Universidad Mariano Gálvez De Guatemala
Facultad De Ciencias Económicas
Maestría en Estándares Internacionales con Enfoque en Auditoria Interna
Normas Internacionales de Auditoria Interna e Informe Coso II
Ingeniero Carlos Guzmán
Resumen y ejecución
Control Self Assessment (CSA)
Ludwing Smaylin Díaz Soto 1937-10-8634
Guatemala, 01 de noviembre de 2019.
Introducción
El Control Self Assessment (CSA) es la autoevaluación del control de una entidad la cual es
utilizada como una herramienta la cual sirve para medir los riesgos y controles que operan
en los procesos del negocio basándose en que el personal tiene las capacidades y el
conocimiento adecuado para implementar en materia de control interno proporcionando
seguridad de que los objetivos de la entidad podrán ser alcanzados con la implementación de
estos procesos.
Control Self Assessment (CSA)
Es una herramienta de gestión de riesgo tecnológico la cual examina y evalúa la efectividad
del control interno con el objetivo de proporcionar confianza de que los objetivos de la
empresa serán alcanzados. La creciente dependencia en la información y los sistemas se han
convertido en un elemento crítico para el éxito y supervivencia de las entidades y la mala
gestión del riesgo en materia de tecnologías de información puede llevarlas a fraudes, fuga
de información, pérdidas monetarias, afectación a terceros. Los riesgos de Tecnología de la
Información se encuentran intrínsecamente asociados con la ausencia de las oportunidades
para utilizar la tecnología, con el fin de mejorar la eficiencia o efectividad de los procesos de
negocio o como un facilitador para nuevas iniciativas entidad, es decir, los riesgos de la
prestación de servicios y de operaciones de Tecnología de la Información están asociados
con todos los aspectos del desempeño de Tecnología de la Información y servicios del
sistema, que puede ocasionar la destrucción o la reducción de valor para la entidad. Es por
ello que resulta necesario como primer paso establecer una declaración en toda empresa en
la que se establezca que los riesgos de Tecnología de la Información siempre existirán a pesar
de que la empresa no los detecte ni reconozca
Sin embargo, en todos y cada uno de los controles antes mencionados se encuentran
involucradas las Tecnologías de Información (TI) como base fundamental de toda la
operación. Por ello resulta indispensable determinar cuáles son las responsabilidades en
materia de control dentro de una entidad, con la finalidad de saber quién deberá atender los
temas en materia de riesgo control de TI. Con base en las mejores prácticas en materia de
control interno, la alta dirección es la encargada de la supervisión, establecimiento,
administración y evaluación de los procesos de gestión de riesgos y controles
Es por ello que las regulaciones internacionales como la Ley Sarbanes Oxley Commission, e
incluso nacionales como lo es la Circular Única de la Comisión Nacional Bancaria y de
Valores, han determinado el riesgo tecnológico y la implementación de controles que lo
mitiguen como uno de los puntos críticos de toda entidad. Y es en ese punto donde los entes
revisores (auditoría y/o contraloría) proveen distintos grados de aseguramiento de efectividad
en materia de gestión del riesgo y procesos de control dentro de la entidad. Así mismo, es
donde la aplicación del CSA apoya los tres ámbitos del marco de riesgo tecnológico, ya que
mediante la autoevaluación de procesos de TI se puede obtener información crítica y útil para
el Gobierno de TI, así como para la identificación, evaluación, respuesta y administración
del Riesgo. En el proceso de auto-evaluación (CSA) todas estas actividades son conducidas
por el personal de las unidades de negocio y la gerencia a cargo de cada una de ellas, basados
en procesos, enfocadas al cliente, orientadas a la identificación de riesgos, efectividad del
control y mejoramiento del proceso.
Las aplicaciones de mejores prácticas para la gestión de los riesgos de TI proporcionan
beneficios tangibles al negocio, podemos mencionar las siguientes: Menor número de
eventos inesperados y fracasos, aumento de la calidad de la información, mayor confianza de
las partes interesadas, menores preocupaciones de carácter regulatorio, nuevas iniciativas
para el negocio apoyadas por aplicativos innovadores. A pesar de que los componentes de
control son los mismos en estos marcos de referencia y normas, para la auto-evaluación
(CSA) y para las técnicas tradicionales, la diferencia entre estas reside en la metodología
implementada para identificar, revisar, evaluar y validar los controles ya que en las técnicas
tradicionales es el auditor o consultor externo quien emite su opinión respecto al marco de
control, realiza el análisis y evaluación de riesgos y controles basado en transacciones
proporcionando los siguientes controles.
1. La infraestructura entera de la entidad en materia de objetivos-riesgos-controles se
encuentra sujeta a una mayor supervisión y mejoramiento continuo.
2. El personal de las unidades de negocio adquiere entrenamiento y experiencia en la
evaluación de riesgos y administración de estos a través de la implementación de
controles, mejorando la oportunidad de alcanzar los objetivos de la entidad.
3. Facilita la obtención y comunicación de información que conduce a mejorar la gestión
de riesgos y controles.
4. Las entidades supervisoras de las entidades hablemos de auditoría y contraloría
mejoran su eficiencia en la obtención de información por parte de los equipos de
trabajo de las unidades de negocio, lo cual les permite mayor investigación y
ejecución de pruebas para la identificación de debilidades de control significativas y
riesgos residuales altos.
5. Genera valor ya que motiva la cooperación entre las diferentes unidades de negocio,
incrementa la implicación del diseño y mantenimiento del sistema de gestión de
riesgos y controles, promoviendo cultura dentro de la entidad.
6. El personal se ve motivado al ser dueño del proceso de gestión de riesgos y controles
en sus áreas de negocio, lo que promueve que las acciones correctivas implementadas
por estos equipos de trabajo sean frecuentemente más efectivas y oportunas.
Las evaluaciones son aplicadas periódicamente, se ejecutan las evaluaciones se emite el
informe de resultados donde cada gerencia recibe el reporte de evaluaciones, el cual
constituye la base para el intercambio de ideas entre la gerencia, el personal que opera y la
contraloría interna, que incluye los asuntos de interés para la definición de acciones de mejora
que apoyen la gestión de riesgos institucionales. Los reportes comparan la evaluación de los
controles de cada componente contra el nivel de madurez de toda la Institución y determinan
el nivel de confianza de los resultados mediante la validación de evidencias que soportaron
las respuestas de los participantes, obteniendo información valiosa respecto a controles
potenciales, por la especialización que cada proceso. el personal de TI tendrá la propiedad de
la estructura de control debido a que ellos están envueltos en el diseño y evaluación de ésta.
Siendo de esta manera que se generará valor en la gestión de los riesgos tecnológicos y de
negocio de la organización.
Ejecución de Control Self Assessment (CSA)
La autoevaluación del control interno genera mutua responsabilidad en la alta dirección y en
los empleados de todas las dependencias, y estimula la colaboración y el empoderamiento.
Cualquier plan de trabajo se cumple mucho mejor cuando el mismo e quipo de trabajo
lo ha creado y soportado. Lo anterior se evidencia al realizar la autoevaluación, porque
son los mismos empleados, expertos en la ejecución de las tareas, quienes tienen el
conocimiento sobre cómo se desempeñan los procesos, y además determinan el grado de
cumplimiento o efectividad del sistema de control. De esta forma, son ellos quienes proponen los
planes de mejoramiento y quienes están comprometidos con el éxito de su implementación. Si el
compromiso es verdadero y personal, ellos soportarán y apoyarán los esfuerzos de
mejoramiento. La autoevaluación del control interno favorece el autocontrol y la autogestión
en toda la organización, porque cada dependencia y cada persona que participa en ella puede
establecer las deficiencias personales y en su área, lo cual le permite tomar conciencia de los
cambios que requiere y emprenderlos, con el fin de mejorar la calidad del sistema. Al aplicar
la autoevaluación del Sistema de Control Interno se originan esencialmente al no contar con
una cultura organizacional apropiada, en la que la dirección no se compromete con el proceso
y los cambios que se generan a partir de él; una cultura en la que no haya colaboración por
parte de todo el personal que la lleva a cabo y se oponga a cooperar con el levantamiento de
la información necesaria para su realización. Otro aspecto que puede afectar el proceso es no
contar con el personal apropiado ni con las técnicas adecuadas para su ejecución, el principal
responsable de la autoevaluación del sistema de control es la dirección de la entidad, quien tiene
la función de aprobar la metodología para su realización y soportar la adecuada ejecución en
todos los niveles institucionales.
Debe crearse un Comité de Autoevaluación para que lidere todo el proceso y se encargue
de planificar, dirigir, coordinar, evaluar y redactar el informe final. Este comité está
conformado por el segundo nivel de dirección de la entidad, con el fin de solucionar los
problemas e inquietudes que se presenten, y es apoyado por los grupos de trabajo. La
autoevaluación del Sistema de Control Interno también requiere la participación de los empleados en
todos los niveles y dependencias de la organización, al suministrar información, contestar las
encuestas, participar en talleres y en ejecución de planes de mejoramiento que surjan de ella.
El primer requisito para que la autoevaluación del Sistema de Control Interno sea un éxito, consiste
en contar con un sistema de control explícito para la organización, de tal forma que se tenga
un marco de referencia para el análisis.
El segundo requisito es el liderazgo que asuma la dirección la cual genera y promueve el
compromiso y participación de los demás empleados. La dirección debe manifestar explícitamente los
objetivos de la autoevaluación del sistema de control, de tal forma que haya claridad suficiente al
respecto. Este liderazgo va unido al apoyo que se le brinde al proceso, tanto con recursos para
su ejecución como para la puesta en marcha de los planes de mejoramiento que surjan de él.
Tercer requisito consiste en la participación de todas las dependencias de la organización, a través
de los grupos o equipos establecidos para ese fin y coordinados por el Comité de
Autoevaluación. Las personas que conforman los grupos de apoyo deben tener como
condición el conocimiento preciso de los procesos en los cuales van a realizar la autoevaluación.
La objetividad en el proceso, como cuarto requisito, genera confianza y seguridad, y da
credibilidad a la autoevaluación. Es fundamental disponer de información suficiente y
confiable, para hacer un juicio sobre el cumplimiento de los criterios y sobre las causas de las
deficiencias del sistema de control, con el fin de establecer los planes de mejoramiento.
Contar con los recursos físicos y tecnológicos facilita el desarrollo del proceso, aunque igualmente
el trabajo puede ejecutarse en forma manual o con sistemas que agilicen la recolección de la
información, la tabulación y el análisis, estas tareas se realizan en forma más oportuna y
eficiente. Antes de iniciar la autoevaluación se debe capacitar todo el personal que
participará en ella, sobre el objetivo y la estructura del sistema de control y sobre el proceso
de autoevaluación en sus etapas, el compromiso que adquieren los participantes en aplicación
de subsistemas, componentes y los elementos de estos.
Conclusión
Este proceso de autoevaluación se convierte en una herramienta importante derivado a que
involucra a todo el personal para identificar y gestionar los riesgos de manera oportuna y
exacta derivado a que todo el personal tendrá los objetivos alineados, garantizando todo el
proceso con la seguridad de la información. Teniendo el personal de Tecnología de la
Información el control para el diseño y evaluación.
Egrafìa
Fuentes abiertas
1. [Link]
Control_Interno
2. [Link]
ema_de_control_interno_2018_0.pdf
3. [Link]
4. [Link]