Dificultades del auditor interno de Sistemas de Gestión Antisoborno.

Hay quienes minimizan la labor del auditor interno en sistemas de gestión; sin embargo, la labor de auditoría, lejos de ser una función poco relevante, suele ser una importante fuente de oportunidades de mejora y, eventualmente, de no conformidades, y, por ende, parte relevante de la necesaria y deseable mejora continua.

Asimismo, y para quienes no están convencidos, es requerimiento de la norma, y su ausencia derivaría en que el sistema de gestión antisoborno no sea considerado conforme para obtener la certificación.

En nuestra experiencia realizando auditorías internas o externas de certificación, nos hemos topado con algunas dificultades que queremos compartir con nuestros colegas interesados en las particularidades del citado estándar, mismas que fueron expuestas y debatidas hace pocos días, en un webinar que hemos dictado.

juez-martillo-abogados-justicia-que-tienen-reunion-equipo-bufete-abogados_1418-2473

 

Presentamos entonces, a continuación, las 10 dificultades con las que nos encontramos más frecuentemente:

DIFICULTAD #1 – PREPARACIÓN DE LA AUDITORÍA

La primera dificultad que evidenciamos está relacionada con vincular los requisitos normativos de ISO 37001 con los propios procesos de la organización a auditar.

Es sabido que las normas ISO de Sistemas de Gestión se basan en el principio de “gestión por procesos”, por lo que una auditoría que siga este principio debería tener como eje los procesos de la organización en lugar de los requisitos de la norma, así que deberemos comprender el funcionamiento de la organización a auditar, dedicando tiempo a analizar sus documentos principales, en vínculo con el Sistema de Gestión y planificar las actividades de auditoría de manera adecuada. Esto cobra aún más importancia, si el equipo auditor es externo a la organización; por el contrario, el equipo auditor que sea parte del staff, corre con ventaja por “conocer el terreno”.

DIFICULTAD #2 – PREPARACIÓN DE LOS AUDITADOS

Frecuentemente los responsables de procesos en una organización (para el caso en cuestión “los auditados”), consideran que saben mucho sobre lo que hacen en el día a día, y esto suele ser una gran verdad, nadie como ellos para ser especialistas en lo que les toca. A veces mejor, a veces peor, pero son los “dueños de sus procesos”.

Sin embargo, es denominador común en este tipo de trabajos, que se desconozca la norma en detalle, que las supuestas evidencias de las actividades realizadas (en especial las de control que mitigan riesgos), y sus adecuados registros, no existan o no cuenten con los requerimientos mínimos aceptables por un SGAS que se precie de eficaz. En estas circunstancias, obviamente, un buen auditor interno observará estas deficiencias o debilidades, pudiendo incluso cristalizarse en una no conformidad.

Nuestra recomendación, en este caso, será que los auditados conozcan la ISO 37001 en su totalidad, preparen respuestas a las preguntas que el auditor podría formular para evidenciar una adecuada implementación, que hagan el ejercicio de ir armados de todas las evidencias que permitan a un tercero independiente probar que las actividades existen y se ejecutan en la forma en que fueron planeadas.

DIFICULTAD #3 – PRINCIPIOS DE LA AUDITORÍA: IMPARCIALIDAD

Ya nos decía Bernard Shaw que “La justicia estriba en la imparcialidad, y solo pueden ser imparciales los extraños”.

Entonces, así como en la dificultad #1, los auditores que son miembros de la organización a auditar tienen una ventaja, aquí deberán mediar ciertos recaudos para cumplir con un principio fundamental del proceso de auditoría: la imparcialidad.

ISO 19011, que nos plantea “Directrices para la Auditoría de Sistemas de Gestión”, le da una jerarquía destacable a este principio, pues es la base de la objetividad de los resultados.

Resulta importante entonces velar por la independencia de los procesos que toque auditar, contando con al menos dos auditores internos que sean personal permanente de la organización a auditar. Es particularmente importante al auditar sistemas anti-soborno, pues uno de los valores fundamentales de estos sistemas es la transparencia. Los auditores externos a la organización auditada, cuentan con ventaja en este punto.

DIFICULTAD #4 – ÉNFASIS EN CONOCER LOS RIESGOS

Como bien sabemos, un SGAS se estructura sobre la base de la gestión de riesgos, de hecho, podemos afirmar que constituye su columna vertebral. Notamos, sin embargo, que los responsables de procesos suelen realizar controles sin tener en consideración los riesgos a los que está expuesta la organización en materia de soborno y, en particular, los que se relacionan en forma directa con el área en particular, incluyendo los terceros que operan a las órdenes de la misma.

Es razonable suponer que esta “falta de concientización” sobre los riesgos específicos de cada área de responsabilidad, impacte sobre la calidad y efectividad de los controles antisoborno implementados, o peor aún, que no existan tales controles. En estos casos, difícilmente podrán pasar estos responsables una auditoría interna de SGAS de manera exitosa.

Nuestra recomendación: implementar técnicas de identificación de riesgos que incluyan la participación y opinión de los citados responsables de proceso, esto incrementará su involucramiento. Adicionalmente, será importante difundir el concepto de dueño de riesgos (“risk owner”). Cada responsable de objetivos por área, lo debe ser también de los riesgos que podrían afectar la consecución de los mismos. Clarificar este concepto por parte de las altas autoridades ejecutivas facilitará que esto ocurra.

DIFICULTAD #5 – PLAN DE AUDITORÍA 

Recordando mi formación de Auditores Líderes en el año 2008, el tutor de entonces nos recomendaba “usen sus listas de verificación como guía, pero no pasen por alto las pistas de auditoría”.

Los años en esta actividad, me han demostrado que es una recomendación muy sabia. Sin embargo tiene un enemigo: el tiempo.

Quienes hayan realizado alguna vez una auditoría sobre un Sistema de Gestión, coincidirán con nosotros en que el tiempo parece nunca ser suficiente.

Así que resulta muy importante, prestar atención para no poner en riesgo la planificación de la auditoría y la disponibilidad de los auditados que tenemos “en cola”.

Para mitigar este efecto, la recomendación es dejar márgenes en la planificación, para poder volver sobre aspectos o procesos que hayan quedado inconclusos. Por ejemplo, cada final de día, dejar una hora para “evaluar hallazgos del día”.Por supuesto que no será aconsejable planificar en exceso por obvias razones: eficiencia, costos, disponibilidad de auditados, competitividad (si somos externos a la organización).

Habrá algunos aspectos que pueden afectar gravemente el trascurso de la auditoría y, en estos casos, aplica la recomendación, estos pueden ser, pero no se limitan a: estacionalidad de la Organización (picos de producción o demanda), operación en varios sitios, disponibilidad de auditados (sobre todo la Alta Dirección).

DIFICULTAD #6 – LOGÍSTICA INTELIGENTE

A fin de evitar reprocesos, visitas superpuestas y molestias innecesarias, solemos recomendar planear las entrevistas en función de:

a) las características de la norma, ya que tiene muchos “vaivenes” y encadenamientos que responden a cierta lógica.

b) las características propias de la organización, tales como dispersión geográfica, estructura organizacional, características del trabajo de su personal, entre otras cuestiones.

No deberíamos volver a contactar a un responsable ya entrevistado diciéndole, por ejemplo: “no me di cuenta que la norma más adelante pedía tal o cual cuestión de la que, entiendo, tu área es la encargada”

Por otro lado, es más que frecuente que las entrevistas planeadas sufran cambios de último momento. Sabemos que la organización no detiene sus acciones a la hora de tener que administrar un paro de planta, un contagio en plena pandemia o la falta de un insumo crítico (por solo citar algunos ejemplos). Una planificación flexible puede ayudar mucho para que la hoja de ruta nos lleve a obtener adecuadas evidencias de auditoría con la mayor eficiencia posible.

DIFICULTAD #7 – AUDIT & TEACH 

La labor de auditoría interna sobre la base de la norma 19011, ya sea efectuada con personal de la organización o por medio de expertos contratados, debe contar con un enfoque consultivo (sin por ello descuidar la necesaria objetividad).

Si bien constituye un trabajo importante para evaluar la adecuación del sistema y las evidencias de su cumplimiento, además de ser requisito de la ISO 37001, es una gran oportunidad para levantar las debilidades que deberán ser remediadas antes de que sea el turno del auditor de tercera parte (el ente que emitirá la certificación en el mejor de los casos y que la revalidará con el organismo de acreditación con el cual trabaje).

Y decimos que es una instancia para que “salga todo a flote”, porque si existen no conformidades no detectadas en esta etapa, posiblemente no podrán ser abordadas a tiempo cuando las identifique el ente certificador.

DIFICULTAD #8 – RESPONSABILIDAD DEL EQUIPO AUDITOR 

Esta norma ISO en particular, por vincularse con requisitos regulatorios de fuero penal (globalmente, en la mayoría de las jurisdicciones), presenta riesgos para los auditores dignos de tener en cuenta.

Se deberá tener especial cuidado sobre la comprensión de los riesgos de la organización a auditar y la eficacia de los controles y acciones implementados para mitigar dichos riesgos. Por otro lado, se debería tener alguna certeza de que no existan riesgos de alto impacto que no hayan sido identificados, por ejemplo, haciendo un benchmark con otras empresas del rubro (que el auditor conozca o bien recurriendo a un experto del rubro para formar parte del equipo auditor).

Ya sea entonces conociendo el rubro o bien armando un equipo auditor heterogéneo para garantizar competencias, y garantizando una buena preparación previa, podremos minimizar incertidumbre del proceso y posibles omisiones.

DIFICULTAD #9 – CHECK-LIST vs. CRITERIO PROFESIONAL 

Cuando comencé a usar esta norma en casos reales (y lo mismo me sucedió con otras en el pasado), la lista de chequeo supo ser una herramienta irreemplazable.

Claro está que cuando hablamos de un “check-list”, es el que resulta de la mejor interpretación de los requerimientos de la norma al tipo de organización y sus características. Poco a poco, mucho de lo que está escrito va siendo modelado por el criterio profesional y el check-list pasa a ser un ayuda de memoria, más que nada para no omitir de preguntar algo de significancia; sucede además, que es la propia conversación y los dichos de nuestro interlocutor, los que nos llevan frecuentemente a “salirnos del libreto”.

Dicho esto, podemos aseverar que checklist + criterio profesional, son una dupla exitosa a la hora de mantener una entrevista de auditoría eficaz.

DIFICULTAD #10 – EQUILIBRIO ENTRE REQUISITOS Y BUENAS PRÁCTICAS

No es una exigencia de ISO 37001 implementar un Código de Ética o Conducta, entonces nos preguntamos, ¿podremos exigir un Código de Ética o Conducta si nos toca auditar un Programa de Integridad o un Sistema de Gestión Antisoborno? La respuesta es, sabiendo que puede traer controversias, que no podremos exigirlo.

Debemos entonces alinearnos a los requisitos de ISO 37001 al auditar un Sistema de Gestión en base a esta norma, dejando de lado las “buenas prácticas” que conozcamos de antemano, para evitar sesgar los resultados del proceso.

Cabe destacar que como Anexo, la norma ISO 37001, contiene lineamientos para la interpretación de los requisitos establecidos en el cuerpo de la norma, que pueden ser tomados también como “buenas prácticas” pero de la misma manera, no podrán ser exigidos.

Por ejemplo, en los capítulos A11 y A12, se tratan con mayor profundidad los controles financieros y no financieros, respectivamente. En ambos caso propone un listado no taxativo, pero que cuya enunciación nos ayuda a comprender los controles relevantes.

Para concluir, mencionamos que luego de revisar varias decenas de programas de Compliance, vemos que el área de Compliance no esta entrando en este tema con la profundidad que el mismo merece. Podemos citar como ejemplo, la falta de conocimiento en detalle de cómo funcionan los anticipos para gastos en efectivo y con tarjeta de crédito, el uso de fondos fijos, las conciliaciones, etc.

Es así que un justo equilibrio entre lo que la norma exige y lo que conocemos de antemano, como profesionales del rubro Compliance, debe convivir para alcanzar los resultados deseados, mitigando adecuadamente los riesgos identificados.

Como conclusión, podemos destacar que el mayor provecho del proceso de Auditoría de un Sistema de Gestión Antisoborno, se conseguirá con una buena planificación previa, el liderazgo de la Alta Dirección y el involucramiento de todo el personal de la Organización, obteniendo así los mejores resultados de la implementación de la Norma ISO 37001.

 

(*) Acerca de los autores

Carlos Rozen

Experto Implementador ISO 37001 Socio – BDO Argentina

Amadeo Berdou

Auditor Líder ISO 37001 Gerente General – TÜV NORD Argentina

 

 

{{cta(‘f36a95ca-6242-4b51-921a-b20d8ec5609f’,’justifycenter’)}}

 

Entradas recomendadas

Aún no hay comentarios, ¡añada su voz abajo!


Añadir un comentario

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *