NIA 265: Comunicación de deficiencias de control interno
En este editorial se presentan los lineamientos de la NIA 265 que debe tener en cuenta un contador encargado de una auditoría de control interno y, a su vez, qué indicadores y argumentos sobre la significancia de la deficiencia encontrada debe revisar para saber si reportarla o no.
En este editorial se presentan los lineamientos de la NIA 265 que debe tener en cuenta un contador encargado de una auditoría de control interno y, a su vez, qué indicadores y argumentos sobre la significancia de la deficiencia encontrada debe revisar para saber si reportarla o no.
Como se ha mencionado en otros editoriales, las Normas Internacionales de Auditoría –NIA– forman parte de las Normas de Aseguramiento de la Información –NAI– contenidas en el Anexo 4 del DUR 2420 de 2015, el cual, en respuesta a los requerimientos de la Ley 1314 de 2009, expone los lineamientos que deben seguir contadores, auditores y revisores fiscales en el ejercicio de sus labores. En sintonía con lo anterior, en este editorial se expondrá la NIA 265 contenida en el Anexo 4, la cual presenta la responsabilidad que tiene el contador que esté encargado de la auditoría de una entidad.
La NIA 265 establece que el contador debe comunicar oportunamente a los responsables de gobierno (persona u organización responsable de supervisar a la dirección de la entidad) los aspectos de control interno vinculados a la dirección (persona o personas con la responsabilidad de dirigir y supervisar las operaciones de la entidad) y las deficiencias encontradas en el proceso de control interno durante el desarrollo de su encargo. A su vez, y dada la importancia de esta información, se requiere que el contador esté al tanto de estas nuevas normas que ya deben estarse aplicando en Colombia conforme al Decreto 2420 de 2015 y las modificaciones introducidas por el Decreto 2132 de 2016.
Alcance, objetivo y requerimientos
Antes de iniciar con la exposición del alcance, objetivo y requerimientos de esta NIA, se invita al lector a revisar las definiciones y términos contenidos en el Anexo 4, en especial el concepto de deficiencia en control interno incluido en la norma:
“Deficiencia en el control interno– Existe una deficiencia en el control interno cuando:
(a) un control está diseñado, se implementa u opera de forma que no sirve para prevenir, o detectar y corregir incorrecciones en estados financieros oportunamente; o
(b) no existe un control necesario para prevenir, o detectar y corregir, oportunamente, incorrecciones en los estados financieros.”
De acuerdo a esta definición, se podría concluir que una deficiencia es un resultado insatisfactorio que surge de la aplicación de un control que impide detectar, identificar o prevenir algún tipo de riesgo o inexactitud en la información financiera.
Dado lo anterior, el alcance de esta NIA es entregar los lineamientos para que el auditor pueda cumplir el objetivo de comunicar a la dirección y a los responsables de gobierno todos los aspectos relacionados con deficiencias en los procesos de control interno, con el fin de que estos actores realicen una adecuada planeación, incluyendo las mejoras a que den lugar, para disminuir o eliminar estas deficiencias.
Para cumplir con este objetivo se requiere que el auditor revise otras informaciones contenidas en el Anexo 4 como la NIA 315, que expone la manera en la que el contador puede identificar y valorar los riesgos de incorrección significativa mediante el diagnóstico de su entorno, y la NIA 260, que incluye la definición de los actores que intervienen en la comunicación de situaciones de la entidad.
A continuación, se mencionan algunos requerimientos con los que debe cumplir el auditor:
- Comunicar a los responsables de gobierno, por escrito y oportunamente, las deficiencias encontradas.
- Determinar gracias a su experticia y conocimientos si la información obtenida tiene la importancia suficiente para que merezca ser comunicada.
- Comunicar el nivel de responsabilidad de la administración o dirección de la empresa en el proceso de control interno.
- Incluir en su comunicación escrita una descripción de las deficiencias encontradas y la explicación de las consecuencias que estas pueden traer a la organización.
- Sea claro en la información suministrada en su informe.
- Dirigirse directamente a los encargados del gobierno corporativo en caso de que alguna deficiencia ponga en duda la integridad y competencia de la dirección.
Es importante tener presente que si bien esta NIA 265 abarca la comunicación de deficiencias, no impide que el auditor comunique a los responsables del gobierno de la entidad y a la dirección cualquier otra situación que haya identificado durante su labor de auditoría y que considere necesario divulgar.
Criterios para identificar si una deficiencia es significativa
En el momento en que el auditor encuentre una deficiencia y requiera evaluar si esta es significativa, debe tener en cuenta los siguientes argumentos expuestos en el párrafo A6 de la NIA 260:
- La probabilidad de que la deficiencia dé lugar a incorrecciones materiales en un futuro.
- La exposición de activos y pasivos a fraude o pérdida.
- La subjetividad y complejidad a la hora de realizar estimaciones ya que en muchas ocasiones las estimaciones se convierten en una suposición; se debe tener en cuenta que estas deben tener un fundamento que argumente su validez.
- Cuando las deficiencias afecten directamente rubros de los estados financieros o los movimientos de las cuentas y saldos de las partidas.
Además de los anteriores argumentos el auditor debe tener especial detalle en los indicadores de deficiencias significativas, entre estos se encuentran:
- La evidencia de poca efectividad o poca eficacia en los controles.
- La ausencia de procesos de evaluación del riesgo.
- Respuestas ineficaces ante los riesgos significativos que se hayan detectado anteriormente y sobre los cuales no se realizó ningún control.
- Evidencia de que los encargados de la supervisión no realizan adecuados controles, entre otros indicadores.
Para concluir, la importancia de esta labor de auditoría no es como tal la emisión de una opinión sobre la entidad, sino más bien que con la comunicación realizada por el auditor (donde se reportan las deficiencias encontradas) la administración y el gobierno corporativo implementen acciones correctivas y lleven el proceso de control interno a un enfoque integral y funcional como lo exigen las normas de aseguramiento de la información.