la administración sepa cuáles son los condicionantes externos y los rasgos propios a que debe dirigirse la mayor atención. Así, al evaluar el ambiente, la administración debe contemplar como parte de él tanto el medio externo como la propia situación institucional y las características internas. 70 El conocimiento de la institución y su entorno dará a la administración activa una herramienta de apreciable valor para realizar un trabajo que le permita conducir efectivamente a la institución hacia el cumplimiento de sus objetivos, de su misión y de su visión, enfrentando para ello las debilidades y amenazas y aprovechando las fortalezas y oportunidades. Por ese motivo, es necesario que el jerarca y los titulares subordinados conciban la observación del ambiente como una actividad constante. 6.4. Evaluación del desempeño institucional El jerarca y todos los funcionarios que participan 124

en la conducción de las labores de la institución, deben efectuar una evaluación permanente de la gestión, con base en los planes organizacionales y las disposiciones normativas vigentes, para prevenir y corregir cualquier eventual desviación que pueda poner en entredicho el acatamiento de los principios de eficiencia, eficacia, economía y legalidad aplicables. Declaración interpretativa La administración activa debe ejercer un control permanente sobre la ejecución de los procesos, las transacciones, operaciones y eventos para asegurarse de que se observen los requisitos normativos vigentes (jurídicos, técnicos y administrativos; de origen interno y externo) y para prevenir y corregir cualquier eventual desviación que pueda poner en entredicho el acatamiento de los principios de eficiencia, eficacia, economía y legalidad aplicables. Durante el proceso respectivo, los indicadores de desempeño establecidos en los planes tam71 bién deben aplicarse como puntos de referencia. Esta labor de vigilancia debe conducirse desde antes del inicio de las operaciones, transacciones y procesos, durante su ejecución y después de que ésta ha concluido, considerando que, en cada una de estas etapas, la evaluación se lleva a cabo para satisfacer propósitos diferentes. El proceso en cuestión permite crear una conciencia 125

de rendición de cuentas respecto del logro de los resultados organizacionales, tanto dentro de la institución como hacia la colectividad. Asimismo, contribuye al aprendizaje de la institución, pues la observación de las labores desde antes de su ejecución permite apreciar y evaluar el desempeño como indicador de la capacidad institucional para ejecutar cabalmente la estrategia. Asimismo, la retroalimentación obtenida con respecto al cumplimiento de los planes permite conocer si es necesario modificarlos para fortalecer a la organización y enfrentar cualesquiera peligros ambientales que existan en el momento o que puedan preverse en el futuro. 6.5. Rendición de cuentas El jerarca y los demás funcionarios en todos los niveles de la institución están obligados a rendir cuentas por el uso de los recursos, el cumplimiento de los objetivos institucionales y el logro de los resultados esperados, para lo que se apoyarán en el control interno. Declaración interpretativa El jerarca y los funcionarios de todos los niveles de 72 la organización son los responsables de distribuir y utilizar convenientemente los recursos financieros, materiales, tecnológicos y humanos con que cuenta la organización para asegurar la generación de los resultados esperados. 126

En consecuencia, de acuerdo con las disposiciones constitucionales, legales y técnicas vigentes, deben estar preparados para rendir cuentas en cualquier momento (como mínimo anualmente) ante la instancia que corresponda, acerca del uso de los recursos y de los resultados de la aplicación de éstos a las actividades organizacionales. Con ese fin, el sistema de control interno debe ser tal que refuerce y apoye el compromiso por la rendición de cuentas, mediante un sistema de información gerencial que permita disponer de la información precisa para la evaluación del desempeño y la consecuente toma de decisiones. 6.6. Reporte de deficiencias Las deficiencias y desviaciones de la gestión de cualquier naturaleza y del control interno, deben ser identificadas oportunamente y comunicarse de igual modo al funcionario que posea la autoridad suficiente para emprender la acción preventiva o correctiva más acertada en el caso concreto. Declaración interpretativa La obtención de datos útiles y concretos sobre el funcionamiento del sistema de control interno y la corrección del desempeño institucional requiere, por una parte, que los controles hayan sido adecuadamente definidos a la luz de las características institucionales y los recursos disponibles al efecto, y por otra, que esos con73 127

troles se apliquen con oportunidad para conocer cualquier situación anómala o adversa en la gestión institucional. A su vez, el uso eficiente y eficaz de ese conocimiento requiere que se comunique convenientemente y en el momento preciso a los funcionarios responsables de los procesos, transacciones y operaciones afectados, para que ellos lo tomen en consideración al emprender las decisiones y acciones pertinentes. En consecuencia, la administración también debe establecer formalmente, mecanismos y canales de comunicación que permitan a quienes detecten una deficiencia (los funcionarios, los supervisores, los auditores, etc.) informar de las situaciones detectadas a la persona capaz de emprender las disposiciones y de ejercer la autoridad precisa para corregirlas. 6.7. Toma de acciones correctivas Cuando el funcionario responsable con autoridad al efecto detecte alguna deficiencia o desviación en la gestión o en el control interno, o sea informado de ella, deberá determinar cuáles son sus causas y las opciones disponibles para solventarla y adoptar oportunamente la que resulte más adecuada a la luz de los objetivos y recursos institucionales. Declaración interpretativa La efectividad del sistema de control interno depende en buena parte, de que las deficiencias o desviaciones en la gestión sean identificadas oportunamente, 128

de que éstas se comuniquen en el momento preciso a la persona apropiada dentro de la organización, y de que esa persona determine con claridad las opciones más 74 convenientes para solucionar el caso particular y actúe de conformidad con ellas, para beneficiar la ejecución de los planes organizacionales. Por ende, el funcionario responsable debe analizar y solucionar oportunamente toda deficiencia o desviación que se identifique, para prevenir o corregir cualquier consecuencia capaz de menoscabar la eficacia organizacional. De acuerdo con este enfoque, cuando la persona que descubra una situación negativa no disponga de autoridad suficiente para imponer las medidas preventivas o correctivas procedentes, deberá trasladar el caso al funcionario de nivel superior idóneo en el tiempo más próximo posible para que éste tome la decisión pertinente a efecto de que determine e implante la solución respectiva. En última instancia, el recurso definitivo corresponde al máximo jerarca de la institución, como encargado principal del sistema de control interno y de los demás sistemas organizacionales. 6.8. Asesoría externa para seguimiento del control interno Cuando la Administración estime oportuno contratar 129

asesores externos cuyo servicio o producto final conlleve la emisión de recomendaciones orientadas a fortalecer el control interno, deberá coordinar con la unidad de auditoría interna a fin de obtener criterios que coadyuven para el éxito de la contratación y sus resultados, se eviten duplicidades, ineficiencias u otros posibles inconvenientes en el uso de los recursos destinados a la fiscalización. 75 Declaración interpretativa Cuando se contraten servicios profesionales externos como complemento a las actividades de monitoreo que sobre el sistema de control realiza la Administración, el responsable de dicha contratación deberá de estar bien definido respecto del objetivo, alcance, enfoque y del producto resultante desde la perspectiva del control interno de los fondos públicos involucrados. Asimismo, debe evitar posibles duplicidades e ineficiencia en relación con el plan de trabajo de auditoría interna. Por ende, el funcionario responsable debe analizar y solucionar oportunamente toda deficiencia o desviación que se identifique, para prevenir o corregir cualquier consecuencia capaz de menoscabar el uso de los fondos públicos destinados a la contratación. 6.9 Acatamiento de la 130

normativa en auditorías externos Cuando se empleen los servicios de auditores externos, el jerarca deberá tomar las previsiones y velar porque, en los contratos respectivos, se contemple la obligación de que dichos auditores, en lo correspondiente verifiquen el cumplimiento, por parte de la entidad u órgano, de las normas jurídicas y técnicas de control interno. De igual modo, la administración debe garantizar que en esos contratos se incluya como obligación para los contratados, en lo pertinente, el cumplir con la normativa de auditoría vigente para el Sector Público. Declaración interpretativa Los contratos en los que se estipulen los servicios que brindarán los auditores externos deberán indicar 76 la obligación que tendrán éstos por cumplir la normativa en materia de auditoría que les resulte aplicable; como parte de ella, deberá considerarse la emitida por la Contraloría General de la República y la que provenga de otros órganos y entidades con potestad para la promulgación de normativa en áreas específicas, de conformidad con los asuntos que vayan a ser cubiertos por los servicios de los auditores externos. Igualmente, deberá preverse la verificación, por parte de esos auditores, 131

de que la institución haya observado las normas y disposiciones provenientes de la Contraloría General, de los órganos de control y de otras instancias facultadas para normar, regular o fiscalizar la gestión organizacional respectiva. En el caso particular de los Despachos o auditores externos que vayan a ser contratados por la administración, deberán demostrar niveles satisfactorios en términos de cantidad y calidad del personal y otros recursos para brindar los servicios requeridos 77 GLOSARIO Actividades de control Uno de los cinco componentes funcionales del control interno. Corresponde a las políticas y los procedimientos que los jerarcas y los titulares subordinados deben establecer para asegurar que se realicen las actividades necesarias para un desempeño institucional satisfactorio, como base para una administración eficaz del riesgo con miras al logro de los objetivos de la organización. Administración activa Uno de los dos componentes orgánicos del control interno. Desde el punto de vista funcional, es la función decisoria, ejecutiva, resolutoria, directiva u operativa de la Administración. Desde el punto de vista orgánico, es el conjunto de órganos de la función administrativa que deciden y ejecutan, incluyendo al jerarca como última instancia. Es el sujeto pasivo de la fiscalización superior 132

que realiza la Contraloría General de la República (incluye a la Auditoría Interna). Administración de riesgos Gestión que se efectúa para limitar y reducir el riesgo asociado con todas las actividades de la organización a diferentes niveles. Incluye actividades que identifican, miden, valoran, limitan y reducen el riesgo. De esas actividades, el control interno contempla la identificación y la valoración de los riesgos. Ambiente de control Uno de los cinco componentes funcionales del control interno. Comprende el conjunto de factores del ambiente organizacional que el jerarca, los titulares subordinados y demás funcionarios deben establecer y mantener, para permitir el desarrollo de una actitud positiva y de apoyo para el control interno y para una administración escrupulosa del patrimonio público. 78 Auditoría interna Uno de los dos componentes orgánicos del sistema de control interno. Es la actividad independiente, objetiva, asesora y que proporciona seguridad al ente u órgano, que se crea para agregar valor y mejorar sus operaciones. Contribuye a que se alcancen los objetivos institucionales mediante la práctica de un enfoque sistémico y profesional para evaluar y mejorar la efectividad de la administración del riesgo, del control y de los procesos 133

de dirección en las instituciones y órganos. Debe proporcionar a la ciudadanía una garantía razonable de que la actuación del jerarca y demás servidores de la institución se realiza con apego a sanas prácticas y al marco jurídico y técnico aplicable. Control interno También denominado “sistema de control interno”. Comprende la serie de acciones diseñadas y ejecutadas por la administración activa para proporcionar una seguridad razonable en torno a la consecución de los objetivos de la organización, fundamentalmente en las siguientes categorías: a) Proteger y conservar el patrimonio público contra cualquier pérdida, despilfarro, uso indebido, irregularidad o acto ilegal; b) Confiabilidad y oportunidad de la información; c) Eficiencia y eficacia de las operaciones; y d) Cumplir con el ordenamiento jurídico y técnico. Criterios fundamentales de control Orientaciones básicas emitidas por el jerarca para el funcionamiento de cada uno de los componentes del sistema de control interno vistos individualmente y en su interacción. Eficacia de las operaciones Capacidad de las operaciones para contribuir al logro de los objetivos institucionales de conformidad con los parámetros 134

establecidos. 79 Eficiencia de las operaciones Capacidad de las operaciones para aprovechar racionalmente los recursos disponibles en pro del logro de los objetivos institucionales, procurando la optimización de aquéllos y evitando dispendios y errores. Informe CoCo Guía de control emitida en 1995 por la Junta de Criterios de Control (CoCo, por las siglas en inglés de Criteria of Control Board) del Instituto Canadiense de Contadores Certificados (CICA, por las siglas en inglés de Canadian Institute of Chartered Accountants), que desarrolla veinte criterios para un control interno efectivo, agrupadas en cinco categorías, a saber: • Propósito • Compromiso • Capacidad • Vigilancia • Aprendizaje Informe COSO Informe sobre el “Marco Integrado de Control Interno” (Internal Control—Integrated Framework) elaborado en 1992 por el Comité de Organizaciones Patrocinadoras de la Comisión Treadway (COSO, por las siglas en inglés de Committee of Sponsoring Organizations of the Treadway Commision), con base en una recopilación a 135

nivel mundial de información sobre tendencias y conocimientos relativos a control interno. El informe presenta una visión actualizada de la materia, que se encuentra vigente en los Estados Unidos de América y ha logrado reconocimiento en diversos países y organizaciones internacionales. INTOSAI Siglas en inglés de la “Organización Internacional de las Entidades Fiscalizadoras Superiores” (INTOSAI), organismo autónomo, independiente y apolítico, con sede en Viena (Austria), creado como una institución permanente para fomentar el intercambio de ideas y experiencias 80 entre las Entidades Fiscalizadoras Superiores de los países miembros, en lo que se refiere a la auditoría gubernamental. La Contraloría General de la República de Costa Rica está adscrita a este organismo. Jerarca Superior jerárquico supremo del órgano o ente y quien ejerce la máxima autoridad dentro del órgano o ente; puede ser unipersonal (ejemplos: ministro o presidente ejecutivo) o colegiado (ejemplos: concejo municipal o junta directiva). Misión Enunciado que describe el propósito fundamental y la razón de existir de una dependencia, institución o unidad; define el beneficio que pretende dar, y establece las fronteras de responsabilidad, así como su campo de especialización. Objetivos estratégicos Propósitos definidos en términos generales que identifican las finalidades hacia las cuales deben dirigirse los 136

recursos y esfuerzos para dar cumplimiento a la misión y los propósitos institucionales. Objetivos operativos Expresión cualitativa de un propósito particular en un periodo determinado, que debe responder a las preguntas “qué” y “para qué”. Se diferencia del objetivo estratégico por su nivel de detalle y complementariedad. Su característica principal es que debe permitir cuantificarse para que sea expresado en metas. Planificación estratégica Proceso que permite a la organización y a sus dependencias establecer su misión, visión, valores y demás ideas rectoras, así como definir sus propósitos y elegir las estrategias para la consecución de sus objetivos, a efecto de satisfacer las necesidades a las cuales se orientan sus bienes o servicios. 81 Planificación operativa Proceso mediante el cual la organización selecciona alternativas y cursos de acción, en función de objetivos y metas generales, tomando en consideración la disponibilidad de recursos reales y potenciales para concretar programas y acciones específicas en el tiempo y el espacio. Políticas Criterios o directrices de acción elegidas como guías en el proceso de toma de decisiones al poner en práctica o ejecutar las estrategias, programas y proyectos específicos del nivel institucional. Sirven como base para la implementación de los procedimientos y la ejecución de 137

los controles atinentes. Rendición de cuentas Obligación de responder por la responsabilidad conferida. Incluye la obligación de explicar y justificar acciones específicas realizadas con el patrimonio público. Riesgo Probabilidad de que un factor, acontecimiento o acción, sea de origen interno o externo, afecte de manera adversa a la organización, área, proyecto o programa y perjudique el logro de sus objetivos. Seguimiento Uno de los cinco componentes funcionales del sistema de control interno. Incluye las actividades que se realizan para valorar la calidad del funcionamiento del sistema de control interno —y, por ende, el logro de los objetivos institucionales— a través del tiempo y asegurar que el sistema pueda reaccionar de manera dinámica según requieran las condiciones imperantes y, más específicamente, la evolución del riesgo. Asimismo, para asegurar que los hallazgos de la auditoría y los resultados de otras revisiones se atiendan con prontitud. Seguridad razonable El concepto de que el control interno, sin importar cuán 82 bien esté diseñado y sea operado, no puede garantizar que una institución alcance sus objetivos, en virtud de las limitaciones inherentes a todos los sistemas de control interno, tales como los errores de juicio, las limitaciones de recursos, la necesidad de considerar el costo de los controles frente a sus beneficios potenciales, la 138

eventualidad de violaciones del control, y la posibilidad de colusión y de infracciones por parte de la administración, y el impacto de otras actuaciones que no son elementos del control interno, entre otros, la determinación de la misión, visión e ideas rectoras. Sinergia Acción de dos o más causas cuyo efecto es superior a la suma de los efectos individuales. Sistemas de información Uno de los cinco componentes funcionales del sistema de control interno. Se refiere al proceso mediante el cual la administración activa identifica, registra y comunica en la forma, el tiempo y las condiciones precisas, la información financiera, administrativa o de otra naturaleza, relacionada con actividades y eventos internos y externos relevantes para la organización y para otras instancias interesadas. (Véase Artículo 16 de la Ley General de Control Interno.) Titular subordinado Funcionario de la administración activa responsable de un proceso, con autoridad para ordenar y tomar decisiones. Ejemplo: gerentes y jefes de unidad. Valoración del riesgo Uno de los cinco componentes funcionales del control interno. Corresponde a la identificación y evaluación de los riesgos que enfrenta la institución, tanto de fuentes internas como externas, relevantes para la consecución de sus objetivos, que deben realizar el jerarca y los titulares subordinados, con el fin de determinar cómo se deben administrar dichos riesgos. 139

83 Valores éticos Valores morales que permiten a quien toma una decisión, determinar un curso de comportamiento apropiado, basados en lo que está bien, lo que puede ir más allá de lo que es legal. Visión Perspectiva que describe un escenario altamente deseable como estado futuro de la organización. Permite tener claridad sobre lo que se quiere hacer y a dónde se quiere llegar en una organización, pues permite visualizar los deseos, sueños, anhelos, aspiraciones que se quieren traer a la realidad. 84 ANEXOS Resumen ejecutivo para establecer y mantener un control interno efectivo Responsabilidades y Roles de los Auditores • Mantener independencia de hecho y de apariencia. • Competencia profesional del personal de auditoría. • Asesorar a la máxima autoridad y titulares subordinados en áreas de riesgo. • Establecer metas y un plan estratégico de auditoría. • Desarrollar auditorías operativas. • Evaluar sistemas de tecnología de información. • Recomendar maneras de fortalecer el control y mejorar las operaciones. • Asegurarse de que las recomendaciones son implementadas 140

efectivamente y en su totalidad. • Coordinar actividades de auditoría con auditores externos. • Implementar un sistema de control de calidad. Responsabilidades y Roles de la Administración Activa en el Control Interno • Crear un ambiente de control positivo • estableciendo un ambiente ético positivo, • brindando la guía para un buen comportamiento, • desalentando las prácticas no éticas, • promoviendo la disciplina, • preparando un código de ética de los empleados. • Asegurar que el personal tenga las competencias necesarias para cumplir con sus tareas. • Definir áreas clave de autoridad y responsabilidad. • Establecer las guías apropiadas para hacer reportes. • Establecer políticas de control gerencial y procedimientos basados en análisis de riesgo. • Utilizar la capacitación, las comunicaciones y las acciones cotidianas de los directivos y gerentes para reforzar la importancia del control interno. • Dar seguimiento a las operaciones de control de la organización por medio de evaluaciones y reportes para los altos niveles jerárquicos. Prácticas comunes de control interno 141

• Las prácticas de control interno están usualmente diseñadas para cumplir con las normas de control interno y el marco jurídico vigente. • La fuerza de trabajo de una organización es capacitada y dirigida efectivamente para lograr resultados. • Se desarrollan y monitorean indicadores de desempeño. • Las tareas y responsabilidades clave se reparten entre la gente para reducir el riesgo de error o fraude. • Los gerentes comparan el desempeño actual con los resultados planeados esperados y analizan las diferencias. • El procesamiento de la información se controla con la verificación de los datos ingresados y los procesos establecidos en los sistemas. • El control físico se establece para asegurar todos los activos físicos vulnerables. • Las transacciones y otros trámites son autorizados y ejecutados por personas bajo el alcance de su autoridad. • El acceso a registros y recursos está limitado a individuos autorizados. Se debe rendir cuentas sobre su uso y su custodia. • Las transacciones son registradas con prontitud para mantener valor y relevancia para la gerencia en la toma de decisiones y en el control de las operaciones. • El control interno, y todas las transacciones, así como otros eventos importantes son documentados, y dichos documentos deben estar disponibles para su consulta. Supervisar continuamente las prácticas de control interno a través de la organización y modificarlas apropiadamente Evaluar periódicamente la efectividad de las prácticas de control interno Lista de control Al establecer el sistema de control interno, usted ha •

¿Valorado los riesgos a los que se enfrenta la organización?

•

¿Identificado los objetivos del control para manejar los riesgos?

•

¿Establecido las políticas y procedimientos de control para alcanzar los objetivos del control?

142

•

¿Creado un ambiente de control positivo?

•

¿Mantenido y demostrado integridad personal y profesional y valores éticos?

•

¿Mantenido y demostrado un nivel de habilidad necesario para ayudar a asegurar un desempeño eficaz y efectivo?

•

¿Mantenido y demostrado una suficiente comprensión de los controles internos para delegar responsabilidades eficazmente?

Para implementar el control interno, usted ha •

¿Adoptado el control interno eficazmente en su organización?

•

¿Basado el control interno de la organización en normas de control interno?

•

¿Incluido en el sistema de control interno de la organización prácticas de control rentables y apropiadas?

•

¿Prescrito las prácticas de control por medio de directrices de la gerencia, de planes y de políticas?

•

¿Establecido los medios para supervisar continuamente el funcionamiento de las prácticas de control interno de la organización?

Con respecto a la función de auditoría, usted ha •

¿Comprendido la diferencia entre el control interno y la auditoría interna?

•

¿Reconocido que la función de auditoría es integral con el control interno de su organización?

•

¿Establecido una función de auditoría y proporcionado los recursos necesarios para su actuación?

•

¿Asegurado la independencia de la auditoría de la organización?

•

¿Delegado la responsabilidad a la auditoría de la organización para evaluar la efectividad de las prácticas auditadas de control interno de la organización?

•

¿Establecido un sistema para supervisar el progreso de la organización al implementar las recomendaciones del auditor interno y externo?

143