1 modelos de control
Upcoming SlideShare
Loading in...5
×
 

1 modelos de control

on

  • 369 views

 

Statistics

Views

Total Views
369
Views on SlideShare
369
Embed Views
0

Actions

Likes
0
Downloads
1
Comments
0

0 Embeds 0

No embeds

Accessibility

Categories

Upload Details

Uploaded via as Microsoft PowerPoint

Usage Rights

© All Rights Reserved

Report content

Flagged as inappropriate Flag as inappropriate
Flag as inappropriate

Select your reason for flagging this presentation as inappropriate.

Cancel
  • Full Name Full Name Comment goes here.
    Are you sure you want to
    Your message goes here
    Processing…
Post Comment
Edit your comment

1 modelos de control 1 modelos de control Presentation Transcript

  • MODELOS DE CONTROL CP, CIA y Mtro Fernando Vera Smith Diciembre 2007
  • MODELOS DE CONTROL CONTENIDOPANORÁMICA DE MODELOS DE CONTROLCOSOCADBURYCOCOCOBITTURNBULLAEC 2
  • PANORÁMICA DE MODELOS DE CONTROLMarcos de referencia (comunidades) paraclasificar los modelos de control según Philip L.Campbell ( An Introduction to InformationControl Models):Objetivos de ControlPrincipiosMadurez de la Capacidad 3
  • PANORÁMICA DE MODELOS DE CONTROLComunidad de Objetivos de Control Se basan en el concepto de “objetivo de control”: Control: Las políticas, procedimientos, prácticas y estructuras organizacionales para proporcionar seguridad razonable de que los objetivos organizacionales se alcanzarán y que los eventos no deseados se evitarán o detectarán y corregirán. Objetivo de control: una declaración de que el resultado o propósito deseado se alcanzará al implantar mecanismos de control en una actividad particular de tecnología de información 4
  • PANORÁMICA DE MODELOS DE CONTROLComunidad de Principios Se basan en la noción de principios como rendición de cuentas, concientización, equidad y ética.Comunidad de Madurez de la Capacidad Se basa en la noción del modelo de madurez, cuyo único miembro es el Systems Security Engineering Capability Maturity Model (SSE- CMM). La teoría es que una organización cuyo nivel de madurez es mayor que otra es probable que produzca un mejor producto o servicio. El enfoque se centra en el proceso y sólo en forma secundaria en el producto. 5
  • DIAGRAMA DE INFLUENCIA FUENTE: An Introduction to Information Control Models, Philip L. Campbell 6
  • COMUNIDADES DE MODELOS FUENTE: An Introduction to Information Control Models, Philip L. Campbell 7
  • SIGNIFICADO DE SIGLAS UTILIZADASOECD Organization for Economic Cooperation and DevelopmentGAPP Generaly Accepted Principles and Practices. National Institute of Standards and Technology (NIST)BS 7799 British Standard InstituteSAC Security Auditability and Control. The Inst. of Internal Audit.COSO Internal Control Integrated Framework. Committee of Sponsoring OrganizationsSSE CMM Systems Security Engineering Capability Maturity Model National Security Agency (NSA) Defense- Canada.CoCo Criteria of Control Board of The Canadian Institute of Chartered Accountants.ITCG Information Technology Control Guidelines. Canadian Institute of Chartered Accountants (CICA)GASSP Generaly Accepted System Security Principles. International Information Security Foundation (IISF)Cobit Control Objectives for Information and Related TechnologiesFISCAM Federal Information Systems Controls Audit Manual. GAOSysTrust AICPA/CICA SysTrust Principles and Criteria for System ReliabilitySSAG System Self-Assessment Guide for Information Technology Systems. NIST 8
  • CONTROL SEGÚN COSO CP, CIA y Mtro Fernando Vera Smith Diciembre 2007 9
  • COSO -ANTECEDENTES Modelo de Control COSO: Committee of Sponsoring Organizations of the Tradeway Commision, USA, septiembre 1992. Modelo de Control COCO: Criteria of Control Committee (Instituto Canadiense de Contadores Certificados, CICA, November1995. 10
  • COSO - CONTROLCualquier medida que tome la dirección, el Consejo y otros,para mejorar la gestión de riesgos y aumentar laprobabilidad de alcanzar los objetivos y metas establecidos.La dirección planifica, organiza y dirige la realización de lasacciones suficientes para proporcionar una seguridadrazonable de que se alcanzarán los objetivos y metas. 11
  • COSO - CONCEPTO DE CONTROL INTERNOProceso llevado a cabo por el Consejo de Administración, laGerencia y otro personal de la Organización, diseñado paraproporcionar una seguridad razonable sobre el logro de losobjetivos de la organización clasificados en:  Efectividad y eficiencia de las operaciones  Confiabilidad de la información financiera  Cumplimiento con las leyes, reglamentos, normas y políticas. 12
  • COSO - CARACTERÍSTICAS Medio para alcanzar un fin, no un fin en si mismo. No es un evento o circunstancia sino una serie de acciones que permean en las actividades de la organización. Forma parte de los procesos básicos de la administración-planeación ejecución y monitoreo y se encuentra integrado en ellos. Los controles deben construirse ”Dentro¨” de la infraestructura de la organización y no “Sobre ella”. 13
  • COSO - CARACTERÍSTICAS... Es efectuado por personas. No es solamente un conjunto de manuales de políticas y procedimientos, sino son personas en cada nivel de la organización. Es ejecutado por la gente de una organización a través de lo que hace y dice. La gente diseña los objetivos de la Entidad y establece los mecanismos de control. 14
  • COSO - CARACTERÍSTICAS... Afecta las acciones del personal, señalándole sus responsabilidades y límites de autoridad, así como la vinculación entre sus deberes y la forma en que los desempeñan. La alta dirección es responsable de la existencia de un eficiente sistema de control. Los Directores tienen la obligación de la vigilancia del control además de que proporcionan directrices y aprueban ciertas transacciones y políticas. Cada individuo dentro de la organización tiene algún rol respecto al control interno. 15
  • COSO - CARACTERÍSTICAS... No existe sistema infalible. Ningún sistema hará por siempre lo que se espera que haga. No importa lo bien diseñado y operado que sea un sistema de control; lo más que puede esperarse es que proporcione seguridad razonable. El efecto acumulado de controles y su naturaleza diversa, reducen el riesgo de que no puedan alcanzarse los objetivos. 16
  • COSO - CARACTERÍSTICAS... Limitaciones del control :  Errores por falta de capacidad para ejecutar las instrucciones  Errores de juicio en la toma de decisiones.  Errores por mala interpretación, negligencia, distracción o fatiga.  Inobservancia gerencial a las políticas o procedimientos prescritos.  Colusión.  Costo - beneficio. 17
  • COSO - CARACTERÍSTICAS... Características de los objetivos de una organización:  Operacionales: Relacionados con el uso eficiente y eficaz de los recursos.  Información financiera: Relacionados con la preparación de reportes financieros confiables.  Cumplimiento: Relacionados con el cumplimiento con leyes y reglamentos aplicables. 18
  • COSO - MARCO INTEGRADO DE CONTROL 19
  • COSO - RELACIÓN DE OBJETIVOS Y COMPONENTES Existe una relación directa entre objetivos que la organización busca y los componentes que representan lo necesario para alcanzar los objetivos 20
  • COSO - MARCO INTEGRADO DE CONTROL 21
  • COSO - Relaciones de Componentes y Objetivos O S NC ES S NE NT RO RT IE IO IE IM AC PO PL ER RE ACTIVIDAD 2 ACTIVIDAD NA M OP CU FI MONITOREO ACTIVIDAD 1 ACTIVID INFORMACION Y COMUNICACION UNIDAD B DAD A UNIDAD B ACTIVIDAD ACTIVIDADES DE 1 CONTROL UNIDAD A UNI EVALUACION DE RIESGOS AMBIENTE DE CONTROL COMPONENTE 22
  • COSO - AMBIENTE DE CONTROL Integridad y Valores Eticos Comité de Auditoría Filosofía Admva. y Estilo de Dirección Estructura Organizacional Asignación de Autoridad y Responsabilidad Política de Recursos Humanos Competencia 23
  • COSO - EVALUACIÓN DE RIESGOS Objetivos Institucionales Objetivos Específicos  Operativos  Información Financiera  Cumplimiento Análisis de Riesgos  Organización (Externos / Internos)  Actividad  Análisis (Trascendencia / Probabilidad / Control) Manejo de Cambios (Reorganizaciones/Políticas / Sistemas y Procedimientos) 24
  • COSO - ACTIVIDADES DE CONTROL Actividades de control sobre:  Las operaciones  La información financiera  El acatamiento Tipos de Control:  Preventivos / Correctivos  Manuales / Automatizados  Gerenciales 25
  • COSO - INFORMACIÓN Y COMUNICACIÓN Sistemas de Información :  Apoyo Actividades Estratégicas  Integración con las Operaciones  Calidad Comunicación :  Interna / Externa  Medios 26
  • COSO - SUPERVISIÓN Y SEGUIMIENTO Supervisión Concurrente Evaluaciones Independientes  Alcance y frecuencia  Quiénes evalúan  Proceso de evaluación  Metodología / documentación  Plan de acción Reportes de Deficiencias 27
  • COSO - RESPONSABILIDADES SOBRE EL CONTROL Consejo de Administración.- Es la instancia responsable de establecer guía, supervisión general y gobernabilidad a la organización Gerencia.- El Director General es el último responsable y asume la propiedad del sistema de control Auditores Internos.- Evalúa la efectividad del sistema de control Personal.- es responsable todo el personal dependiendo de su nivel y ubicación funcional 28
  • COSO - TIPOS DE CONTROL- Preventivos - Detectivos • Concurrentes (sobre la marcha) • Posteriores- De actividades - De resultados (repetitivas) (actividades creativas) - De recursos - De operaciones - De insumos - De procesos - De salidas - De acceso - De seguridad (resguardo) - De investigación y desarrollo - De proyectos 29
  • MODELO CADBURY CP, CIA y Mtro. Fernando Vera Smith Diciembre, 2007
  • MODELO CADBURY • Desarrollado por el llamado Comité Cadbury (UK Cadbury Committee). Adopta una interpretación amplia del control. Mayores especificaciones en la definición de su enfoque sobre el sistema de control en su conjunto-financiero y de cualquier tipo. 31
  • 32
  • MODELO CADBURY • Objetivos orientados a proporcionar una razonable seguridad de: a) Efectividad y eficiencia de las operaciones. b) Confiabilidad de la información y reportes financieros. c) Cumplimiento con leyes y reglamentos • Los elementos clave de este modelo son en esencia similares al modelo COSO, salvo la consideración de los sistemas de información integrados en los otros componentes y un mayor énfasis respecto a riesgos. • Limitación en la responsabilidad de los reportes de control a la confiabilidad de los 33 financieros
  • MODELO COCO CP, CIA y Mtro. Fernando Vera Smith Diciembre, 2007
  • MODELO COCOCONCEPTO DE CONTROL INTERNO - Incluye aquellos elementos de una organización (recursos, sistemas, procesos, cultura, estructura y metas) que tomadas en conjunto apoyan al personal en el logro de los objetivos de la organización: Efectividad y eficiencia de las operaciones. Confiabilidad de los reportes internos o externos. Cumplimiento con las leyes y reglamentos aplicables, así como con las políticas internas. 35
  • MODELO COCO OBJETIVOS ORGANIZACIONALES (efectividad y eficiencia de las operaciones) Servicio al cliente Salvaguarda y uso eficiente de los recursos Obtención de beneficios Cumplimiento de obligaciones sociales Seguridad de que los riesgos son debidamente identificados y administrados 36
  • MODELO COCO Confiabilidad de los reportes internos y externos Mantenimiento de registros contables adecuados. Confiabilidad de la información utilizada. Información publicada para terceros interesados. 37
  • MODELO COCO Cumplimiento con la normatividad y políticas internas aplicables Aseguramiento de que las actividades de la organización se conducen en total concordancia con el marco legal y con las políticas internas. 38
  • MODELO COCO Naturaleza del control • El control debe ser realizado por el personal de toda la organización, quien será responsable del diseño, establecimiento, supervisión y mantenimiento del control. • El personal responsable de lograr determinados objetivos también deberá evaluar la efectividad del control dentro de su esfera de competencia y de reportar tal evaluación ante quien él es responsable. 39
  • MODELO COCO Naturaleza del control El costo del control deberá ser proporcional a los beneficios esperados. El control requiere de un equilibrio entre autonomía e integración y entre consistencia y adaptación al cambio. 40
  • MODELO COCOCiclo del entendimiento básico Propósito Compromiso Aptitud Acción Evaluación (Auto) y Aprendizaje Criterios de control • Los criterios de control son la base para entender el control de una organización. • Están planteados como metas a cumplir permanentemente. 41
  • MODELO COCO A.- PROPÓSITO Sentido de Dirección a la Organización A1.- Los objetivos deben ser establecidos y comunicados. A2.- Los riesgos internos y externos significativos deben ser identificados y evaluados. A3.- Las políticas para apoyar el logro de los objetivos de una organización y el manejo de sus riesgos, deben ser establecidas, comunicadas y practicadas, de manera que el personal entienda lo que de él se espera. 42
  • MODELO COCO A.- PROPÓSITO A4.- Deben establecerse y comunicarse planes para guiar los esfuerzos para lograr los objetivos de la organización. A5.- Los objetivos y los planes relativos deben incluir metas, parámetros e indicadores de medición del desempeño. 43
  • MODELO COCO B.- COMPROMISO: Sentido de identidad y valores de la organización . B1. Deben establecerse, comunicarse y ponerse en práctica valores éticos compartidos, incluyendo la integridad. B2. Las políticas y prácticas sobre recursos humanos deben ser consistentes con los valores éticos de la organización y con el logro de sus objetivos. 44
  • MODELO COCOB.- COMPROMISO B3. La autoridad, la responsabilidad y la obligación de rendir cuentas deben ser claramente definidas y consistentes con los objetivos de la organización, de tal forma se tomen las decisiones y acciones por el personal apropiado. B4. Debe fomentarse una atmósfera de mutua confianza para apoyar el flujo de la información entre el personal y para su efectivo desempeño hacia el logro de los objetivos. 45
  • MODELO COCO C. APTITUD: sentido de competencia o aptitud de la organización C1. El personal debe tener los conocimientos, habilidades y herramientas para alcanzar los objetivos de la organización. C2. El proceso de comunicación debe apoyar los valores de la organización y el logro de sus objetivos. C3. Debe ser identificada y comunicada información suficiente y relevante de manera oportuna, para posibilitar al personal a desempeñar las responsabiIidades asignadas. 46
  • MODELO COCO C. APTITUD C4. Deben coordinarse las decisiones y acciones de las diferentes partes de la organización. C5. Las actividades de control deben diseñarse como parte integral de la organización, tomando en consideración sus objetivos, los riesgos para su cumplimiento y la interrelación de los elementos de control. 47
  • MODELO COCO- Evaluación y aprendizaje. Sentido de evolución de la organización: D1.- El ambiente externo e interno debe ser “monitoreado” para obtener información que pueda señalar la necesidad de revaluar los objetivos de la organización o el control. D2.- El desempeño debe ser evaluado o medido contra las metas e indicadores en los planes u objetivos de la organización. D3.- Las premisas consideradas para los objetivos de la organización deben cuestionarse periódicamente. 48
  • MODELO COCO - Evaluación y Aprendizaje D4.- Las necesidades de información y los sistemas de información relativos deben reevaluarse en la medida que cambian los objetivos o al identificarse deficiencias en la información reportada. D5.- Debe establecerse y ejecutarse un seguimiento de los procedimientos, para asegurar que se den los cambios requeridos. 49
  • COBIT CP, CIA y Mtro. Fernando Vera Smith Diciembre, 2007 50
  • Cobit - Definición Control OBjectives for Information and Related Technology(Objetivos de Control para Tecnología de Información y Tecnologías relacionadas)Fuente: Control Objectives for Information and Related Technology (CObIT) y presentación de Fernando Izquierdo Duarte 2002 51
  • Cobit - Definición¿Qué es? Es un marco de control interno de TI. Parte de la premisa de que la TI requiere proporcionar información para lograr los objetivos de la organización. Promueve el enfoque y la propiedad de los procesos. 52
  • Cobit - DefiniciónApoya a la organización al proveer un marco queasegura que:La Tecnología de Información (TI) esté alineada con lamisión y visión.LA TI capacite y maximice los beneficios.Los recursos de TI sean usados responsablemente.Los riesgos de TI sean manejados apropiadamente. 53
  • Cobit - UsuariosGerencia: Apoyar decisiones de inversiónen TI y control sobre su rendimiento, asícomo analizar el costo-beneficio del control.Usuarios Finales: Garantizar seguridad ycontrol de los productos que adquiereninterna y externamente 54
  • Cobit - UsuariosAuditores : Apoyar sus opiniones sobrelos controles de los proyectos de TI , suimpacto en la organización y el controlmínimo requerido.Responsables de TI: Identificar loscontroles que requieren. 55
  • Cobit - Principios REQUERIMIENTOS DE INFORMACIÓN DEL NEGOCIOPROCESOS DE TI RECURSOS DE TI 56
  • Cobit - Estructura EVENTOS INFORMACIÓN Objetivos de Datos Efectividad negocio Eficiencia AplicacionesOportunidades Confidencialidad Tecnología de negocio Integridad Instalaciones DisponibilidadRequerimientos Recurso Humano externos Cumplimiento Regulación Confiabilidad Riesgos 57
  • Cobit - EstructuraLo que usted Procesos del Lo que Usted Obtiene Negocio Necesita Criterios Efectividad Información Eficiencia Confidencialidad Integridad Disponibilidad Cumplimiento Recursos de TI Confiabilidad Datos Aplicaciones Tecnología Concuerdan Instalaciones Recurso Humano 58
  • Cobit - Estructura Criterios de la Información (7)CUBO de CobiTRelación entre los d ad ili ad Recurso Humanocomponentes ad b rid id ia al nf gu Instalaciones C o Se C Tecnología Applicaciones Dominios Procesos TI Datos Procesos TI de Actividades s os r e cu R 59
  • 60
  • Objetivos del Negocio CobiT Requerimientos Planeación y de Información OrganizaciónSeguimiento Recursos de TI Adquisición e Implantación Servicios y Soporte 61
  • Cobit - Requerimientos de la Información del NegocioCobiT combina los principios contenidos por modelos existentes y conocidos, como COSO, SAC y SASRequerimientos Calidad. de Calidad Costo. Oportunidad.Requerimientos Efectividad y eficiencia operacional. Financieros Confiabilidad de los reportes financieros. (COSO) Cumplimiento de leyes y regulaciones.Requerimientos Confidencialidad. de Seguridad Integridad. Disponibilidad. 62
  • Cobit - Requerimientos de la Información del NegocioEfectividad: Información relevante y pertinente,proporcionada en forma oportuna, correcta, consistente yutilizableEficiencia: Empleo óptimo de los recursos.Confidencialidad: Protección de la información sensitivacontra divulgación no autorizadaIntegridad: Información exacta y completa, así como válidade acuerdo con las expectativas de la organización. 63
  • Cobit - Requerimientos de la Información del NegocioDisponibilidad: accesibilidad a lainformación y la salvaguarda de losrecursos y sus capacidades.Cumplimiento: Leyes, regulaciones ycompromisos contractuales.Confiabilidad: Apropiada para la toma dedecisiones adecuadas y el cumplimientonormativo. 64
  • Recursos de TIDatos: Todos los objetos de información interna y externa,estructurada o no, gráficas, sonidos, etc.Aplicaciones: Sistemas de información, que integranprocedimientos manuales y sistematizados.Tecnología: Hardware y software básico, sistemas operativos,de administración de bases de datos, de redes,telecomunicaciones, multimedia, etc.Instalaciones: Recursos necesarios para alojar y dar soporte alos sistemas.Recurso Humano :Habilidad, actitud y productividad delpersonal. 65
  • Procesos de TI - Los Tres Niveles Agrupación natural de procesos, 4Dominios normalmente corresponden a un dominio o una responsabilidad organizacionalProcesos Conjuntos o series de actividades 34 unidas con delimitación o cortes de control.Actividades Acciones requeridas para lograr uno tareas 318 resultado medible. Las Actividades Tienen un ciclo de vida mientras que las tareas son discretas. 66
  • COBIT – DOMINIOS: 4Planeación y OrganizaciónAdquisición e ImplantaciónPrestación de Servicios y SoporteSeguimiento 67
  • COBIT – DOMINIOS - PROCESOS Planeación y Definición de un plan estratégico Organización Definición de la arquitectura de información Determinación de la dirección tecnológica Definición de organización y relaciones Administración de la inversión Comunicación de las políticas Administración de los recursos humanos Asegurar el cumplimiento con los requerimientos Externos Evaluación de riesgos Administración de proyectos Administración de la calidadAdquisición e Identificación de soluciones automatizadasImplantación Adquisición y mantenimiento del software aplicativo Adquisición y mantenimiento de la infraestructura tecnológica Desarrollo y mantenimiento de procedimientos Instalación y aceptación de los sistemas Administración de los cambios 68
  • COBIT – DOMINIOS - PROCESOS Servicios y Definición de los niveles de servicios Soporte Administración de los servicios de terceros Administración de la capacidad y rendimientos Aseguramiento del servicio continuo Aseguramiento de la seguridad de los sistemas Entrenamiento a los usuarios Identificación y asignación de los costos Asistencia y soporte a los clientes Administración de la configuración Administración de los problemas Administración de los datos Administración de las instalaciones Administración de la operaciónSeguimiento Seguimiento de los procesos Evaluación del control Interno Contratación de un aseguramiento independiente 69
  • COBIT COMO PRODUCTOResumen EjecutivoMarco de Referencia (Framework)Objetivos de ControlGuías de AuditoríaGuías de AdministraciónHerramientas de ImplementaciónCD-ROM2a Edición disponible en español 70
  • COMPARACIÓN DE CONCEPTOS DE CONTROL INTERNO CobiT 1996/1998 Definición de Definición de Objetivos Control Interno de Control de T I COSO 1992 SAC 1991/1994 Contribuciones Conceptos de al concepto de Control Interno Conceptos de Control Interno Control Interno SAS 78 - 1995 enmienda SAS 55 - 1988 71
  • Comparación de Conceptos de Control COBIT SAC COSO SASs 55/78Dirigido a: Administración, Usuarios, Auditores de Auditores Internos Administración Auditores Externos Sistemas Responsables de TIEl Control Interno es Visto Conjunto de procesos incluyendo Conjunto de procesos, Procesos Procesoscomo políticas, procedimientos, prácticas y subsistemas y personas estructura OrganizacionalLos Objetivos Efectividad y Eficiencia de las Efectividad y Eficiencia de Efectividad y Eficiencia de las Efectividad y Eficiencia de lasOrganizacionales de operaciones las operaciones operaciones operacionesControl Interno Confidencialidad, Integridad y Confiabilidad en los reportes Confiabilidad en los reportes Confiabilidad en los reportes disponibilidad de la información financieros financieros financieros Confiabilidad en los reportes Cumplimiento con leyes y Cumplimiento con leyes y Cumplimiento con leyes y financieros normas normas normas Cumplimiento con leyes y normasComponentes o Dominios Dominios: Componentes: Componentes: Componentes: Planeación y Organización Ambiente de Control Ambiente de Control Ambiente de Control Adquisición e implantación Sistemas Manuales y Evaluación de Riesgo Evaluación de Riesgo Automatizados. Servicio y Soporte Actividades de Control Actividades de Control Procedimientos de Control Seguimiento Información y Comunicación Información y Comunicación Seguimiento SeguimientoEnfocado a Tecnología de Información Tecnología de Información Toda la Organización Estados FinancierosEvaluación de la Por un periodo de tiempo Por un periodo de tiempo En un punto en el tiempo Por un periodo de tiempoEfectividad del Control I.Responsable por el Control Administración Administración Administración AdministraciónInternoTamaño 187 páginas en 4 volúmenes 1193 páginas en 12 módulos 353 páginas en 4 volúmenes 63 páginas en 2 documentos 72
  • GUÍA TURNBULL CP, CIA y Mtro. Fernando Vera Smith Diciembre, 2007 73
  • ¿ QUÉ ES LA GUÍA TURNBULL? Es la adopción de un enfoque basado en riesgos paraestablecer un sistema de control interno y revisar su efectividad
  • CONTRIBUCIONES DE AUDITORÍA INTERNA Aseguramiento de la adecuación y efectividad de la Administración de Riesgos y del sistema de control Promoción de la Apoyo para mejorar Concientización de el proceso de riesgos y controles Identificación y y los programas de Administración de autoevaluación riesgos 75
  • Mayor Desplazamiento probabilidad Mayor oportuno a otras de lograr cobertura a largo áreas de negocios objetivos plazoDisminución de Mayor sorpresas BENEFICIOS probabilidad dedesagradables POTENCIALES lograr cambios Reducción de tiempo para Ventajas emergencias competitivas Mejores bases Enfoque interno para establecer Menores costos en hacer bien estrategias de capital las cosas
  • IMPLANTACIÓN DEL TURNBULL Identificación de Implantación de factores críticos acciones de Identificación de cambios de éxito mejora Internos y externos y reconsideración y negociación de objetivos Identificación y Revisión de riesgos priorización de y controles anuales riesgos Determinación de Informes sucintos ENFOQUE AL LOGRO DE riesgos significativos OBJETIVOS A TRAVÉS DE UNA MEJOR ADMINISTRACIÓN Fuentes de Negociación de DE RIESGOS aseguramiento estrategias de control y administración de riesgosMonitoreo de aspectos significativos de Negociación sobre control interno rendición de cuentas Cambios en comportamiento y enfoque en las bases Mecanismos de de una buena administración Concientizaciónadvertencia oportunos de riesgos y control de los riesgos 77 críticos
  • SIMPLIFICACIÓN Y REDUCCIÓN DE COSTOSEnfocarse en riesgos Asegurar que los objetivos Asegurar que los objetivos Enfocarse en riesgos Evitar duplicidades Evitar duplicidadescríticos yysus controles se jerarquicen se jerarquicen críticos sus controles Asignar Asignar Reorientar el Reorientar el responsabilidades responsabilidades entrenamiento entrenamiento MANTENERSE SIMPLE en la administración de en la administración dehacia los riesgos críticos hacia los riesgos críticos Y PROSPECTIVO riesgos riesgos Elaborar un plan Elaborar un plan Mantener los informes Mantener los informes Evitar expedientes Evitar expedientes apropiado yy apropiado al Consejo sucintos yy al Consejo sucintos voluminosos voluminosos monitorear su avance monitorear su avance sencillos sencillos 78
  • PASOS SUGERIDOS Enfoque a la mejora de negocios Implantación de mecanismos apropiados para la información de avance Involucramiento de los distintos niveles de la organización Implantación del plan de desarrollo y de la política de administració de riesgos Reconsideración y afinación del plan por el Consejo Consideración del plan por el Consejo de Administración Aceptación del plan por parte de los directoresAsignación de responsabilidades para elaborar el plan individual o de equipos79
  • RESULTADOS DE LA ENCUESTA DE RIESGOS SIGNIFICATIVOS (EN INGLATERRA) TIPOS DE RIESGO PROMEDIO Fracaso en la 7.05 administración de proyectos mayoresFracaso de estrategias 6.67Fracaso en innovación 6.32Mala reputación 6.30/administración - marcaMotivación y bajo desempeño 6.00del personal 1= riesgo mínimo, 9 = crítico Fuente: Deloitte & Touche, 1990 80
  • Sencillez Enfasis en el cambio de comportamiento Conciencia del riesgo ADECUADA ADMINISTRACIÓN DE Asesoría aInformación confiable RIESGOS Y todos los niveles de CONTROL la compañía Controles básicos Aplicación Mecanismos de continua advertencia oportunos Concientización de y respuesta rápida de los objetivos Estrategias de organizacionales control
  • PELIGROS POTENCIALES Enfoque Insuficiente en Falta de Admón de Inapropiada Mecanismos Riesgos Orientación de Advertencia de riesgos Incapacidad Demasiados para obtener Riesgos aceptación identificados Peligros del gerente Potenciales Sobrecarga Abandonarlo del comité Demasiado de tarde Auditoría Ignorar Incremento Controles de Financieros Burocracia básicos 82
  • AUTOEVALUACIÓN DEL CONTROL CP, CIA y Mtro Fernando Vera Smith Diciembre 2007 83
  • AEC - DEFINICIÓNProceso documentado en el que :  La administración o el equipo de trabajo se involucra directamente en una función.  Se juzga la efectividad del proceso de control vigente.  Se define si se asegura razonablemente el lograr alguno o todos los objetivos.El objetivo es proporcionar seguridad razonable de quese alcanzarán los objetivos de la organización . 84
  • AEC - OTROS NOMBRES AEC - DEFINICIÓN• Autoevaluación de riesgo- • Autoevaluación de proceso. control. • Autoevaluación de riesgos.• Evaluación dinámica del control. • Autoevaluación de riesgos de la organización.• Co-evaluación del control.• Autoevaluación organizacional. 85
  • AEC - ENTRENAMIENTO• Para desarrollar la AEC se requiere capacitación: . En metodología. . En modelos de control . En evaluación de riesgos . En talleres de autoevaluación de control . En redacción. . En tecnología. 86
  • AEC - FACTORES QUE PROMUEVEN SU ADOPCIÓN 2/2 BENEFICIOS AL PROCESO OPERATIVO Mejora del control y sus riesgos, Delegación de Facultades Desarrollo de la Responsabilidad AEC Instrumentación Diseño de Mejores del Control Controles Eficienciade Procesos - Satisfacción del cliente - Mejora de la calidad - Examen de los procesos organizacionales en general 87 CPC y CIA JUAN MANUEL PORTAL M.
  • AEC - BENEFICIOS PARA LA ADMINISTRACIÓN • ADMINISTRACIÓN • PARTICIPANTES • AUDITORÍA INTERNA - Mejora de la moral del personal. - Eliminación de atmósferas de desconfianza. - Generación de ideas y planes de acción implantados más allá del alcance original. - Facilidad de implantación de acciones de mejora. - Promoción de la unidad organizacional mediante la identificación y solución de problemas. - REALZA EL PAPEL DE AUDITORÍA INTERNA. 88
  • AEC - FASES DE LA AUTOEVALUACIÓN Involucramiento de la alta GerenciaMonitoreo yReporte de PlaneaciónResultados Conducción Capacitación de Reuniones 89
  • AEC - INVOLUCRAMIENTO DE LA ALTA GERENCIAAdopción de la AEC• Conocimiento de la AEC en los niveles adecuados• Entendimiento de la complejidad, costos, beneficios y limitaciones de la AEC• Aceptación, involucramiento y patrocinio de la alta gerencia en la AEC 90
  • AEC – INVOLUCRAMIENTO DE……. Requisitos de la Organización- Cultura que apoye la AEC- Actitud gerencial orientada al facultamiento y al control.- Entorno libre de riesgos (no represalias)- Reconocimiento de la complejidad de la implantación de la AEC. 91
  • AEC – INVOLUCRAMIENTO DE……. Requisitos del Facilitador - Ser innovador y desear tomar riesgos - Saber escuchar, comunicarse y aprender de la gente - Saber qué alcanzar y qué herramientas se necesitan - Conocer la organización, su entorno y normatividad - Entender la cultura organizacional 92
  • AEC - INVOLUCRAMIENTO DE ………..Responsabilidades del Facilitador- Asegurarse que la administración sabe que es responsable de los controles- Explicar el proceso de AEC- Proporcionar información y conocimiento al taller- Utilizar enfoques y herramientas específicas- Desarrollar la dinámica del equipo- Asegurar la logística del taller.- Obtener acciones de mejora del taller. 93
  • AEC – INVOLUCRAMIENTO DE…….Responsabilidades del FacilitadorPreparación del taller: Entrevistar a la Gerencia y al personal operativo Evaluar la estructura organizacional Aprender sobre la organización Seleccionar los objetivos de la organización Seleccionar los participantes al TAC Preparar la logística de la reunión Enviar información previa a la reunión. 94
  • AEC – INVOLUCRAMIENTO DE…….Responsabilidades del Facilitador Preparación del taller: - Facilitar la identificación del proceso y obstáculos - Vigilar la logística - Obtener acciones de mejora del TAC AGREGAR VALOR A LA ORGANIZACIÓN 95
  • AEC – INVOLUCRAMIENTO DE…….Estrategias 1. Limitar el alcance a asuntos de alta prioridad 2. Emplear grupos de trabajo interdisciplinarios y con personal comprometido 3. Proporcionar tiempo suficiente para la preparación del taller. 4. Definir los objetivos del Taller de Autoevaluación del Control (TAC) 5. Emitir pronunciamientos y criterios al inicio del proceso 96
  • AEC – INVOLUCRAMIENTO DE ……. Estrategias 6. Mantener visible el apoyo de la alta gerencia 7. Vender el concepto constantemente 8. Proporcionar retroalimentación a los participantes sobre los resultados 9. Implantar la AEC mediante prueba piloto, lo mismo que las acciones de mejora 97
  • AEC - P L A N E A C I Ó N1. Seleccionar el (los) objetivo (s) a analizar en el TAC2. Seleccionar al facilitador y al relator3. Definir la estructura del TAC: horizontal, vertical o mixta.4. Seleccionar los participantes del TAC5. Elaborar el programa de actividades con responsables y tiempos6. Planear reportes de avance y conclusión 98
  • AEC- C A P A C I T A C I O NCapacitar en Control y Autocontrol: • Modelos de Control (COSO, COCO...) • Evaluación de riesgos • Autoevaluación en control y su metodología • Herramientas y tecnología especializada para su uso en el taller 99
  • AEC - CONDUCCIÓN DE REUNIONES1. Preparar la logística de las reuniones2. Enviar información previa a las reuniones3. Presentar los objetivos del TAC• Definición del producto final• Metodología del taller• Herramientas a utilizar• Método de registro y votación• Beneficios tangibles4. Explicar el papel de los participantes y aclarar expectativas. 100
  • AEC - CONDUCCIÓN DE REUNIONES5. Presentar la agenda de la reunión6. Conducir la reunión7. Estructurar e inventariar el resultado de las evaluaciones8. Levantar minuta de los acuerdos 101
  • AEC - CONDUCCIÓN DE REUNIONES REGLAS PARA LA TOMA DE DECISIONES DE GRUPOEscucheNo interrumpaEstablezca un proceso de votoAsegúrese que todos apoyen las reglasTodos deben ser facilitadores en algún momentoLas ideas de otros fortalecen la decisión del grupoLogre consenso 102
  • AEC – CONDUCCIÓN DE REUNIONESDESARROLLO DE PLANES DE ACCIÓN- Definición y evaluación de objetivos, riesgos y controles.- Determinación de acciones de mejora.- Definición y realización de las acciones, tiempos, responsables y recursos para la implantación de las mejoras.- Establecimiento de puntos de control para la evaluación de los avances y la comunicación de las desviaciones 103
  • AEC - MONITOREO Y REPORTE DE RESULTADOS- Establecer sistema de seguimiento y evaluación de los planes de acción- Implantar acciones correctivas y formular nuevos planes- Establecer y formular reportes de avance de los trabajos del taller- Evaluar los costos y beneficios de las mejoras implantadas- Impulsar la mejora continua 104
  • AEC - PROBLEMÁTICA- Arranque costoso- Curva de aprendizaje pronunciada- Habilidades poco aprovechadas- Poco o mal entendimiento de los talleres- Resultados iniciales poco impactantes- Costos de honorarios de profesionales, entrenamiento, equipo y software- Inversión fuerte en capacitación- Esfuerzo serio de venta interna 105
  • AEC – PROBLEMÁTICAObstáculos Para Su Adopción• Impedimentos derivados de la técnica. - Represalias por comentarios hechos en la sesión de la AEC. - Acción subsecuente con información confidencial.• Salvaguarda. - Garantía de no represalias. - Garantía sobre la confidencialidad. - Tecnología de voto electrónico. 106
  • AEC – PROBLEMÁTICAObstáculos Para Su Adopción• Impedimentos derivados de la resistencia. de quienes llevan a cabo la AEC - Inflexibilidad - La AEC trae cambios que a la gente no le gustan. - El compromiso de tiempo puede ser visto como agobiante• Salvaguardas. - Selección de personal adecuado. - Soporte y compromiso de alto nivel para la AEC - Enfoque en los beneficios a alcanzar. 107
  • AEC – PROBLEMÁTICAOBSTÁCULOS PARA SU ADOPCIÓN • Amenazas derivadas de la cultura. - La cultura no valora la innovación y la colaboración. - Organizaciones en medio de una reducción de personal. • Salvaguardas. - Evitar utilizar la AEC en estas situaciones. 108
  • AEC – PROBLEMÁTICAOBSTÁCULOS PARA SU ADOPCIÓN • Amenazas derivadas de la adecuación. - El desarrollo de la AEC no es adecuado en caso de: + Fraude. + Litigio. + Paticipantes con objetivos opuestos. + Funciones con únicamente una o dos personas. + Terceros vendedores o proveedores de servicios. • Salvaguardas. - Evitar utilizar la AEC en estas situaciones. 109
  • AEC – PROBLEMÁTICAOBSTÁCULOS PARA SU ADOPCIÓN• Amenazas derivadas de la cultura. - La cultura no valora la innovación y la colaboración. - Organizaciones en medio de una reducción de personal.• Salvaguardas. - Evitar utilizar la AEC con estas situaciones. 110
  • ÉXITO PARA SU IMPLANTACIÓNI. Factores críticos de éxitoII. Pasos para acelerar su implantaciónIII. Recomendaciones para su implantación 111
  • I. FACTORES CRÍTICOS DE ÉXITO1) Determinación de objetivos claros2) Patrocinio de la alta gerencia3) Apoyo de la gerencia4) Entendimiento de por qué participa cada uno en la sesión de Autoevaluación5) Señalamiento de expectativas 112
  • I. FACTORES CRÍTICOS DE ÉXITO6) Cultura que apoya la AEC7) Actitud gerencial orientada al facultamiento y el control8) Beneficios tangibles9) Definición del producto final10) Entorno libre de riesgos (no represalias) 113
  • II. PASOS PARA ACELERAR SU IMPLANTACIÓN1) Reconocer la complejidad de su implantación2) Conducir sesiones piloto3) Ser realistas acerca de la cobertura de auditoría4) Dar los pronunciamientos y criterios al inicio del proceso5) Permitir suficiente tiempo para su preparación6) Limitar el alcance a los temas de alta prioridad 114
  • III. RECOMENDACIONES PARA SU IMPLANTACIÓN1) Conocer cuál es el propósito y qué herramientas se necesitan2) Entender la cultura organizacional3) Ser innovador y dispuesto a tomar riesgos4) Particularizar el marco estructurado de control5) Agregar valor a la organización6) Comentar con los demás y aprender de ellos7) Rotar facilitadores que procedan de otras áreas 115
  • III. RECOMENDACIONES PARA SU IMPLANTACIÓN8) Emplear grupos de trabajo interdisciplinarios9) Mantener el proceso sencillo10) Reconocer que las habilidades de facilitación son tan importantes como las pruebas de cumplimiento o las habilidades tradicionales de auditoría11) Mantener visible el apoyo de la gerencia12) Vender el concepto cada día 116
  • AEC - ERRORES EN SU IMPLANTACIÓN1) Fallar en explicar el por qué de la AEC.2) Pilotear la AEC en un área problema.3) Escoger los objetivos equivocados.4) Sobre-analizar la situación. 117
  • AEC - POR QUÉ FUNCIONA• Los empleados sienten que tienen un propósito, que sus contribuciones son valiosas y que están involucrados en la toma de decisiones.• Se incrementa la conciencia entre objetivos, riesgos y controles.• Los equipos (grupos de AEC) funcionan mejor que los individuos.• La AEC promueve un entendimiento común de objetivos y metas.• Los talleres de AEC eliminan las barreras de comunicación. 118