COSO

El denominado "INFORME COSO" sobre control interno, publicado en [Link]. en 1992, surgió
como una respuesta a las inquietudes que planteaban la diversidad de conceptos, definiciones
e interpretaciones existentes en torno a la temática referida.
Plasma los resultados de la tarea realizada durante más de cinco años por
el grupo de trabajo que la TREADWAY COMMISSION, NATIONAL COMMISSION ON
FRAUDULENT FINANCIAL REPORTING creó en Estados Unidos en 1985 bajo la sigla COSO
(COMMITTEE OF SPONSORING ORGANIZATIONS). El grupo estaba constituido por
representantes de las siguientes organizaciones:
· American Accounting Association (AAA)
· American Institute of Certified Public Accountants (AICPA)
· Financial Executive Institute (FEI)
· Institute of Internal Auditors (IIA)
· Institute of Management Accountants (IMA)
La redacción del informe fue encomendada a Coopers & Lybrand.
Se trataba entonces de materializar un objetivo fundamental: definir un nuevo marco
conceptual del control interno, capaz de integrar las diversas definiciones y conceptos que
venían siendo utilizados sobre este tema, logrando así que, al nivel de las organizaciones
públicas o privadas, de la auditoria interna o externa, o de los niveles académicos o legislativos,
se cuente con un marco conceptual común, una visión integradora que satisfaga las demandas
generalizadas de todos los sectores involucrados.

Definición de control interno

El control interno es el proceso diseñado y efectuado por la dirección, gerencia y resto del
personal para proporcionar seguridad razonable sobre el logro de los objetivos de la entidad
respecto a:

 confiabilidad de la información financiera,

 efectividad y eficiencia de las operaciones
 cumplimiento de las leyes, reglamentaciones y políticas aplicables.

A) Control Interno como proceso

• Es un conjunto de acciones que se extienden por todas las actividades y procesos de la empresa

• Comprende a todos los procesos de negocios, que se llevan a cabo dentro de las unidades y
funciones de la organización

• Los controles se coordinan en función de los procesos de gestión básicos de planificación,

ejecución y monitoreo.

B) Responsabilidad del control interno

• El control interno es responsabilidad de la Junta de Directores, la dirección ejecutiva y los
demás miembros de la entidad Son las personas quienes establecen los objetivos de la entidad
e implantan los mecanismos de control

• El control interno es realizado por los distintos estamentos en una empresa, mediante sus
acciones

• Los funcionarios y empleados deben conocer sus responsabilidades y los límites de su

autoridad

C) Seguridad Razonable

• El control interno solo puede entregar un grado de seguridad razonable a la dirección y a la

junta de accionistas acerca de conseguir los objetivos de la organización, pero no absoluta

• Las posibilidades de conseguirlo se ven afectadas por las limitaciones que son inherentes a
todos los sistemas de control interno

• Tales limitaciones son de naturaleza humana y podrían incluir:

- opiniones erróneas efectuadas en la toma de decisiones

- los encargados de analizar las operaciones pueden tener problemas en el funcionamiento del
sistema de control interno como consecuencia de fallas humanas

D) Logro de los objetivos en el control interno

• Los objetivos pueden establecerse para la organización como un conjunto o dirigirse a

determinadas actividades

• Aunque muchos objetivos son específicos de una sola entidad, otros son ampliamente
compartidos. Los objetivos pueden clasificarse en tres categorías: Operacionales: referente a
la utilización eficaz y eficiente de los recursos de la entidad. Información financiera: referente
a la preparación y publicación de estados financieros fiables. Cumplimiento: referente al
cumplimiento por parte de la entidad de las leyes y normas que le sean aplicables.

• El logro de los objetivos, basados en gran medida en las normas impuestas por terceros ajenos
a la entidad, depende de como se llevan a cabo las actividades bajo su control
Estructura del control interno

Limitaciones del sistema de control interno

• El control interno solo brinda seguridad razonable sobre el logro de los objetivos de
información financiera de la entidad, mas no absoluta

• La probabilidad de logro se afecta por las limitaciones inherentes al control interno

• Las limitaciones están relacionadas con:

- errores en el juicio humano en la toma de decisiones

- pueden ocurrir fallas en el control interno debido a errores humanos
- puede presentarse colusión entre dos o más personas

Componentes:

- Los componentes comprenden: ambiente de control, evaluación del riesgo, actividades

de control, información y comunicación, y monitoreo
- Los componentes están vinculados entre sí, generan una sinergia y forman un sistema
integrado que responde de una manera dinámica a las circunstancias cambiantes del
entorno económico
- Esta visión del control interno está incorporada por la NIA 315.
- La comprensión del control interno proporciona un marco de referencia útil para que
los auditores determinen como la situación del control interno en la empresa puede
afectar la auditoría
 a) Ambiente de control

Comprende las actitudes, conciencia y acciones de los responsables del gobierno corporativo y
de la administración de la empresa en lo concerniente al control interno
Es el fundamento para un control interno efectivo, y brinda disciplina y estructura al sistema
Al entender los elementos del ambiente de control, el auditor también considera si se han
implementado adecuadamente
La existencia de un ambiente de control fuerte puede ser un factor positivo cuando el auditor
evalúa los riesgos de representación errónea de importancia relativa.

Elementos que lo conforman:

01.- Integridad y valores éticos
02.- Competencia profesional
03.- Atmósfera de confianza mutua
04.- Filosofía y estilo de dirección
05.- Misión, objetivos y políticas
06.- Estructura organizacional (organigrama)
07.- Asignación de autoridad y responsabilidad
08.- Políticas y prácticas en personal
09.- Comité de control

Al evaluar el ambiente de control el auditor debe considerar:

 Comunicación y ejecución de la integridad y valores éticos-elementos esenciales que

influyen en la efectividad del diseño, administración y monitoreo de los controles.
 Compromiso hacia la competencia-consideración de la administración de los niveles de
competencia para puestos particulares y como se traducen esos niveles en habilidades
y conocimiento requeridos.
 Participación de los encargados del gobierno corporativo-independencia de la
administración, su experiencia, el grado de su implicación en las actividades, la
información que reciben, el grado en que plantean y dan seguimiento a cuestiones
difíciles ante la administración
 Filosofía y estilo operativo de la administración- el enfoque de la administración para
tomar y administrar riesgos de negocio, y actitudes y acciones de la administración hacia
las funciones de información financiera, procesamiento de información, y contabilidad
y personal.
 Estructura organizacional-el marco de referencia dentro del cual se planea, ejecutan,
controlan y revisan las actividades de una entidad para lograr sus objetivos.
 Asignación de autoridad y responsabilidad-como se asignan la autoridad y
responsabilidad por las actividades operativas, y como se establecen las relaciones de
información y jerarquías de autorización.
 Políticas y prácticas de recursos humanos-reclutamiento, orientación, entrenamiento,
evaluación, asesoría, promoción, compensación y acciones.

b) Evaluación del riesgo

El proceso de evaluación del riesgo pretende identificar y responder al riesgo del negocio y los
resultados consecuentes, para los fines de la información financiera
  Evalúa como la administración identifica los riesgos relevantes para la preparación de
estados financieros que brinden un punto de vista razonable (o que se presenten
razonablemente, respecto de todos los asuntos de importancia relativa) de acuerdo con
el marco de referencia de información financiera aplicable, con respecto a:
 como la empresa estima su importancia,
 cómo evalúa la probabilidad de su ocurrencia. y
 como decide las acciones que debe adoptar para manejarlos

 Los riesgos relevantes para la información financiera incluyen hechos y circunstancias

externos e internos que pueden ocurrir y afectar de manera adversa la capacidad de una
entidad para iniciar, registrar, procesar e informar datos financieros consistentes con las
aseveraciones de la administración en los estados financieros.

 Una vez que se identifican los riesgos, la administración considera su importancia, la

probabilidad de su ocurrencia y como deberán manejarse.

Los riesgos pueden surgir o cambiar por los siguientes motivos:

 Cambios en el entorno de operaciones. - Cambios en el entorno de regulación o de
operaciones pueden dar como resultado cambios en presiones competitivas y riesgos
significativamente diferentes.
 Personal nuevo. - El nuevo personal puede tener un diferente enfoque o entendimiento
de control interno.
 Sistemas de información nuevos o renovados. - Los cambios importantes y rápidos en
los sistemas de información pueden cambiar el riesgo en el control interno.
 Crecimiento rápido. - La expansión importante y rápida de las operaciones puede forzar
los controles y aumentar el riesgo de una falla en los controles.
 Nueva tecnología. - Incorporar nuevas tecnologías en los procesos de producción o
sistemas de información puede cambiar el riesgo asociado con el control interno.
 Nuevos modelos, productos o actividades del negocio. - Introducirse a áreas o
transacciones de negocios con las que tiene poca experiencia la entidad puede traer
nuevos riesgos asociados
 Reestructuraciones corporativas. - Pueden ir acompañadas de reducciones de personal
y cambios en supervisión y segregación de funciones que pueden cambiar el riesgo
asociado.
 Operaciones extranjeras en expansión. - La expansión o adquisición de operaciones
extranjeras acarrea riesgos nuevos y a menudo únicos, que pueden afectar al control
interno.
 Nuevos pronunciamientos contables. - La adopción de nuevos pronunciamientos
contables o principios de contabilidad cambiantes puede afectar a los riesgos en la
preparación de los estados financieros.

Elementos que lo conforman:

01.- Identificación del riesgo
02.- Estimación del riesgo
03.- Determinación de los objetivos de control
04.- Detección del cambio

Al evaluar el riesgo el auditor debe considerar lo siguiente:

 El auditor investiga sobre los riesgos de negocio que la administración ha identificado y

considera si pueden dar como resultado una representación errónea de importancia
 relativa. Durante la auditoría, el auditor puede identificar riesgos de representación
errónea de importancia relativa que la administración no identificó

 El auditor debe obtener un entendimiento del sistema de información, incluyendo los

procesos de negocio relacionados, incluyendo las áreas siguientes:

 Las clases de transacciones en las operaciones importantes para los estados

financieros.
 Los procedimientos, tanto en sistemas de TI como manuales, por los que se
inician, registran, procesan e informan dichas transacciones en los estados
financieros.
 Los registros contables relacionados que soportan información y cuentas
específicas en los estados financieros, respecto de registrar, procesar e informar
las transacciones.
 Como captura el sistema de información los hechos y condiciones, distintos de
clases de transacciones, que son importantes para los estados financieros.
 El proceso de información financiera utilizado para preparar los estados
financieros de la entidad, incluyendo estimaciones contables y revelaciones
importantes.

 El auditor también entiende como se resuelve el procesamiento incorrecto de las

transacciones, especialmente, en las actividades de comprar, producir, vender y
distribuir los productos y servicios; asegurar el cumplimiento de leyes, y registrar
información

c) Actividades de control

Actividades de control son las políticas y procedimientos que ayudan a asegurar que las
directivas de la administración se llevan a cabo.
Las actividades de control sean dentro de sistemas de TI o manuales, tienen objetivos diversos
y se aplican a diversos niveles organizacionales y funcionales.

Las actividades de control están referidas a:

 Aprobación, autorización
 Revisión de los resultados de operaciones y logro de metas
 Salvaguarda de activos (Controles físicos)
 Segregación de funciones
 Procesamiento de información (Tecnología de información)

Elementos que la conforman:

01.-Separación de tareas y responsabilidades
02.-Coordinación entre áreas
03.-Documentación
04.-Niveles definidos de autorización
05.-Registro oportuno y adecuado de las transacciones y hechos
06.- Acceso restringido a los recursos, actividades y registros
07.-Rotación del personal en las tareas claves
08.-Control del sistema de información
09.- Control de la tecnología de la información
10.-Inidicadores de desempeño
11.-Función de auditoría interna independiente
Al evaluar las actividades de control el auditor debe considerar lo siguiente:

 como una actividad de control previene, detecta y corrige, representaciones erróneas

de importancia relativa en clases de transacciones, saldos o revelaciones.
 Las actividades de control relevantes son aquéllas de las que el auditor considera
obtener entendimiento para:
 evaluar los riesgos de representación errónea de importancia relativa, a nivel de
aseveración
 para diseñar y ejecutar procedimientos que respondan a los riesgos evaluados.
 Una auditoría no requiere un entendimiento de todas las actividades de control
relacionadas con cada transacción, saldo de cuenta y revelaciones de los estados
financieros, o con todas las aseveraciones que son relevantes.
 El énfasis del auditor está orientado a identificar y obtener un entendimiento de las
actividades que atienden a las áreas donde considera que es más probable que ocurran
representaciones erróneas de importancia relativa.

d) Sistema de información y comunicación

Los sistemas de información permiten identificar, recoger, procesar y divulgar datos relativos a
los hechos o actividades internas y externas, y funcionan muchas veces como herramientas de
supervisión a través de rutinas previstas a tal efecto. No obstante, resulta importante mantener
un esquema de información acorde con las necesidades institucionales que, en un contexto de
cambios constantes, evolucionan rápidamente. Por lo tanto, deben adaptarse, distinguiendo
entre indicadores de alerta y reportes cotidianos en apoyo de las iniciativas y actividades
estratégicas, a través de la evolución desde sistemas exclusivamente financieros a otros
integrados con las operaciones para un mejor seguimiento y control de las mismas.

Ya que el sistema de información influye sobre la capacidad de la dirección para tomar

decisiones de gestión y control, la calidad de aquél resulta de gran trascendencia y se refiere
entre otros a los aspectos de contenido, oportunidad, actualidad, exactitud y accesibilidad.

La comunicación es inherente a los sistemas de información. Las personas deben conocer a

tiempo las cuestiones relativas a sus responsabilidades de gestión y control. Cada función ha de
especificarse con claridad, entendiendo en ello los aspectos relativos a la responsabilidad de los
individuos dentro del sistema de control interno.

Asimismo, el personal tiene que saber cómo están relacionadas sus actividades con el trabajo
de los demás, cuáles son los comportamientos esperados, de que manera deben comunicar la
información relevante que generen.

Los informes deben transferirse adecuadamente a través de una comunicación eficaz. Esto es,
en el más amplio sentido, incluyendo una circulación multidireccional de la información:
ascendente, descendente y transversal.
La existencia de líneas abiertas de comunicación y una clara voluntad de escuchar por parte de
los directivos resultan vitales.

Además de una buena comunicación interna, es importante una eficaz comunicación externa
que favorezca el flujo de toda la información necesaria, y en ambos casos importa contar con
medios eficaces, dentro de los cuales tan importantes como los manuales de políticas,
memorias, difusión institucional, canales formales e informales, resulta la actitud que asume la
dirección en el trato con sus subordinados. Una entidad con una historia basada en la integridad
y una sólida cultura de control no tendrá dificultades de comunicación. Una acción vale más que
mil palabras.

Elementos que la conforman:

01.-Información y responsabilidad
02.-Contenido y flujo de la información
03.-Calidad de la información
04.- El sistema de información
05.-Flexibilidad al cambio
06.-Compromiso de la autoridad superior
07.-Comunicación, valores organizacionales y estrategias
08.- Canales de comunicación

 El auditor debe obtener un entendimiento de cómo ha respondido la entidad a los

riesgos que se originan de la TI.
 El uso de TI afecta la manera en que se implementan las actividades de control.
 El auditor debe considerar si la entidad ha respondido de manera adecuada a los riesgos
que se originan de TI estableciendo controles generales de TI y controles de aplicación.
 Desde la perspectiva del auditor, los controles sobre los sistemas de TI son efectivos
cuando mantienen la integridad de la información y la seguridad de los datos que
procesan dichos sistemas.
 Los controles generales de TI son políticas y procedimientos que se relacionan con
muchas aplicaciones y soportan el funcionamiento efectivo de los controles de
aplicación al ayudar a asegurar la operación continua apropiada de los sistemas de
información.
 Los controles de aplicación son procedimientos manuales o automatizados que operan
en el ámbito del proceso del negocio y pueden ser de naturaleza preventiva o de
detección y se diseñan para asegurar la integridad de los registros contables.

e) Monitoreo

 El monitoreo es un proceso para evaluar la calidad del control interno después de un

tiempo.
 Implica evaluar el diseño y operación de los controles de manera puntual y tomar las
acciones correctivas necesarias.
 El monitoreo de los controles se logra mediante actividades continuas de monitoreo,
evaluaciones separadas, o una combinación de ambas.
 Las actividades continuas de monitoreo se integran en las actividades normales
recurrentes de una entidad e incluyen actividades regulares de administración y
supervisión.

Elementos que la conforman:

01.-Evaluación del sistema de control interno

02.-Eficacia del sistema de control interno
Al evaluar las actividades de monitoreo el auditor debe considerar lo siguiente:

 obtener entendimiento de las principales actividades que la entidad usa para

monitorear el control interno sobre la información financiera
 incluir las actividades de control relevantes para la auditoria
 obtener información sobre cómo la entidad adopta acciones correctivas sobre los
controles que no funcionan con efectividad
 en algunas empresas, los auditores internos o el personal que desempeña funciones
similares contribuyen al monitoreo de las actividades

Riesgos que requieren consideración especial

Como parte de la evaluación del riesgo, el auditor deberá determinar cuáles de los riesgos
identificados son, a su juicio riesgos que requieran una consideración especial de auditoría
(estos riesgos se definen como “riesgos importantes”).

Al considerar la naturaleza de los riesgos, el auditor considera un número de asuntos, incluyendo

los siguientes:

 Si el riesgo es un riesgo de fraude.

 Si el riesgo está relacionado con recientes desarrollos económicos o contables
importantes u otros desarrollos y, por lo tanto, requiere atención específica.
 La complejidad de las transacciones.
 Si el riesgo implica transacciones importantes con partes relacionadas.
 El grado de subjetividad en la medición de información financiera relacionada con el
riesgo, especialmente la que implique una amplia gama de falta de certeza en la
medición.
 Si el riesgo implica transacciones importantes que estén fuera del curso normal del
negocio para la entidad, o que de otro modo parezcan ser inusuales.

Revisión de la evaluación del riesgo realizada por el auditor

 La evaluación por el auditor de los riesgos de representación errónea de importancia

relativa a nivel de aseveración se basa en evidencia de auditoría disponible y puede
cambiar durante el curso de la auditoría al obtener evidencia adicional
 La evaluación del riesgo puede basarse en una expectativa de que los controles están
operando de manera efectiva para prevenir o detectar y corregir, una representación
errónea de importancia relativa al nivel de aseveración.
 Al ejecutar pruebas de control para obtener evidencia sobre su efectividad operativa, el
auditor puede obtener evidencia de que los controles no están operando de manera
efectiva
 De modo similar, al realizar procedimientos sustantivos el auditor puede detectar
representaciones erróneas en cantidades o frecuencia mayores de los que sea
consistente con las evaluaciones del riesgo.
¿Qué aspectos se documentan en la comprensión del control interno?

 La discusión entre el equipo del trabajo respecto de la susceptibilidad de los estados

financieros a representaciones erróneas de importancia relativa debida a error o fraude
(NIA 240)
 Elementos clave del entendimiento que se obtiene respecto de cada uno de los aspectos
de la entidad, incluyendo:
 cada componente del control para evaluar el riesgo de representación errónea de
importancia relativa de los estados financieros;
 fuentes de información de las que se obtuvo el entendimiento; y los procedimientos
de evaluación del riesgo;
 riesgos identificados y evaluados de representación errónea de importancia relativa
al nivel de estado financiero y al nivel de aseveración
 Los riesgos identificados y los controles relacionados evaluados

Mediante un esquema de controles incorporados como el descripto:

 Se fomentan la calidad, las iniciativas y la delegación de poderes.

 Se evitan gastos innecesarios.

 Se generan respuestas ágiles ante circunstancias cambiantes.