Compliance; Controles internos, prueba, evidencia y sustanciación.

Compliance; Controles internos, prueba, evidencia y sustanciación.
Carlos Alberto Barrios l
Moore Stephens Madrid.

Uno de los elementos trascendentales en el proceso de evaluación de controles para determinar la efectividad o no de ellos, lo corresponde el diseño y documentación de las pruebas de control que sustentarán nuestra conclusión.

El objetivo y alcance de las pruebas nos deberá ofrecer una garantía razonable que ese control detectado existe, está implementado, es operativo y es efectivo.

Deberemos ser eficaces al diseñar las pruebas de los controles, porque es factible que una prueba bien diseñada, pueda servir para sustentar más de un control, lo que redundaría indudablemente en la eficiencia y optimización del proyecto de evaluación.

Para concretar un poco, expondré un ejemplo para este caso: El proceso de aceptación de proveedores debe estar controlado a fin de identificar a sus administradores y apoderados, sus referencias bancarias y comerciales, información financiera y de reputación en el mercado, entre otros aspectos y solo para poder definir y categorizar al mismo: qué segmento de mercado lo clasificaremos, qué capacidad de entrega y despacho presenta, calidad de sus productos, etc,  todo desde el punto de vista comercial y de mercado; sin embargo, esa misma prueba que usaremos para evaluar este control podrá ser utilizada para evaluar lo referente al marco regulatorio de prevención de blanqueo de capitales así como soborno y corrupción. Sí con la información que disponemos ya del proveedor, sus referencias comerciales y bancarias, adicionalmente incorporamos y documentamos una investigación propia de sí éste, sus apoderados, accionistas, etc., están o han sido públicamente cuestionados por algún tipo de delito de soborno y corrupción y de blanqueo de capitales. Esta investigación puede ser realizada revisando por internet en páginas públicas disponibles como la de la Guardia Civil, OFAC, FBI, Interpol, entre otras muchas; pudiésemos indicar que hemos cumplimentado la diligencia debida para esa actividad. En esta situación la empresa no es un sujeto obligado ni cliente de riesgo.

En este caso la prueba y sus atributos permitirán sustanciar dos controles, uno desde el punto de vista de control de proveedores netamente comercial y de mercadeo y otro de gobierno corporativo referido a delitos financieros, soborno y corrupción y blanqueo de capitales.

Cuál es la ventaja adicional, que posiblemente sus referencias comerciales desde el aspecto técnico de la prueba comercial son intachables, lo que motivaría ser incluido en nuestra cartera de proveedores, pero la segunda investigación, desde el punto de vista de prevención de blanqueo de capitales nos indica que algunos de sus accionistas o apoderados han estado cuestionado o tiene cargos pendientes por algún delito económico. Posiblemente nuestra consideración será no tener relaciones comerciales con empresas que tengan directivos cuestionados por delitos.

Caso diferente es cuando la empresa alega la eficiencia de un control enmascarándose en un control secundario o alterno que no garantiza la efectividad ni la operatividad del mismo.
Como ejemplo podría citar: En el proceso de autorización de compras, evidenciamos que no existe un límite de delegación financiera que restrinja la capacidad de endeudamiento del comprador frente a la organización; la empresa alega que su control es que todos los pagos son autorizados por el CFO de la empresa.

El control a evaluar no es de gestión de pagos, sino de gestión de compras, referido específicamente al límite de delegación y endeudamiento por parte de un comprador, el cual carece del adecuado control y supervisión por un responsable de mayor nivel jerárquico con responsabilidad de financiera. Por lo tanto la conclusión del control es ineficiente en su diseño, ya que el que firme y apruebe el pago el CFO no controla que el comprador siga comprando sin límite, ya que cuando el comprado remite la orden de compra al proveedor actúa en nombre de la organización que representa, por lo tanto es obligación de esta cancelar el pago bajo los términos y condiciones acordadas. El que el CFO firme es un control de nivel de autorización para la emisión de los pagos, que desde ése punto de vista puede ser considerado como bien diseñado, operativo y eficiente.

Por esta razón indico que diseñar las pruebas que deberán ser utilizadas es un proceso delicado donde debemos evaluar si las mismas podrían ser utilizadas para evaluar más de un control incluso hasta de procesos diferentes como el expuesto en el primer ejemplo.

Cada uno de los elementos que conformarán la prueba lo conocemos como atributos de prueba y esta es la que nos permitirá concluir si basado en el resultado de los atributos que el control es adecuado o no.

La documentación de la prueba es crucial en esta fase, debe quedar evidencia escrita cuando por algún motivo no es posible obtener evidencia física (observación corroborativa). Por ejemplo observamos en el área del almacén que el personal no cumple las normas de seguridad, caminan fuera de rayado o no usan las botas o equipamiento adecuado. En este caso alegaremos que observamos y lo corroboramos que ese evento sucede.

Si obtenemos evidencia física como copias de facturas, órdenes de compra, notas de entrega, esta debe ser documentada y referenciada dentro de nuestro dossier de pruebas, de forma que en caso de cualquier cuestionamiento pueda ser presentado como evidencia.

Si no podemos obtener evidencia física u observación corroborativa, que nos permita confirmar adecuadamente el control, así estemos seguros que el mismo existe, deberemos ser consientes en exponer que “no se pudo evidenciar el mismo, lo que limita la conclusión del control”. Deberemos en ese caso buscar pruebas alternas que satisfagan la necesidad del control.

Confirmar o negar la efectividad de un control no evidenciado puede ser considerado como una irresponsabilidad del consultor y según el caso y su trascendencia puede ser catalogada como un delito penal por diligencia debida o incluso de ineficiencia criminal.

Sí deseas aportar algo al tema que consideres falto explicar o no quedó del todo claramente expuesto, siéntete en la libertad absoluta de comentarlo, por favor sin aportar nombres ni exponer a personas ni empresas. Ninguno tenemos la verdad absoluta!.

Comentarios